🧱 Esettanulmány: CrowdSec + pfSense + Guacamole – Védett távoli rendszergazdai belépés kompromisszumok nélkül

🎯 Célkitűzés

A cél: egy távoli hozzáférést biztosító adminfelület létrehozása, amely:

• biztonságos, többfaktoros, naplózott
• nem publikus
• és automatikusan reagál a támadásokra

Az ügyfél – egy kis IT-cég – saját szervereket, VM-eket és tűzfalakat kezel, távolról. A cél az volt, hogy az adminisztráció egyetlen felületen történjen, VPN mögött, és csak azoknak legyen esélye bejutni, akik valóban odavalók.

---

🧩 Felhasznált technológiák

• pfSense: hálózati gateway, VPN, NAT, tűzfalszabályok
• Apache Guacamole: webes távoli asztal és terminál elérés (RDP, SSH, VNC egy böngészőben)
• CrowdSec: IDS és közösségi IP-blokkoló
• OpenVPN: titkosított kapcsolat a Guacamole eléréséhez
• 2FA: Guacamole és VPN oldalon is aktiválva
• Let’s Encrypt: HTTPS védelem

---

🔐 Megvalósítási architektúra

plaintextMásolásSzerkesztésInternet
   │
[pfSense + OpenVPN Server]
   │   (VPN)
[LAN interface]
   │
[Debian szerver + Guacamole]
   │
CrowdSec figyeli a logokat (VPN, Guacamole, rendszer)
   │
Bouncer tiltja az IP-ket, pfSense is logol

---

⚙️ Részletes lépések

1️⃣ pfSense – a hálózat kapuja

• WAN oldalon csak az OpenVPN port elérhető
• VPN bejelentkezéshez user+pass + OTP
• GeoIP + Port filter a WAN oldalon (csak magyar IP-k léphetnek kapcsolatba a VPN-szerverrel)

2️⃣ OpenVPN – a belépési pont

• Szükség van:
  • hitelesített kliens tanúsítványra,
  • felhasználói név/jelszó párosra,
  • Google Authenticator 2FA-ra
• Sikertelen belépések naplózása: /var/log/openvpn.log – CrowdSec figyeli

3️⃣ Guacamole – webes admin felület

• Csak VPN-en belül érhető el
• Saját 2FA védelemmel
• RDP, SSH, VNC hozzáférések centralizált kezelése
• Crowdszek figyeli a guacd és tomcat logokat is

4️⃣ CrowdSec – intelligens védelem

• Megfigyel:
  • VPN login naplók
  • Guacamole hibás próbálkozások
  • Linux auth.log
• Automatikusan:
  • Tiltja az IP-t (iptables-nft bouncerrel)
  • Értesítést küld (e-mail webhook opcióval)
  • Feltölti az IP-t a globális CrowdSec API-ba (ha jogosnak ítéli)
• Csak magyar IP-k próbálkozhatnak, de dinamikus whitelist biztosít helyet a partneri VPN-szolgáltatásoknak is

---

🔍 Mit nyertünk?

• Külső támadások blokkolva már a VPN-kapcsolati próbálkozásnál
• Sikertelen bejelentkezések nem csak naplózódnak – hanem le is tiltódnak
• Nincs nyitott RDP-port, SSH-port vagy VNC
• A teljes infrastruktúra egyetlen Guacamole webfelületen keresztül elérhető – de csak VPN-ből
• A Guacamole oldal is kétfaktoros és naplózott – így a felhasználók sem megkerülhetik a védelmet

---

🧠 Tapasztalat

• A rendszer erősen skálázható – új adminisztrátort hozzáadni pár perc, nincs szükség új portnyitásra
• A CrowdSec a második héttől kezdve jelentősen csökkentette a próbálkozások számát
• Az ügyfél visszajelzése alapján: „Eddig is VPN-nel dolgoztunk, de most végre nyugodt vagyok, hogy ha valaki próbálkozik, meg is kapja érte…”

---

✨ Lehetséges bővítések

• CrowdSec központi dashboard + SIEM integráció
• Guacamole auditnaplók továbbítása Graylogba vagy Wazuh-ba
• CrowdSec log forwarding a pfSense naplókba is – SNMP vagy Syslog alapján
• Saját bouncer pfSense felé, ha natív blokkolás is kell a tűzfalon

---

📞 Hasonló megoldáson gondolkodsz?
Mi szívesen segítünk megtervezni és kivitelezni.
Modern rendszeradminisztráció – biztonságosan, központilag, távolról.