SSH biztonsága az Ubuntu 14.04-en

Új kiszolgáló létrehozása után néhány konfigurációs módosítást kell végrehajtania a szerver biztonságának fokozása érdekében.

Hozzon létre egy új felhasználót

Root felhasználóként jogosultságod van bármit megtenni a szerverrel – korlátozás nélkül. Emiatt jobb elkerülni a root felhasználói fiók használatát a szerveren lévő minden feladathoz. Kezdjük egy új felhasználó létrehozásával. Cserélje usernameki a kívánt felhasználónévvel:

adduser username

Válasszon új biztonságos jelszót, és ennek megfelelően válaszoljon a kérdésekre (vagy egyszerűen nyomja meg az ENTER billentyűt az alapértelmezett érték használatához).

Root jogosultságok megadása a felhasználónak

Az új felhasználói fiókok nem rendelkeznek jogosultságokkal a saját mappájukon kívül, és nem futtathatnak olyan parancsokat, amelyek megváltoztatják a kiszolgálót (például install, update, vagy upgrade). A root fiók használatának elkerülése érdekében root jogosultságokat adunk a felhasználónak. Ennek két módja van:

Felhasználó hozzáadása a sudo csoporthoz

A legegyszerűbb módja a felhasználó hozzáadása a sudocsoporthoz. Cserélje usernameki a kívánt felhasználónévvel:

adduser username sudo

Ez hozzáadja a felhasználót a csoporthoz sudo. Ez a csoport jogosult a parancsokat sudo hozzáféréssel futtatni.

Sudoers fájl módosítása

A másik módszer az, hogy a felhasználót a sudoersfájlba helyezi. Ha a szerverén több felhasználó is rendelkezik root jogosultságokkal, akkor ez a megközelítés valamivel jobb, mert ha valaki összezavarja a sudocsoportot, továbbra is futtathat root jogosultságokkal rendelkező parancsokat a szerveren való munkához.

Először futtassa ezt a parancsot:

visudo

Ezzel megnyílik a sudoersfájl. Ez a fájl azon csoportok és felhasználók definícióit tartalmazza, akik parancsokat futtathatnak root jogosultságokkal.

root    ALL=(ALL:ALL) ALL

E sor után írja be a felhasználónevét, és adjon neki teljes root jogosultságot. Cserélje ki usernameennek megfelelően:

username    ALL=(ALL:ALL) ALL

Mentse és zárja be a fájlt ( Ctrl + O és Ctrl + X nanoban).

Új felhasználó tesztelése

Ha új felhasználói fiókjába logoutés nélkül szeretne bejelentkezni login, egyszerűen hívja:

su username

Tesztelje a sudo engedélyeket ezzel a paranccsal:

sudo apt-get update

A shell kérni fogja a jelszavát. Ha a sudo megfelelően volt konfigurálva, akkor frissíteni kell a tárolókat. Ellenkező esetben tekintse át az előző lépéseket.

Most jelentkezzen ki az új felhasználóból:

exit

A Sudo beállítása kész.

SSH biztosítása

Az útmutató következő része az ssh bejelentkezés biztosítását tartalmazza a kiszolgálón. Először módosítsa a root jelszót:

passwd root

Válassz valamit, amit nehéz kitalálni, de emlékezhetsz rá.

SSH kulcs

Az SSH-kulcsok a bejelentkezés biztonságosabb módjai. Ha nem érdeklik az SSH-kulcsok, ugorjon az oktatóanyag következő részére.

A következő Vultr Doc segítségével készítsen SSH-kulcsot: Hogyan generálhatok SSH-kulcsokat?

Miután megkapta nyilvános kulcsát , jelentkezzen be újra új felhasználójával.

su username

Most tegye a .sshkönyvtárat és a authorized_keysfájlt a felhasználói fiók kezdőkönyvtárába.

cd ~
mkdir .ssh
chmod 700 .ssh
touch .ssh/authorized_keys

Adja hozzá a authorized_keysfájlhoz a másik oktatóanyagból generált nyilvános kulcsot .

 nano .ssh/authorized_keys

Mentse a fájlt, majd módosítsa a fájl engedélyeit.

chmod 600 .ssh/authorized_keys

Vissza a root felhasználóhoz.

exit

SSH konfiguráció

Most biztonságosabbá tesszük az SSH démont. Kezdjük a konfigurációs fájllal:

nano /etc/ssh/sshd_config

SSH bejövő port módosítása

Ez a lépés megváltoztatja a kiszolgáló eléréséhez használt portot, ez teljesen opcionális, de ajánlott.

Keresse meg a sort a Portkonfigurációval, így kell kinéznie:

Port 22

Most módosítsa ezt a portot bármely kívánt portra. 1024-nél nagyobbnak kell lennie.

Port 4422

A root ssh bejelentkezés letiltása

Ez a lépés letiltja a root bejelentkezést az SSH-n keresztül, ez teljesen opcionális, de erősen ajánlott .

Keresse meg ezt a sort:

PermitRootLogin yes

... és módosítsa a következőre:

PermitRootLogin no

Ez biztonságosabbá teszi a szervert a brutális erőt és/vagy a 22-es portot használó általános jelszavakat próbáló robotokkal szemben root.

Az X11 továbbítás letiltása

Ez a lépés letiltja az X11 továbbítást. Ne tegye ezt, ha távoli asztali programot használ a szerver eléréséhez.

Keresse meg az X11 sort:

X11Forwarding yes

... és a következőre változik:

X11Forwarding no

Indítsa újra az SSH démont

Most, hogy végrehajtottuk a módosításokat az SSH bejelentkezés biztonsága érdekében, indítsa újra az SSH szolgáltatást:

service ssh restart

Ezzel újraindul, és újra betölti a szerver beállításait.

Változások tesztelése

Az aktuális ssh-munkamenet leválasztása nélkül nyisson meg egy új terminált vagy PuTTY-ablakot, és teszteljen egy másik SSH-bejelentkezést.

ssh -p 4422 username@SERVER_IP_OR_DOMAIN

Ha minden rendben van, sikeresen megerősítettük szervere biztonságát. Élvezd!