Απενεργοποίηση σύνδεσης με κωδικό πρόσβασης και ως root

Κάθε server στο internet δέχεται σύντομα επισκέψεις από προγράμματα που προσπαθούν να μαντέψουν κωδικούς πρόσβασης. Αν μπορείτε να συνδεθείτε μόνο με κλειδί, αυτά δεν έχουν καμία πιθανότητα. Αυτό θα το ενεργοποιήσετε τώρα.

Προσοχή: Λειτουργεί η σύνδεση με το κλειδί σας ως anna (δείτε Δικός σας χρήστης με sudo); Τότε δημιουργήστε πρώτα ένα snapshot (δείτε Snapshots: ένα δίχτυ ασφαλείας για κάθε μεγάλη αλλαγή) και κρατήστε μια συνεδρία ανοιχτή κατά τη διάρκεια αυτών των βημάτων. Αν παρ' όλα αυτά κάτι πάει στραβά, μπορείτε να συνδεθείτε μέσω της κονσόλας (δείτε Η κονσόλα: ο VPS σας στον browser).

Ένα δικό σας αρχείο ρυθμίσεων

Στο Debian και στο Ubuntu ο SSH server διαβάζει πρώτα τα αρχεία στο /etc/ssh/sshd_config.d/, με αλφαβητική σειρά. Για κάθε ρύθμιση ισχύει η πρώτη τιμή που συναντά. Γι' αυτό το δικό σας αρχείο παίρνει ένα όνομα που βρίσκεται στην αρχή:

anna@web1:~$ sudo nano /etc/ssh/sshd_config.d/00-eigen.conf

Γράψτε μέσα:

PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no

• PasswordAuthentication no: όχι πλέον κωδικοί πρόσβασης μέσω SSH.
• KbdInteractiveAuthentication no: ούτε ερώτηση για κωδικό πρόσβασης από άλλο δρόμο.
• PermitRootLogin no: ο root δεν μπορεί πλέον να συνδεθεί μέσω SSH, ούτε με κλειδί. Εργάζεστε ως anna με sudo. Αν θέλετε να επιτρέπεται ακόμη ο root με κλειδί, χρησιμοποιήστε prohibit-password.

Έλεγχος και εφαρμογή

anna@web1:~$ sudo sshd -t
anna@web1:~$ sudo sshd -T | grep -Ei '^(passwordauthentication|kbdinteractiveauthentication|permitrootlogin)'
passwordauthentication no
kbdinteractiveauthentication no
permitrootlogin no
anna@web1:~$ sudo systemctl restart ssh

Το sshd -t δεν εμφανίζει τίποτα αν το αρχείο είναι σωστό. Το sshd -T δείχνει ποιες τιμές ισχύουν πραγματικά. Εμφανίζεται ακόμη passwordauthentication yes; Τότε κάποιο άλλο αρχείο στο sshd_config.d το ενεργοποιεί ξανά, συχνά το 50-cloud-init.conf. Το δικό σας 00-eigen.conf βρίσκεται πριν από αυτό και υπερισχύει· ελέγξτε ότι το όνομα είναι σωστό.

Στο AlmaLinux και στο Rocky Linux η υπηρεσία ονομάζεται sshd: sudo systemctl restart sshd.

Δοκιμή πριν κλείσετε τη συνεδρία σας

Ανοίξτε ένα νέο παράθυρο και δοκιμάστε:

ssh anna@203.0.113.10
ssh -o PreferredAuthentications=password -o PubkeyAuthentication=no anna@203.0.113.10
anna@203.0.113.10: Permission denied (publickey).
ssh root@203.0.113.10
root@203.0.113.10: Permission denied (publickey).

Η πρώτη πρέπει να λειτουργεί. Οι άλλες δύο πρέπει να απορρίπτονται. Είναι όλα σωστά; Τότε διαγράψτε το snapshot.

Συμβουλή: Ένας αριθμός θύρας διαφορετικός από το 22 κρατά το αρχείο καταγραφής σας πιο ήσυχο, αλλά δεν κάνει τον server σας πιο ασφαλή. Τη δουλειά την κάνει το κλειδί. Αν παρ' όλα αυτά αλλάξετε τη θύρα, ανοίξτε την πρώτα στο firewall σας (δείτε Firewall με ufw (ή nftables)).