Bastion Host, também conhecido como Jump Server ou jump box, é um servidor especialmente projetado e endurecido (hardened) que atua como ponto único de acesso administrativo entre uma rede pública (internet) e servidores internos em subnets privadas. Ele reduz drasticamente a superfície de ataque ao concentrar todo acesso SSH ou RDP em um único host monitorado, auditado e protegido por múltiplas camadas de segurança.
TL;DR
- Bastion Host é a porta de entrada controlada para acessar servidores em redes privadas, funcionando como intermediário obrigatório.
- Importa porque elimina exposição direta de servidores críticos à internet, centraliza logs e força MFA em toda operação administrativa.
- Use quando precisar administrar EC2, RDS, Kubernetes ou VMs em VPCs privadas com auditoria e compliance (PCI-DSS, HIPAA, ISO 27001).
Como funciona
Bastion Host é um servidor intermediário que aceita conexões SSH ou RDP autenticadas da internet e permite acesso controlado a hosts em subnets privadas. O administrador conecta primeiro ao bastion (que fica em subnet pública com IP roteável), autentica-se com chave SSH e MFA, e então abre uma segunda sessão SSH para os servidores privados. O bastion não hospeda aplicações — sua única função é servir de ponto de salto (jump) auditado.
Arquitetura
A topologia típica coloca o bastion em uma Public Subnet com Elastic IP e Security Group restritivo (SSH liberado apenas para IPs corporativos). Os servidores de aplicação, bancos de dados e Kubernetes ficam em Private Subnets sem rota para a internet. O tráfego de saída dessas subnets passa por um NAT Gateway; o tráfego de entrada administrativo passa exclusivamente pelo bastion. Security Groups das instâncias privadas aceitam SSH apenas do Security Group do bastion, criando uma cadeia de confiança explícita.
Ferramentas
Além do bastion tradicional em Linux (Amazon Linux, Ubuntu, Debian), existem alternativas modernas e gerenciadas que eliminam a necessidade de manter um servidor SSH exposto: AWS Systems Manager Session Manager, Google Cloud IAP (Identity-Aware Proxy), Azure Bastion, Teleport, HashiCorp Boundary e StrongDM. Essas soluções oferecem acesso Zero Trust, gravação de sessão, integração com IdP corporativo (Okta, Azure AD) e eliminam a exposição de porta 22 na internet.
Hardening essencial
- SSH apenas com chave (senha desabilitada em sshd_config).
- MFA obrigatório via Google Authenticator ou Duo Security.
- fail2ban para bloquear tentativas de brute force.
- Atualizações automáticas de segurança (unattended-upgrades).
- Logs enviados em tempo real para SIEM (CloudWatch, Splunk, Datadog).
- Sem software desnecessário — kernel mínimo, sem compiladores, sem GUI.
Leia o artigo completo: Bastion Host (Jump Server): arquitetura, hardening e alternativas modernas
