Securizarea conexiunii SSH

[anndrey]

Fisierul de configurare al SSH se afla il gasiti aici /etc/ssh/sshd_config.

1. Creare user de login.

Se creaza un user pe server folosind litere mari, mici si numere pentru evitarea dictionarelor si o parola cat mai complexa. Exemplu eT40Pkh2. Acestui user nu i se vor da drepturi pe server.

2. Dezactivare root login.

Se cauta parametrul PermitRootLogin. Daca e comentat, se decomenteaza sau daca lipseste se adauga si se se seteaza no:

PermitRootLogin no

3. Se activeaza AllowUsers

Acest parametru permite logarea prin SSH doar userilor care sunt trecuti in acest parametru. Se cauta parametrul AllowUsers. Daca e comentat, se decomenteaza sau daca lipseste se adauga si se adauga userul in dreptul parametrului.

AllowUsers eT40Pkh2

sau varianta cu mai multi useri:

AllowUsers eT40Pkh2 user2 user3

4. Schimbarea portului.

Se schimba portul pe unul care nu este folosit. Exemplu 45753. Se cauta parametrul Port. Daca e comentat, se decomenteaza sau daca lipseste se adauga si se schimba 22 cu portul dorit.

Port 45753

5. Setare timeout

Se cauta parametrul ClientAliveInterval si ClientAliveCountMax. Daca sunt comentate, se decomenteaza sau daca lipsesc se adauga si se seteaza intervalul in secunde la ClientAliveInterval. Ex. 900 (15 min). Si si ClientAliveCountMax 0

ClientAliveInterval 900
ClientAliveCountMax 0

6. Instalare fail2ban

Fail2ban este un tool care baneaza IP-urile care incearca sa se logheze prin SSH cu user/pass gresite.

In functie de distributie:

sudo apt-get install fail2ban
sau
sudo yum install fail2ban

Se seteaza in /etc/fail2ban/jail.conf

bantime  = 600
maxretry = 3

(sau cum le doriti)

/etc/init.d/fail2ban restart
/etc/init.d/sshd restart

Imbunatatiri se mai pot aduce dar acestea sunt setarile pe care le consider must have. Daca considera cineva ca am omis un "must have" e liber sa isi aduca contributia.

Logarea pe server se va face in felul urmator:

ssh eT40Pkh2@serverip -p45753

Edited April 15, 2015 by anndrey

[wdw]

Bune sfaturi. Îns?...

1. la pasul 2, se comenteaza linia respectiva sau se seteaza no

2. ar trebui sa se foloseasc? certificate, nu parole

3. schimbarea portului nu e o idee (chiar) buna (si in general, toate practicile de tip „security through obscurity„) - vezi aici de ce ?i ce practici alternative se recomand?.

Edited April 14, 2015 by wdw
formatare