Как защитить SSH-сервер в Ubuntu

Отключить аутентификацию по паролю

Примечание : хотя данное руководство выполнено в Ubuntu, описанные действия применимы к большинству дистрибутивов Linux.

Установить и обновить SSH

Сначала обновите свою систему и установите необходимые пакеты.

Чтобы обновить систему и установить SSH-сервер на сервер и клиентские машины, выполните следующую команду:

sudo apt update && sudo apt upgrade
sudo apt install ssh

Настроить SSH для входа без пароля

Существ

Установить и обновить SSH

На клиентском компьютере сгенерируйте ключи SSH с помощью следующей команды:

ssh-keygen

Нажимайте клавишу Enterпри каждом появлении запроса. В результате будут созданы два файла: «id_rsa.pub» (открытый ключ) и «id_rsa» (закрытый ключ).

На вашем сервере создайте следующую папку (если она не существует):

mkdir -p ~/.ssh/

Вернитесь на свой клиентский компьютер и скопируйте ключ SSH на свой сервер, используя следующую команду:

ssh-copy-id username@your.server.ip.address

На вашем сервере убедитесь, что папка «.ssh» имеет правильные права доступа к файлам.

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Чтобы проверить, работает ли метод аутентификации с открытым ключом, попробуйте подключиться к вашему SSH-серверу с клиентского компьютера:

ssh username@your.server.ip.address

Если вы можете подключиться без ввода пароля, значит метод аутентификации с открытым ключом работает.

Примечание. Если вы используете Windows, используйте инструкции здесь для создания открытых/закрытых ключей SSH .

Файл конфигурации безопасного SSH

Файл «/etc/ssh/sshd_config» — это общесистемный файл конфигурации SSH, который позволяет вам устанавливать различные параметры для повышения безопасности SSH-сервера. Конфигурация по умолчанию в файле конфигурации очень небезопасна, поэтому вам необходимо сначала отредактировать ее и установить правильные параметры для повышения безопасности.

Чтобы отредактировать файл «/etc/ssh/sshd_config», запустите:

sudo nano /etc/ssh/sshd_config

Изменить порт прослушивания SSH

По умолчанию SSH прослушивает порт 22. Злоумышленники используют сканеры портов, чтобы узнать, запущена ли служба SSH или нет. Рекомендуется изменить порт по умолчанию.

Чтобы изменить порт по умолчанию на 2200, измените:

Port 22

до

Port 2200

Использовать только протокол 2

Версия 1 протокола содержит уязвимости безопасности. Протокол 2 является записью по умолчанию в Ubuntu.

Измените строку, показанную ниже:

Protocol 2

Ограничить доступ пользователей

Необходимо разрешить вход в SSH только определенным пользователям. Это может улучшить вашу безопасность. По умолчанию эта опция недоступна в файле конфигурации SSH.

Чтобы разрешить «user1» и «user2», добавьте следующую строку:

AllowUsers user1 user2

Чтобы запретить «baduser1» и «baduser2», добавьте следующую строку:

DenyUsers baduser1 baduser2

Отключить root-вход

Нет необходимости входить в систему как root через ssh по сети. Обычные пользователи также могут использовать suили sudoдля получения доступа на корневом уровне. Большинство злоумышленников попытаются использовать для входа пользователя root. Это большой риск для безопасности, поэтому рекомендуется запре

Файл конфигурации безопасного SSH

PermitRootLogin prohibit-password

до

PermitRootLogin no

Скрыть последний вход

Вы можете скрыть, кто вошел в систему последним, когда пользователь входит в систему.

Изменить строку

PrintLastLog yes

до

PrintLastLog no

Вы все еще можете Изменить порт прослушивания SSHe="просмотреть все активные SSH-соединения с помощью методов из этого списка">просмотреть все активные SSH-соединения с помощью методов из этого списка .

Ограничить интерфейс для входа

По умолчанию SSH прослушивает все сетевые интерфейсы. Если вы хотите разрешить SSH-соединение с определенного IP-адреса, вы можете изменить строку:

#ListenAddress ::

до

ListenAddress 192.168.68.175

Отключить аутентификацию по паролюИспользовать только протокол 2

Для этого измените строку

# PasswordAuthentication yes

в

PasswordAuthentication no

Ограничить доступ пользователейить аутентификацию по паролю">

Отключить файлы.rhosts

Файлы.rhosts определяют, какие пользователи могут получить доступ к r-командам (rsh, rcp, rlogin и т. д.) на локальном компьютере без пароля. По умолчанию файл.rhosts отключен; если нет, измените строки, как показано ниже.

IgnoreRhosts yes
RhostsAuthentication no
RSAAuthentication yes

Отключить аутентификацию на основе хоста

Аутентификация на основе хоста SSH более безопасна, чем аутентификация.rhosts. Однако не рекомендуется, чтобы хосты доверяли друг другу. По умолчанию эта опция отключена.

Если нет, измените строку, как показано ниже:

Отключить root-вход