Prisijungimo slaptažodžiu ir prisijungimo kaip root išjungimas

Kiekvieną interneto serverį per trumpą laiką ima lankyti programos, bandančios atspėti slaptažodžius. Jei prisijungti galima tik raktu, jos neturi jokių šansų. Dabar tai ir įjungsite.

Dėmesio: Ar prisijungimas Jūsų raktu kaip anna veikia (žr. Atskiras naudotojas su sudo teisėmis)? Tuomet pirmiausia sukurkite momentinę kopiją (žr. Momentinės kopijos: apsauga prieš kiekvieną didelį pakeitimą) ir atlikdami šiuos veiksmus laikykite vieną seansą atidarytą. Jei vis dėlto kas nors nepavyktų, prisijungti galėsite per konsolę (žr. Konsolė: Jūsų VPS naršyklėje).

Savas nustatymų failas

Debian ir Ubuntu sistemose SSH serveris pirmiausia nuskaito failus, esančius /etc/ssh/sshd_config.d/, abėcėlės tvarka. Kiekvienam nustatymui galioja pirmoji rasta reikšmė. Todėl savo failui suteikite pavadinimą, kuris būtų sąrašo pradžioje:

anna@web1:~$ sudo nano /etc/ssh/sshd_config.d/00-eigen.conf

Įrašykite į jį:

PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no

• PasswordAuthentication no: per SSH slaptažodžiai nebenaudojami.
• KbdInteractiveAuthentication no: slaptažodžio neprašoma ir aplinkiniu būdu.
• PermitRootLogin no: root nebegali prisijungti per SSH, net ir raktu. Dirbate kaip anna su sudo. Jei norite, kad root vis dar galėtų prisijungti raktu, naudokite prohibit-password.

Patikrinimas ir pritaikymas

anna@web1:~$ sudo sshd -t
anna@web1:~$ sudo sshd -T | grep -Ei '^(passwordauthentication|kbdinteractiveauthentication|permitrootlogin)'
passwordauthentication no
kbdinteractiveauthentication no
permitrootlogin no
anna@web1:~$ sudo systemctl restart ssh

Jei failas teisingas, sshd -t nieko neišveda. sshd -T parodo, kokios reikšmės iš tikrųjų galioja. Ar vis dar matote passwordauthentication yes? Tuomet kitas failas, esantis sshd_config.d, vėl tai įjungia, dažnai tai 50-cloud-init.conf. Jūsų 00-eigen.conf yra prieš jį ir turi pirmenybę; patikrinkite, ar pavadinimas teisingas.

AlmaLinux ir Rocky Linux sistemose paslauga vadinasi sshd: sudo systemctl restart sshd.

Testavimas prieš uždarant seansą

Atidarykite naują langą ir pabandykite:

ssh anna@203.0.113.10
ssh -o PreferredAuthentications=password -o PubkeyAuthentication=no anna@203.0.113.10
anna@203.0.113.10: Permission denied (publickey).
ssh root@203.0.113.10
root@203.0.113.10: Permission denied (publickey).

Pirmasis turi veikti. Kiti du turi būti atmesti. Ar viskas tvarkoje? Tuomet ištrinkite momentinę kopiją.

Patarimas: Kitas prievado numeris nei 22 padaro Jūsų žurnalą ramesnį, tačiau serverio saugesnio nepadaro. Darbą atlieka raktas. Jei vis dėlto keičiate prievadą, pirmiausia atverkite jį savo užkardoje (žr. Užkarda su ufw (arba nftables)).