Að tryggja SSH á Ubuntu 14.04

Eftir að þú hefur búið til nýjan netþjón eru nokkrar stillingarbreytingar sem þú ættir að gera til að herða öryggi netþjónsins þíns.

Búðu til nýjan notanda

Sem rótnotandi hefurðu réttindi til að gera hvað sem þú vilt með þjóninum - engar takmarkanir. Vegna þessa er betra að forðast að nota rót notendareikninginn fyrir hvert verkefni á þjóninum þínum. Byrjum á því að búa til nýjan notanda. Skiptu út usernamefyrir viðkomandi notendanafn:

adduser username

Veldu nýtt öruggt lykilorð og svaraðu spurningunum í samræmi við það (eða ýttu bara á ENTER til að nota sjálfgefið gildi).

Að veita notanda rótarréttindi

Nýir notendareikningar hafa ekki réttindi utan heimamöppunnar og geta ekki keyrt skipanir sem munu breyta þjóninum (eins og install, update, eða upgrade). Til að forðast notkun rótarreikningsins munum við veita notandanum rótarréttindi. Það eru tvær leiðir til að gera þetta:

Bætir notanda við sudo hóp

Auðveldasta leiðin er að bæta notandanum við sudohópinn. Skiptu út usernamefyrir viðkomandi notendanafn:

adduser username sudo

Þetta mun bæta notandanum við hópinn sudo. Þessi hópur hefur þau forréttindi að keyra skipanirnar með sudo aðgangi.

Breytir sudoers skrá

Hin leiðin er að setja notandann þinn í sudoersskrána. Ef þjónninn þinn hefur marga notendur með rótarréttindi, þá er þessi nálgun nokkuð betri vegna þess að ef einhver klúðrar sudohópnum muntu samt geta keyrt skipanir með rótarréttindi til að vinna á þjóninum.

Fyrst skaltu keyra þessa skipun:

visudo

Þetta mun opna sudoersskrána. Þessi skrá inniheldur skilgreiningar á hópum og notendum sem geta keyrt skipanir með rótarréttindi.

root    ALL=(ALL:ALL) ALL

Eftir þessa línu skaltu skrifa notandanafnið þitt og veita því full rótarréttindi. Skiptu út í usernamesamræmi við það:

username    ALL=(ALL:ALL) ALL

Vistaðu og lokaðu skránni ( Ctrl + O og Ctrl + X í nano).

Er að prófa nýja notandann þinn

Til að skrá þig inn á nýja notandareikninginn þinn án logoutog loginhringdu einfaldlega í:

su username

Prófaðu sudo heimildir með þessari skipun:

sudo apt-get update

Skelin mun biðja um lykilorðið þitt. Ef sudo var stillt rétt, þá ætti að uppfæra geymslurnar þínar. Annars skaltu skoða fyrri skref.

Nú skaltu skrá þig út frá nýja notandanum:

exit

Sudo uppsetningu er lokið.

Að tryggja SSH

Næsti hluti þessarar handbókar felur í sér að tryggja ssh innskráningu á netþjóninn. Fyrst skaltu breyta rót lykilorðinu:

passwd root

Veldu eitthvað sem erfitt er að giska á, en sem þú getur munað.

SSH lykill

SSH lyklar eru öruggari leið til að skrá þig inn. Ef þú hefur ekki áhuga á SSH lyklum skaltu fara í næsta hluta kennslunnar.

Notaðu eftirfarandi Vultr Doc til að búa til SSH lykil: Hvernig bý ég til SSH lykla?

Eftir að þú færð almenna lykilinn þinn skaltu skrá þig inn með nýja notandanum þínum aftur.

su username

Búðu til .sshmöppuna og authorized_keysskrána í heimamöppu þess notandareiknings.

cd ~
mkdir .ssh
chmod 700 .ssh
touch .ssh/authorized_keys

Bættu almenningslyklinum sem þú bjóst til úr hinni kennslunni við authorized_keysskrána.

 nano .ssh/authorized_keys

Vistaðu skrána og breyttu síðan heimildum þeirrar skráar.

chmod 600 .ssh/authorized_keys

Farðu aftur í rótarnotandann.

exit

SSH stillingar

Nú munum við gera SSH púkann öruggari. Byrjum á stillingarskránni:

nano /etc/ssh/sshd_config

Breyta SSH á heimleið

Þetta skref mun breyta tenginu sem er notað til að fá aðgang að þjóninum, það er algjörlega valfrjálst en mælt er með því.

Finndu línuna með Portstillingunni, ætti að líta svona út:

Port 22

Breyttu nú þessari höfn í hvaða höfn sem þú vilt. Það verður að vera meira en 1024.

Port 4422

Slökktu á root ssh innskráningu

Þetta skref mun slökkva á rótarinnskráningu í gegnum SSH, það er algjörlega valfrjálst en mjög mælt með því .

Finndu þessa línu:

PermitRootLogin yes

... og breyttu því í:

PermitRootLogin no

Þetta mun gera þjóninn öruggari gegn vélmennum sem reyna brute force og/eða algeng lykilorð með notanda rootog port 22.

Slökktu á X11 áfram

Þetta skref mun slökkva á X11 áframsendingu, ekki gera þetta ef þú notar eitthvað fjarstýrt skrifborðsforrit til að fá aðgang að þjóninum þínum.

Finndu X11 línuna:

X11Forwarding yes

... og það breytist í:

X11Forwarding no

Endurræstu SSH púkinn

Nú þegar við gerðum breytingarnar til að tryggja SSH innskráninguna skaltu endurræsa SSH þjónustuna:

service ssh restart

Þetta mun endurræsa og endurhlaða netþjónsstillingunum.

Prófa breytingar

Án þess að aftengja núverandi ssh lotu skaltu opna nýja flugstöð eða PuTTY glugga og prófa aðra SSH innskráningu.

ssh -p 4422 username@SERVER_IP_OR_DOMAIN

Ef allt gengur upp höfum við hert öryggi netþjónsins þíns. Njóttu!