如何在Google VM上设置SSH防火墙规则，以便只有我的办公室计算机可以通过SSH访问VM？

Question

在过去的几天里，我的Google VM不断被攻破，我收到了警告，并面临着Google暂停VM的警告，称“在VM上发现了加密货币挖掘活动”。我怀疑有人入侵了我的虚拟机并执行此操作。因此，现在我想创建一个具有安全SSH防火墙的新虚拟机，以便只有有限的计算机可以访问该虚拟机。

我已经尝试在防火墙上设置我办公室路由器的IP ssh允许规则，但在设置此规则后，也会从其他IP地址建立到VM的SSH连接。我只想在防火墙规则中指定两个IP，但它要求IP范围为CIDR格式(我不清楚该格式)。

我还发现了一些建议，即我应该更改VM的ssh端口。

谁能解释一下，我如何才能限制访问我的谷歌虚拟机，只有特定的一组计算机时，这台计算机连接到路由器和外部IP是相同的，即所有的路由器？

谢谢

Answer 1

我知道您想要创建一个具有安全防火墙SSH的新虚拟机，并希望限制和允许从您办公室路由器的特定IP地址进行访问。

要做到这一点，您可以创建防火墙规则，如此处所述，1。要管理特定实例的访问，我建议您对防火墙规则2使用网络标签。

回到您所关心的问题，即使您为特定IP地址创建了防火墙规则，也会从其他IP地址建立到VM的SSH连接。原因可能是这样的：

您在GCP中创建的每个项目都带有默认的防火墙规则。所以可能有一个您需要阻止的default-allow-ssh规则，我猜这可能是导致问题的原因。请注意，默认网络包括一些覆盖此规则的附加规则，允许某些类型的传入流量。有关更多详细信息，请参阅附件中的link3。

[3]https://cloud.google.com/vpc/docs/firewalls#default_firewall_rules [4]https://cloud.google.com/vpc/docs/firewalls#more_rules_default_vpc

您还可以添加来宾级防火墙规则，例如使用"iptables“将另一个安全级别添加到您的VM实例。但是，GCP项目级防火墙规则负责在网络流量进入您的VM实例之前对其进行检查。操作系统防火墙阻止到任何端口22的所有互联网流量。

为了允许特定地址能够在您的VM实例上连接，您可以在"default- allow -ssh“GCP防火墙规则的"IP ranges”值上添加/32的CIDR。例如，45.56.122.7/32和208.43.25.31/32。