Crear una subred

1. Pulse Subredes en Red del panel de la izquierda y, a continuación, pulse Crear.

   1. En Ubicación, seleccione una geografía, región y zona.
   2. Especifique vpc-secure-bastion-subnet como nombre y, a continuación, seleccione la nube privada virtual que ha creado.
   3. Seleccione el mismo grupo de recursos que para su VPC.
   4. Deje el Prefijo de dirección como está y seleccione el Total de direcciones IP como 256.

2. Cambie el valor de Pasarela pública por Conectada.

   Conecte una pasarela pública a la subred para permitir que todos los recursos conectados se comuniquen con la internet pública.

3. Pulse Crear subred para suministrarla.

Creación y configuración del grupo de seguridad de bastión

Vamos a crear un grupo de seguridad y configurar las reglas de entrada a su bastión VSI (instancia de servidor virtual).

1. Seleccione Grupos de seguridad en Red y, a continuación, pulse Crear.

2. Especifique vpc-secure-bastion-sg como nombre y seleccione la VPC que ha creado anteriormente.

3. Seleccione el mismo grupo de recursos que para su VPC.

4. Ahora cree las reglas de entrada siguientes pulsando Añadir en la sección de entrada. Permiten el acceso SSH y Ping (ICMP). Los valores se muestran en la tabla siguiente.

   Bastión: reglas de entrada

   Protocolo	Puerto/Valor	Tipo de origen
   TCP	Rango de puertos: 22-22	Cualquiera
   ICMP	Tipo: 8,Código: Dejar vacío	Cualquiera

   Para mejorar aún más la seguridad, se puede restringir el tráfico de entrada a la red de la empresa o a una red doméstica típica. Puede ejecutar curl ipecho.net/plain ; echo para obtener la dirección IP externa de la red y utilizarla en su lugar.

5. Pulse Crear grupo de seguridad para crearlo.

Creación de una instancia de bastión

Con la subred y el grupo de seguridad creados, cree la instancia de servidor virtual de bastión.

1. En Subredes en el panel izquierdo, seleccione vpc-secure-bastion-subnet.
2. Haga clic en Attached resources y en Attached instances, haga clic en Create para aprovisionar un nuevo servidor virtual llamado vpc-secure-bastion-vsi bajo el mismo grupo de recursos que su subred.
3. Elige una ubicación y asegúrate de volver a utilizarla más tarde.
4. En Imagen, pulse Cambiar imagen. Utilice el campo de búsqueda para seleccionar Ubuntu Linux como su Sistema operativo. Puede elegir cualquier versión de la imagen.
5. Pulse Cambiar perfil, seleccione Calcular como categoría y elija cx2-2x4 (2 vCPUs y 4 GB de RAM) como perfil.
6. Crear una nueva clave SSH, haga clic en Nueva clave
   1. Especifique vpc-ssh-key como nombre de clave.
   2. Seleccione el mismo grupo de recursos que para su VSI.
   3. Deje la Región tal como está.
   4. Copie el contenido de la clave SSH local existente y péguela bajo Clave pública.
   5. Pulse Añadir clave SSH.
7. Desplácese para seleccionar la VPC en Gestión de redes
8. Asegúrese de que Interfaz de red virtual está seleccionada y de que vpc-secure-bastion-subnet aparece como subred. Pulse el icono de edición para esa subred.
   1. En primer lugar, en Detalles de conexión de red e interfaz de red virtual, verifique que se haya seleccionado vpc-secure-bastion-subnet. Pulse Siguiente.
   2. Para Red en la sección Grupos de seguridad, desmarque el grupo de seguridad predeterminado y marque vpc-secure-bastion-sg. Pulse Siguiente.
   3. En el diálogo Configuración de IP deje todo tal cual y pulse Siguiente.
   4. Por último, revise todo y finalice pulsando Guardar.
9. Haga clic en Crear servidor virtual.
10. Una vez que la instancia esté activa y En ejecución, pulse vpc-secure-bastion-vsi y reserve una IP flotante pulsando el icono Editar bajo Interfaces de red y, a continuación, en Dirección IP flotante seleccionando Reservar una nueva IP flotante. Pulse Guardar para finalizar.

Prueba del bastión

Cuando la dirección IP flotante del bastión esté activa, intente conectarse a la misma mediante ssh:

ssh -i ~/.ssh/<PRIVATE_KEY> root@<BASTION_FLOATING_IP_ADDRESS>

Crear una subred

Para crear una nueva subred,

1. Pulse Subredes en Red del panel de la izquierda y, a continuación, pulse Crear.
   1. Especifique vpc-secure-private-subnet como nombre y seleccione la VPC que ha creado.
   2. Seleccione el mismo grupo de recursos que para su VPC.
   3. Seleccione una Ubicación.
   4. Deje el Prefijo de dirección como está y seleccione el Total de direcciones IP como 256.
2. Cambie el valor de Pasarela pública por Conectada.
3. Pulse Crear subred para suministrarla.

Crear un grupo de seguridad

Para crear un nuevo grupo de seguridad:

1. Pulse Grupos de seguridad en Red y, a continuación, pulse Crear.
2. Especifique vpc-secure-private-sg como nombre y seleccione la VPC que ha creado anteriormente.
3. Pulse Crear grupo de seguridad.

