Como configurar um jump host (bastion) para acessar servidores internos com segurança

Como configurar um jump host (bastion) para acessar servidores internos com segurança 🥷

Oi, tudo bem? Aqui é a Sensei da GeHost! Hoje vou te ensinar um truque que qualquer time que mexe com servidores deveria usar: o jump host, também chamado de bastion. Parece nome de filme de espião, mas é bem mais simples do que parece — e vai deixar o acesso aos seus servidores muito mais seguro. Vamos com calma, passo a passo. 🧘

O que é um jump host, afinal?

Imagina que você tem vários servidores "internos" (que você não quer expor direto pra internet) e só UM servidor "porta de entrada", que fica acessível de fora. Esse servidor porta de entrada é o jump host: você conecta nele primeiro, e só a partir dele você "pula" (daí o nome) para os outros servidores.

Na prática isso significa: em vez de deixar 5 servidores com a porta SSH aberta pro mundo todo, você deixa só 1 exposto — o bastion — e os outros só aceitam conexão vinda dele. Menos porta aberta, menos gente batendo na sua porta. 🔒

💡 Dica da Sensei: pense no bastion como o porteiro do prédio. Ninguém entra direto no seu apartamento — todo mundo passa pela portaria primeiro.

Por que vale a pena usar

• Superfície de ataque menor: só um ponto de entrada pra proteger e monitorar de perto.
• Log centralizado: todo acesso passa pelo bastion, então fica mais fácil auditar "quem entrou onde e quando".
• Servidores internos ficam realmente internos: sem IP público exposto, sem SSH batendo direto neles.

Passo 1 — Prepare suas chaves SSH

Antes de tudo, esqueça senha por SSH — use chave pública/privada. Se você ainda não tem uma chave, gere assim no seu computador (Linux/Mac/WSL):

1. Abra o terminal.
2. Rode: ssh-keygen -t ed25519 -C "seu-email@exemplo.com"
3. Aperte Enter nas perguntas (ou defina uma frase-senha extra, se quiser mais segurança ainda).
4. Isso gera dois arquivos: uma chave privada (fica só com você, nunca compartilhe) e uma pública (essa você copia pros servidores).

Copie a chave pública tanto para o bastion quanto para os servidores internos (no arquivo ~/.ssh/authorized_keys do usuário que você vai usar para acessar).

Passo 2 — Configure o acesso ao bastion

No seu computador, edite (ou crie) o arquivo ~/.ssh/config e adicione um bloco assim:

1. Host bastion
2.   HostName SEU_ENDERECO_DO_BASTION
3.   User seu_usuario
4.   IdentityFile ~/.ssh/id_ed25519

Troque SEU_ENDERECO_DO_BASTION pelo endereço real do seu servidor de entrada — esse dado é específico do seu ambiente, então confira no seu painel ou com o nosso suporte se tiver dúvida de qual é o correto.

Passo 3 — Configure o "pulo" para o servidor interno

Agora, no mesmo arquivo ~/.ssh/config, adicione outro bloco pro servidor interno, usando a opção ProxyJump (é essa opção que faz a mágica de "passar pelo bastion antes"):

1. Host servidor-interno
2.   HostName IP_INTERNO_DO_SERVIDOR
3.   User seu_usuario
4.   IdentityFile ~/.ssh/id_ed25519
5.   ProxyJump bastion

Pronto! A partir de agora, basta rodar ssh servidor-interno no seu terminal que ele conecta automaticamente no bastion primeiro e depois "pula" pro servidor interno — tudo numa tacada só, sem você precisar fazer dois logins manuais.

💡 Dica da Sensei: se você usa uma versão mais antiga de SSH que não tem ProxyJump, dá pra fazer o mesmo com ProxyCommand ssh -W %h:%p bastion — funciona igual, só é um jeito mais "old school" de escrever.

Passo 4 — Deixe o bastion mais durão (hardening básico)

Como o bastion é a única porta de entrada, vale reforçar ele especialmente:

• Desative login por senha — só chave. No sshd_config do servidor: PasswordAuthentication no.
• Desative login direto do usuário root — PermitRootLogin no. Use um usuário comum + sudo quando precisar.
• Restrinja quem pode entrar no bastion por IP, sempre que possível (ex.: só a rede do seu escritório ou sua VPN).
• Mantenha o sistema sempre atualizado — é a porta de entrada, então precisa estar com os patches de segurança em dia.
• Monitore os logs de acesso (/var/log/auth.log ou equivalente) de vez em quando, pra notar tentativas estranhas.

Passo 5 — Feche a porta dos servidores internos pro mundo

Depois que o "pulo" estiver funcionando, o passo final é garantir que os servidores internos não aceitem mais conexão SSH vinda de fora — só do bastion. Isso normalmente é feito no firewall do próprio servidor interno, liberando a porta SSH apenas para o endereço interno do bastion.

💡 Dica da Sensei: teste sempre num horário tranquilo, com uma segunda forma de acesso de backup (ex.: console do provedor) antes de fechar totalmente a porta — assim, se algo sair errado na configuração do firewall, você não fica trancado do lado de fora.

Precisa de uma força?

Se esse assunto for específico do seu ambiente ou envolver detalhes técnicos do seu plano/servidor, dá uma olhada no painel.gehost.com.br ou chama a gente no suporte — a gente ajuda a conferir o que faz sentido pro seu caso. 😊

É isso! Com o bastion configurado, seu acesso fica bem mais seguro e organizado — e você ainda parece um espião de filme toda vez que digita ssh servidor-interno. Até a próxima aula! 🥋