Bastion SSH : Sécuriser l'Accès à Vos Serveurs

L'essentiel

• Un bastion (ou jump host) est le seul point d'entrée exposé vers un réseau privé : au lieu de N serveurs à exposer, durcir et surveiller, il n'y en a plus qu'un, et tous les accès sont journalisés au même endroit.
• Côté client, tout tient dans ~/.ssh/config avec la directive ProxyJump et une IdentityFile distincte pour le bastion et pour les serveurs finaux ; ssh serveur-prive-1 traverse alors le bastion de façon transparente.
• ProxyJump n'expose jamais la clé privée du serveur final au bastion, contrairement à l'agent forwarding (ssh -A) : si le bastion est compromis, un attaquant peut se servir du socket de votre agent pour se connecter à vos serveurs en votre nom.
• Un motif générique évite de répéter un bloc par machine : Host serveur-prive-* avec HostName %h.lan, où %h est remplacé par ce que vous tapez.
• Le durcissement du bastion n'est pas optionnel : mises à jour régulières, Fail2ban contre le bruteforce, pare-feu n'ouvrant que le port SSH (22) et si possible depuis des IP de confiance, /etc/ssh/sshd_config sans accès root et en authentification par clé uniquement.

Pourquoi Utiliser un Bastion ?

• Réduction de la surface d'attaque : Au lieu de N serveurs exposés, vous n'en avez plus qu'un à sécuriser et à surveiller.
• Centralisation de l'audit : Tous les accès passent par un seul point, ce qui facilite grandement la journalisation et l'audit des connexions.
• Gestion simplifiée des accès : Vous pouvez gérer les droits d'accès au réseau privé depuis un seul endroit.
• Pas besoin de VPN : Pour un accès SSH simple, un bastion est souvent plus léger et plus simple à maintenir qu'un VPN complet.

Schéma d'une architecture avec bastion

Votre poste de travail ---> Internet ---> [Bastion SSH] ---> Réseau privé (Serveurs Web, BDD, etc.)
(Clé A)                       (Clé A)      (Clé B)

L'utilisateur s'authentifie sur le bastion (avec la Clé A), puis depuis le bastion, il s'authentifie sur le serveur final (avec la Clé B).

Configuration

Étape 1 : Le serveur bastion

Choisissez une machine (une petite VM est souvent suffisante) et installez une distribution Linux minimale. Appliquez les meilleures pratiques de sécurité :

• Mises à jour régulières.
• Fail2ban pour contrer les attaques par force brute.
• UFW (ou autre pare-feu) pour ne autoriser que le port SSH (22) et uniquement depuis des IPs de confiance si possible.
• Configuration de /etc/ssh/sshd_config durcie (pas d'accès root, authentification par clé uniquement, etc.).

Étape 2 : Configuration du client SSH (votre machine)

La méthode moderne et recommandée est d'utiliser la directive ProxyJump dans votre fichier ~/.ssh/config. C'est beaucoup plus simple et sécurisé que les anciennes méthodes comme l'agent forwarding.

Modifiez ou créez le fichier ~/.ssh/config :

# Connexion au bastion
Host bastion
    HostName bastion.votre-domaine.com
    User admin_bastion
    IdentityFile ~/.ssh/id_rsa_bastion

# Connexion aux serveurs privés via le bastion
Host serveur-privé-*
    HostName %h.lan # %h est remplacé par ce que vous tapez (ex: serveur-privé-1.lan)
    User admin_serveur
    IdentityFile ~/.ssh/id_rsa_serveur_privé
    ProxyJump bastion

Étape 3 : Connexion transparente

Grâce à cette configuration, vous pouvez maintenant vous connecter directement à votre serveur privé. OpenSSH s'occupera de la connexion intermédiaire via le bastion de manière transparente.

ssh serveur-privé-1

C'est tout ! Vous êtes connecté à serveur-privé-1 en passant par bastion.

Copier des fichiers avec scp

La configuration fonctionne aussi directement avec scp :

scp mon_fichier.txt serveur-privé-1:~/

Conclusion

Mettre en place un bastion SSH est une des mesures les plus efficaces pour sécuriser une infrastructure réseau. C'est une étape fondamentale qui réduit considérablement les risques. Grâce à la fonctionnalité ProxyJump d'OpenSSH, son utilisation est devenue transparente et plus sécurisée que jamais.