Creación de una instancia de servidor virtual

Para crear una instancia de servidor virtual en la subred recién creada:

1. Pulse la subred vpc-secure-private-subnet creada anteriormente bajo Subredes.
2. Pulse Recursos conectados, en Instancias conectadas pulse Crear.
3. Para configurar la instancia:
   1. Especifique un nombre exclusivo, vpc-secure-private-vsi, y un grupo de recursos igual que antes.
   2. Seleccione la misma Ubicación que utiliza el servidor virtual de bastión.
   3. Seleccione el tipo Público del servidor virtual.
   4. En Imagen, pulse Cambiar imagen. Utilice el campo de búsqueda para seleccionar Ubuntu Linux como su Sistema operativo. Puede elegir cualquier versión de la imagen.
   5. Pulse Cambiar perfil, seleccione Calcular como categoría y elija cx2-2x4 (2 vCPUs y 4 GB de RAM) como perfil.
   6. Para Claves SSH, seleccione la clave SSH que ha creado anteriormente para el bastión.
4. Más abajo, seleccione la VPC que ha creado. De forma similar a la anterior, pulse el icono de edición para vpc-secure-private-subnet en Detalles de conexión de red e interfaz de red virtual.
   1. A continuación, verifique que se ha seleccionado vpc-secure-private-subnet. Pulse Siguiente.
   2. Para Red en la sección Grupos de seguridad, desmarque el grupo de seguridad predeterminado y marque vpc-secure-private-sg. Pulse Siguiente.
   3. En el diálogo Configuración de IP deje todo tal cual y pulse Siguiente.
   4. Por último, revise todo y finalice pulsando Guardar.
5. Haga clic en Crear servidor virtual.

Adición de instancia(s) de servidor virtual al grupo de seguridad de mantenimiento

Para el trabajo administrativo en los servidores, tiene que asociar los servidores virtuales específicos con el grupo de seguridad de mantenimiento. En las siguientes secciones habilitará el mantenimiento, iniciará una sesión en el servidor privado, actualizará la información del paquete de software y, a continuación, volverá a eliminar la asociación del grupo de seguridad.

Vamos a habilitar el grupo de seguridad de mantenimiento para el servidor.

1. Vaya a Grupos de seguridad y seleccione el grupo de seguridad vpc-secure-maintenance-sg.
2. Pulse la pestaña Recursos conectados y, en el filtro, seleccione Interfaz de servidor virtual.
3. Pulse Editar interfaces de servidor virtual para ver una lista de las VSI. Expanda la lista y compruebe la selección junto a la columna Interfaces para vpc-secure-private-vsi.
4. Pulse Guardar para que se apliquen los cambios.

Conexión a la instancia

Para ejecutar SSH en una instancia mediante su IP privada, utilizará el host bastión como host de salto.

1. En el menú de la izquierda, seleccione Instancias de servidor virtual en la sección Calcular. Anote la dirección IP reservada (IP privada) para vpc-secure-private-vsi.

2. Utilice el comando ssh con -J para iniciar sesión en el servidor con la dirección IP flotante del bastión que utilizó anteriormente y la dirección IP privada del servidor que acaba de buscar.

   ssh -J root@<BASTION_FLOATING_IP_ADDRESS> root@<PRIVATE_IP_ADDRESS>
   

   El distintivo -J está soportado en OpenSSH versión 7.3+. En las versiones anteriores, -J no está disponible. En este caso, la forma más segura y directa es utilizar la modalidad de reenvío stdio de ssh (-W) para que la conexión "rebote" a través de un host bastión. Por ejemplo, ssh -o ProxyCommand="ssh -W %h:%p root@<BASTION_FLOATING_IP_ADDRESS" root@<PRIVATE_IP_ADDRESS>

Instalación de software y realización de tareas de mantenimiento

Una vez conectado, puede instalar software en el servidor virtual o realizar tareas de mantenimiento.

1. En primer lugar, actualice la información del paquete de software:

   apt-get update
   

2. Instale el software que desee, como por ejemplo Nginx, MySQL o IBM Db2.

Cuando haya terminado, desconéctese del servidor con el mandato exit.

Para permitir solicitudes HTTP/HTTPS procedentes del usuario de Internet, asigne una IP flotante a la VSI y abra los puertos necesarios (80 para HTTP y 443 para HTTPS) mediante las reglas de entrada del grupo de seguridad de VSI privada.

Inhabilitación del grupo de seguridad de mantenimiento

Una vez que haya terminado de instalar software o de realizar el mantenimiento, debe eliminar los servidores virtuales del grupo de seguridad de mantenimiento para mantenerlos aislados.

1. Vaya a Grupos de seguridad y seleccione el grupo de seguridad vpc-secure-maintenance-sg.
2. Pulse Recursos conectados y, a continuación, Editar interfaces de servidor virtual.
3. Expanda las instancias del servidor virtual y desmarque la selección junto a la columna Interfaces para vpc-secure-private-vsi.
4. Pulse Guardar para que se apliquen los cambios.

Puede repetir el mandato ssh desde arriba con la opción de host de salto. Debería fallar ahora.