Sikring av SSH på Ubuntu 14.04

Etter at du har opprettet en ny server, er det noen konfigurasjonsjusteringer du bør gjøre for å styrke sikkerheten til serveren din.

Opprett en ny bruker

Som root-bruker har du rettigheter til å gjøre alt du vil med serveren - ingen begrensninger. På grunn av dette er det bedre å unngå å bruke root-brukerkontoen for hver oppgave på serveren din. La oss starte med å lage en ny bruker. Erstatt usernamemed ønsket brukernavn:

adduser username

Velg et nytt sikkert passord og svar på spørsmålene tilsvarende (eller trykk ENTER for å bruke standardverdien).

Gir brukerrotrettigheter

Nye brukerkontoer har ikke privilegier utenfor hjemmemappen og kan ikke kjøre kommandoer som vil endre serveren (som install, update, eller upgrade). For å unngå bruk av root-kontoen, vil vi gi brukeren root-privilegier. Det er to måter å gjøre dette på:

Legger til bruker i sudo-gruppen

Den enkle måten er å legge brukeren til sudogruppen. Erstatt usernamemed ønsket brukernavn:

adduser username sudo

Dette vil legge brukeren til gruppen sudo. Denne gruppen har privilegiet til å kjøre kommandoene med sudo-tilgang.

Endring av sudoers-fil

Den andre måten er å legge brukeren inn i sudoersfilen. Hvis serveren din har flere brukere med root-privilegier, er denne tilnærmingen noe bedre fordi hvis noen roter med sudogruppen, vil du fortsatt kunne kjøre kommandoer med root-privilegier for å fungere på serveren.

Kjør først denne kommandoen:

visudo

Dette vil åpne sudoersfilen. Denne filen inneholder definisjoner av grupper og brukere som kan kjøre kommandoer med root-privilegier.

root    ALL=(ALL:ALL) ALL

Etter denne linjen, skriv brukernavnet ditt og gi det fulle root-privilegier. Erstatt usernametilsvarende:

username    ALL=(ALL:ALL) ALL

Lagre og lukk filen ( Ctrl + O og Ctrl + X i nano).

Tester din nye bruker

For å logge inn på din nye brukerkonto uten logoutog login, ring ganske enkelt:

su username

Test sudo-tillatelser ved å bruke denne kommandoen:

sudo apt-get update

Skallet vil be om passordet ditt. Hvis sudo ble konfigurert riktig, bør depotene dine oppdateres. Se ellers gjennom de forrige trinnene.

Logg ut fra den nye brukeren:

exit

Sudo-oppsettet er fullført.

Sikring av SSH

Den neste delen av denne veiledningen innebærer å sikre ssh-påloggingen til serveren. Først endrer du root-passordet:

passwd root

Velg noe som er vanskelig å gjette, men som du kan huske.

SSH-nøkkel

SSH-nøkler er en tryggere måte å logge på. Hvis du ikke er interessert i SSH-nøkler, hopp til neste del av opplæringen.

Bruk følgende Vultr Doc for å lage en SSH-nøkkel: Hvordan genererer jeg SSH-nøkler?

Etter at du har fått den offentlige nøkkelen , logger du på med den nye brukeren igjen.

su username

Lag nå .sshkatalogen og authorized_keysfilen i hjemmekatalogen til den brukerkontoen.

cd ~
mkdir .ssh
chmod 700 .ssh
touch .ssh/authorized_keys

Legg til den offentlige nøkkelen du genererte fra den andre opplæringen til authorized_keysfilen.

 nano .ssh/authorized_keys

Lagre filen, og endre deretter tillatelsene til den filen.

chmod 600 .ssh/authorized_keys

Gå tilbake til root-brukeren.

exit

SSH-konfigurasjon

Nå vil vi gjøre SSH-demonen sikrere. La oss starte med konfigurasjonsfilen:

nano /etc/ssh/sshd_config

Endre SSH inngående port

Dette trinnet vil endre porten som brukes for å få tilgang til serveren, det er helt valgfritt, men anbefales.

Finn linjen med Portkonfigurasjonen, skal se slik ut:

Port 22

Endre nå denne porten til hvilken som helst port du ønsker. Den må være større enn 1024.

Port 4422

Deaktiver root ssh-pålogging

Dette trinnet vil deaktivere rotpålogging gjennom SSH, det er helt valgfritt, men anbefales på det sterkeste .

Finn denne linjen:

PermitRootLogin yes

... og endre det til:

PermitRootLogin no

Dette vil gjøre serveren mer sikker mot roboter som prøver brute force og/eller vanlige passord med bruker rootog port 22.

Deaktiver X11 fremover

Dette trinnet vil deaktivere X11-videresending, ikke gjør dette hvis du bruker et eksternt skrivebordsprogram for å få tilgang til serveren din.

Finn X11-linjen:

X11Forwarding yes

... og det endres til:

X11Forwarding no

Start SSH-demonen på nytt

Nå som vi gjorde endringene for å sikre SSH-påloggingen, start SSH-tjenesten på nytt:

service ssh restart

Dette vil starte på nytt og laste inn serverinnstillingene på nytt.

Testing av endringer

Uten å koble fra din nåværende ssh-økt, åpne en ny terminal eller PuTTY-vindu og test en annen SSH-pålogging.

ssh -p 4422 username@SERVER_IP_OR_DOMAIN

Hvis alt sjekker ut, har vi styrket sikkerheten til serveren din. Nyt!