[beerman]

Tak ogólnie i hipotetycznie. Czy vps z ngnixem, ssl i wszystko w standardowej konfiguracji to jest wystarczające zabezpieczenie na np. jakiś panel administracyjny/CMS. Dostęp do serwera tylko z whitelistowanych IP (aplikacja bez ograniczeń IP) i użytkownika z wygenerowanym hasłem. Front i backend na jednym vps i dla pewności baza na osobny vps. Jakie są ryzyka trzymania apki w ten sposób? Czy trzeba jakoś inaczej to hostować, żeby uniknąć fakapów typu wyciek bazy danych? Ciekawi mnie jedynie kwestia bezpieczeństwa, pomijając wydajność, obciążenie serwera itd. Czy jeśli ktoś się nie zajmuje devopsem to lepiej użyć jakiegoś aws, heroku itd.
#serwery #vps #devops #programowanie #security

[user-agent-switcher]

@beerman: Krotko - i tak i nie. Przed lamusami - tak, przed dociekliwymi - nie.

Lap najlepszy resource jaki na ten temat mam:
Mastering Linux Security and Hardening - Donald A. Tevault

Naprawde nie da sie tego omowic w poscie rozsadnej dlugosci. Tym bardziej, ze kazdorazowo przychodzi dyskutowac rozne konfiguracje.

[beerman]

@user-agent-switcher: dzięki, za lekturę, przyda się jak będę stawiać. Pytanie zadałem trochę z tych filozoficznych, więc taka ogólna odpowiedź jest spoko, bo właśnie chodziło mi o naprowadzenie i mniej więcej zasugerowanie skuteczności tego co pisałem.

[user-agent-switcher]

@beerman: Nie jest zle tak, jak to zaproponowales. Trzymaj tylko wszystko zupdate'owane i nie zapomnij zrobic blacklistowania adresow IP na serwerze z baza danych - niech sie laczy tylko do VPS/ow z aplikacjami.

Dorzuc Cloudflare do zakrycia adresu IP serwera aplikacyjnego przed uzytkownikami i ochrony DDOS. Moze byc nawet ten darmowy pakiet.
To praktyczniejsze IMO rozwiazanie niz whitelist IP po stronie serwera

[Enzo_Molinari]

@beerman: nginx z dobrze skonfigurowanym modsecurity i whitelistami załatwia 99% przypadków, dodałbym jeszcze dodatkową warstwę czyli cloudflare jako ddos protection, spokojnie możesz trzymać bazkę na tym samym VPS co backend/frontend

[y.....l]

@beerman: Wyłącz logowanie do ssh po haśle i używaj kluczy, wyłącz logowanie na roota i zainstaluj fail2ban. Aplikacja powinna działać na minimalnych możliwych uprawnieniach. Jeżeli bazę trzymasz na osobnym hoście to rozważ tunel zamiast wystawiania jej na świat, do tego oczywiście user aplikacyjny w bazie z minimalnymi możliwymi uprawnieniami. To na początek powinno starczyć.

[ksos]

@beerman: dokladnie, dorzuc fail2ban, cloudflare (tam sa firewall rules gdzie mozesz zablokowac kraje itp + WAF), modsec, iptables dla swietgo spokoju