Osiguravanje SSH-a na Ubuntu 14.04

Nakon što stvorite novi poslužitelj, postoje neke konfiguracijske postavke koje biste trebali napraviti kako biste pojačali sigurnost vašeg poslužitelja.

Stvorite novog korisnika

Kao root korisnik, imate privilegije raditi sve što želite s poslužiteljem - bez ograničenja. Zbog toga je bolje izbjegavati korištenje root korisničkog računa za svaki zadatak na vašem poslužitelju. Počnimo stvaranjem novog korisnika. Zamijenite usernameželjenim korisničkim imenom:

adduser username

Odaberite novu sigurnu lozinku i u skladu s tim odgovorite na pitanja (ili jednostavno pritisnite ENTER da biste upotrijebili zadanu vrijednost).

Davanje root privilegija korisniku

Novi korisnički računi nemaju privilegije izvan svoje matične mape i ne mogu izvoditi naredbe koje će promijeniti poslužitelj (poput install, update, ili upgrade). Kako bismo izbjegli korištenje root računa, dat ćemo korisniku root privilegije. Postoje dva načina za to:

Dodavanje korisnika u sudo grupu

Jednostavan način je dodavanje korisnika u sudogrupu. Zamijenite usernameželjenim korisničkim imenom:

adduser username sudo

Ovo će dodati korisnika u grupu sudo. Ova grupa ima privilegiju pokretanja naredbi sa sudo pristupom.

Promjena sudoers datoteke

Drugi način je da stavite svog korisnika u sudoersdatoteku. Ako vaš poslužitelj ima više korisnika s root privilegijama, onda je ovaj pristup nešto bolji jer ako se netko petlja s sudogrupom, i dalje ćete moći izvoditi naredbe s root privilegijama za rad na poslužitelju.

Prvo pokrenite ovu naredbu:

visudo

Ovo će otvoriti sudoersdatoteku. Ova datoteka sadrži definicije grupa i korisnika koji mogu izvoditi naredbe s root privilegijama.

root    ALL=(ALL:ALL) ALL

Nakon ovog retka upišite svoje korisničko ime i dodijelite mu potpune root privilegije. Zamijenite u usernameskladu s tim:

username    ALL=(ALL:ALL) ALL

Spremite i zatvorite datoteku ( Ctrl + O i Ctrl + X u nano).

Testiranje vašeg novog korisnika

Za prijavu na svoj novi korisnički račun bez logouti login, jednostavno nazovite:

su username

Testirajte sudo dopuštenja pomoću ove naredbe:

sudo apt-get update

Shell će tražiti vašu lozinku. Ako je sudo ispravno konfiguriran, tada bi vaša spremišta trebala biti ažurirana. U suprotnom, pregledajte prethodne korake.

Sada se odjavite od novog korisnika:

exit

Sudo postavljanje je završeno.

Osiguravanje SSH-a

Sljedeći dio ovog vodiča uključuje osiguranje ssh prijave na poslužitelj. Prvo promijenite root lozinku:

passwd root

Odaberite nešto što je teško pogoditi, ali se možete sjetiti.

SSH ključ

SSH ključevi su sigurniji način za prijavu. Ako vas ne zanimaju SSH ključevi, prijeđite na sljedeći dio vodiča.

Za izradu SSH ključa koristite sljedeći Vultr Doc: Kako mogu generirati SSH ključeve?

Nakon što dobijete svoj javni ključ , ponovno se prijavite sa svojim novim korisnikom.

su username

Sada napravite .sshdirektorij i authorized_keysdatoteku u početnom imeniku tog korisničkog računa.

cd ~
mkdir .ssh
chmod 700 .ssh
touch .ssh/authorized_keys

Dodajte javni ključ koji ste generirali iz drugog vodiča u authorized_keysdatoteku.

 nano .ssh/authorized_keys

Spremite datoteku, a zatim promijenite dopuštenja te datoteke.

chmod 600 .ssh/authorized_keys

Vratite se root korisniku.

exit

SSH konfiguracija

Sada ćemo SSH demon učiniti sigurnijim. Počnimo s konfiguracijskom datotekom:

nano /etc/ssh/sshd_config

Promijenite SSH ulazni port

Ovaj korak će promijeniti port koji se koristi za pristup poslužitelju, potpuno je neobavezan, ali se preporučuje.

Pronađite redak s Portkonfiguracijom, trebao bi izgledati ovako:

Port 22

Sada promijenite ovaj port na bilo koji port koji želite. Mora biti veći od 1024.

Port 4422

Onemogući root ssh prijavu

Ovaj korak će onemogućiti root prijavu putem SSH-a, potpuno je neobavezan, ali se toplo preporučuje .

Pronađite ovu liniju:

PermitRootLogin yes

... i promijenite ga u:

PermitRootLogin no

To će poslužitelj učiniti sigurnijim od botova koji pokušavaju grubu silu i/ili uobičajene lozinke s korisnikom rooti portom 22.

Onemogućite prosljeđivanje X11

Ovaj korak će onemogućiti prosljeđivanje X11, nemojte to činiti ako koristite neki program udaljene radne površine za pristup svom poslužitelju.

Pronađite liniju X11:

X11Forwarding yes

... i mijenja se u:

X11Forwarding no

Ponovno pokrenite SSH demon

Sada kada smo napravili promjene kako bismo osigurali SSH prijavu, ponovno pokrenite SSH uslugu:

service ssh restart

Ovo će ponovno pokrenuti i ponovno učitati postavke poslužitelja.

Testiranje promjena

Bez prekida veze s trenutnom ssh sesijom, otvorite novi terminal ili PuTTY prozor i testirajte drugu SSH prijavu.

ssh -p 4422 username@SERVER_IP_OR_DOMAIN

Ako sve prođe, uspješno smo pojačali sigurnost vašeg poslužitelja. Uživati!