Обезбеђивање ССХ-а на Убунту 14.04

Након што креирате нови сервер, постоје нека подешавања конфигурације која би требало да урадите да бисте појачали безбедност вашег сервера.

Креирајте новог корисника

Као роот корисник, имате привилегије да радите све што желите са сервером - без ограничења. Због тога је боље избегавати коришћење роот корисничког налога за сваки задатак на вашем серверу. Почнимо тако што ћемо направити новог корисника. Замените usernameжељеним корисничким именом:

adduser username

Изаберите нову безбедну лозинку и одговарајте на питања у складу са тим (или само притисните ЕНТЕР да бисте користили подразумевану вредност).

Давање роот привилегија кориснику

Нови кориснички налози немају привилегије ван своје матичне фасцикле и не могу да покрећу команде које ће променити сервер (као што су install, update, или upgrade). Да бисмо избегли коришћење роот налога, даћемо кориснику роот привилегије. Постоје два начина да то урадите:

Додавање корисника у судо групу

Једноставан начин је да додате корисника у sudoгрупу. Замените usernameжељеним корисничким именом:

adduser username sudo

Ово ће додати корисника у групу sudo. Ова група има привилегију да покреће команде са судо приступом.

Измена судоерс датотеке

Други начин је да ставите свог корисника у sudoersдатотеку. Ако ваш сервер има више корисника са роот привилегијама, онда је овај приступ нешто бољи јер ако се неко петља са sudoгрупом, и даље ћете моћи да покрећете команде са роот привилегијама за рад на серверу.

Прво покрените ову команду:

visudo

Ово ће отворити sudoersдатотеку. Ова датотека садржи дефиниције група и корисника који могу да покрећу команде са роот привилегијама.

root    ALL=(ALL:ALL) ALL

После овог реда упишите своје корисничко име и доделите му пуне роот привилегије. Замените usernameсходно томе:

username    ALL=(ALL:ALL) ALL

Сачувајте и затворите датотеку ( Цтрл + О и Цтрл + Кс у нано).

Тестирање вашег новог корисника

Да бисте се пријавили на свој нови кориснички налог без logoutи login, једноставно позовите:

su username

Тестирајте судо дозволе користећи ову команду:

sudo apt-get update

Схелл ће тражити вашу лозинку. Ако је судо исправно конфигурисан, онда би ваша спремишта требало да се ажурирају. У супротном, прегледајте претходне кораке.

Сада се одјавите са новог корисника:

exit

Судо подешавање је завршено.

Обезбеђивање ССХ

Следећи део овог водича укључује обезбеђење ссх пријаве на сервер. Прво промените роот лозинку:

passwd root

Изаберите нешто што је тешко погодити, али што можете запамтити.

ССХ кључ

ССХ кључеви су сигурнији начин за пријаву. Ако нисте заинтересовани за ССХ кључеве, пређите на следећи део упутства.

Користите следећи Вултр Доц да направите ССХ кључ: Како да генеришем ССХ кључеве?

Након што добијете свој јавни кључ , поново се пријавите са новим корисником.

su username

Сада направите .sshдиректоријум и authorized_keysдатотеку у почетном директоријуму тог корисничког налога.

cd ~
mkdir .ssh
chmod 700 .ssh
touch .ssh/authorized_keys

Додајте јавни кључ који сте генерисали из другог водича у authorized_keysдатотеку.

 nano .ssh/authorized_keys

Сачувајте датотеку, а затим промените дозволе за ту датотеку.

chmod 600 .ssh/authorized_keys

Вратите се роот кориснику.

exit

ССХ конфигурација

Сада ћемо учинити да ССХ демон буде сигурнији. Почнимо са конфигурационом датотеком:

nano /etc/ssh/sshd_config

Промените ССХ улазни порт

Овај корак ће променити порт који се користи за приступ серверу, потпуно је опционалан, али се препоручује.

Пронађите ред са Portконфигурацијом, требало би да изгледа овако:

Port 22

Сада промените овај порт на било који порт који желите. Мора бити веће од 1024.

Port 4422

Онемогућите роот ссх пријаву

Овај корак ће онемогућити роот логин преко ССХ, потпуно је необавезна али веома препоручљиво .

Пронађите ову линију:

PermitRootLogin yes

... и промените га у:

PermitRootLogin no

Ово ће учинити сервер сигурнијим од ботова који покушавају грубу силу и/или уобичајене лозинке са корисником rootи портом 22.

Онемогућите напред Кс11

Овај корак ће онемогућити прослеђивање Кс11, немојте то радити ако користите неки програм за удаљену радну површину за приступ вашем серверу.

Пронађите линију Кс11:

X11Forwarding yes

... и мења се у:

X11Forwarding no

Поново покрените ССХ демон

Сада када смо извршили промене да бисмо обезбедили ССХ пријаву, поново покрените ССХ услугу:

service ssh restart

Ово ће поново покренути и поново учитати подешавања сервера.

Тестирање промена

Без прекида везе са тренутном ссх сесијом, отворите нови терминал или ПуТТИ прозор и тестирајте другу ССХ пријаву.

ssh -p 4422 username@SERVER_IP_OR_DOMAIN

Ако све буде у реду, успешно смо појачали безбедност вашег сервера. Уживати!