Amalan baik dengan OpenSSH

OpenSSH (Buka Shell Selamat) adalah sekumpulan aplikasi yang memungkinkan komunikasi terenkripsi melalui rangkaian, menggunakan protokol SSH. Ia dibuat sebagai alternatif percuma dan terbuka untuk program ini Shell selamat, yang merupakan perisian proprietari. « Wikipedia.

Sebilangan pengguna mungkin berpendapat bahawa amalan baik hanya boleh diterapkan pada pelayan dan tidak. Banyak pengedaran GNU / Linux termasuk OpenSSH secara lalai dan ada beberapa perkara yang perlu diingat.

Keselamatan

Ini adalah 6 perkara terpenting yang perlu diingat semasa mengkonfigurasi SSH:

1. Gunakan kata laluan yang kuat.
2. Tukar port SSH lalai.
3. Sentiasa gunakan versi 2 protokol SSH.
4. Lumpuhkan akses root.
5. Hadkan akses pengguna.
6. Gunakan pengesahan kunci.
7. Pilihan lain

Kata laluan yang kuat

Kata laluan yang baik ialah kata laluan yang mengandungi aksara alfanumerik atau khas, ruang, huruf besar dan kecil... dsb. Di sini DesdeLinux Kami telah menunjukkan beberapa kaedah untuk menjana kata laluan yang baik. Boleh melawat artikel ini y ini lain.

Tukar port lalai

Port lalai untuk SSH adalah 22. Untuk mengubahnya, yang perlu kita lakukan adalah mengedit fail / etc / ssh / sshd_config. Kami mencari garis yang mengatakan:

#Port 22

kami melepaskannya dan menukar 22 untuk nombor lain .. contohnya:

Port 7022

Untuk mengetahui port yang tidak kita gunakan di komputer / pelayan kita dapat dijalankan di terminal:

$ netstat -ntap

Sekarang untuk mengakses komputer atau pelayan kita, kita mesti melakukannya dengan pilihan -p seperti berikut:

$ ssh -p 7022 usuario@servidor

Gunakan Protokol 2

Untuk memastikan bahawa kami menggunakan versi 2 protokol SSH, kami mesti mengedit failnya / etc / ssh / sshd_config dan cari garis yang mengatakan:

# Protokol 2

Kami melepaskannya dan memulakan semula perkhidmatan SSH.

Jangan biarkan akses sebagai root

Untuk mengelakkan pengguna root dapat mengakses jarak jauh melalui SSH, kami melihat failnya/ etc / ssh / sshd_config garisan itu:

#PermitRootLogin no

dan kami melepaskannya. Saya rasa perlu dijelaskan bahawa sebelum melakukan ini, kita mesti memastikan bahawa pengguna kita mempunyai kebenaran yang diperlukan untuk melakukan tugas pentadbiran.

Hadkan akses oleh pengguna

Tidak ada salahnya untuk membenarkan akses melalui SSH hanya kepada pengguna tertentu yang dipercayai, jadi kami kembali ke file / etc / ssh / sshd_config dan kami menambah baris:

AllowUsers elav usemoslinux kzkggaara

Di mana jelas, pengguna elav, usemoslinux dan kzkggaara adalah pengguna yang dapat mengaksesnya.

Gunakan pengesahan kunci

Walaupun kaedah ini adalah yang paling disyorkan, kita mesti berhati-hati kerana kita akan mengakses pelayan tanpa memasukkan kata laluan. Ini bermaksud bahawa jika pengguna berjaya memasuki sesi kita atau komputer kita dicuri, kita mungkin berada dalam masalah. Walau bagaimanapun, mari kita lihat bagaimana melakukannya.

Perkara pertama adalah membuat sepasang kunci (awam dan peribadi):

ssh-keygen -t rsa -b 4096

Kemudian kami memberikan kunci kami ke komputer / pelayan:

ssh-copy-id -i ~/.ssh/id_rsa.pub elav@200.8.200.7

Akhirnya kita mesti dibahas dalam fail / etc / ssh / sshd_config garisan itu:

AuthorizedKeysFile .ssh/authorized_keys

Pilihan lain

Kami dapat mengurangkan masa menunggu di mana pengguna berjaya masuk ke sistem menjadi 30 saat

LoginGraceTime 30

Untuk mengelakkan serangan ssh melalui TCP Spoofing, membiarkan bahagian ssh dienkripsi hidup selama maksimum 3 minit, kita dapat mengaktifkan 3 pilihan ini.

TCPKeepAlive no ClientAliveInterval 60 ClientAliveCountMax 3

Lumpuhkan penggunaan fail rhosts atau shosts, yang atas sebab keselamatan diminta agar tidak digunakan.

AbaikanRosting ya AbaikanPenggunaKetahuiKhostanya ya Rhosts Autentikasi no RhostsRSAAtentikasi no

Periksa kebenaran pengguna yang berkesan semasa log masuk.

StrictModes yes

Dayakan pemisahan hak istimewa.

UsePrivilegeSeparation yes

Kesimpulan:

Dengan melakukan langkah-langkah ini kita dapat menambahkan keselamatan tambahan pada komputer dan pelayan kita, tetapi kita tidak boleh lupa bahawa ada faktor penting: apa antara kerusi dan papan kekunci. Itulah sebabnya saya mengesyorkan membaca artikel ini.

Fuente: HowToForge