تأمين SSH على Ubuntu 14.04

• قم بإنشاء مستخدم جديد
• منح امتيازات الجذر للمستخدم
• تأمين SSH

بعد إنشاء خادم جديد ، هناك بعض تعديلات التكوين التي يجب عليك القيام بها لتقوية أمان الخادم الخاص بك.

قم بإنشاء مستخدم جديد

بصفتك المستخدم الجذر ، لديك امتيازات للقيام بأي شيء تريده مع الخادم - لا توجد قيود. لهذا السبب ، من الأفضل تجنب استخدام حساب المستخدم الجذر لكل مهمة على الخادم الخاص بك. لنبدأ بجعل مستخدم جديد. استبدل usernameباسم المستخدم المطلوب:

adduser username

اختر كلمة مرور آمنة جديدة ورد على الأسئلة وفقًا لذلك (أو فقط اضغط على ENTER لاستخدام القيمة الافتراضية).

منح امتيازات الجذر للمستخدم

حسابات المستخدمين الجديدة لا تملك امتيازات خارج مجلد وطنهم، ولا يمكن تشغيل الأوامر التي ستغير الخادم (مثل install، updateأو upgrade). لتجنب استخدام الحساب الجذر ، سنمنح امتيازات الجذر للمستخدم. هناك طريقتان للقيام بذلك:

إضافة مستخدم إلى مجموعة sudo

الطريقة السهلة هي إضافة المستخدم إلى sudoالمجموعة. استبدل usernameباسم المستخدم المطلوب:

adduser username sudo

سيؤدي هذا إلى إضافة المستخدم إلى المجموعة sudo. تتمتع هذه المجموعة بامتياز تشغيل الأوامر مع وصول sudo.

تعديل ملف sudoers

والطريقة الأخرى هي وضع المستخدم في sudoersالملف. إذا كان الخادم الخاص بك يحتوي على العديد من المستخدمين الذين يمتلكون امتيازات الجذر ، فإن هذا الأسلوب أفضل إلى حد ما لأنه إذا قام شخص ما بالعبث sudoبالمجموعة ، فستظل قادرًا على تشغيل الأوامر بامتيازات الجذر للعمل على الخادم.

أولاً ، قم بتشغيل هذا الأمر:

visudo

سيؤدي هذا إلى فتح sudoersالملف. يحتوي هذا الملف على تعريفات المجموعات والمستخدمين الذين يمكنهم تشغيل الأوامر بامتيازات الجذر.

root    ALL=(ALL:ALL) ALL

بعد هذا السطر ، اكتب اسم المستخدم الخاص بك ومنحه امتيازات الجذر الكاملة. يستبدل usernameوفقا لذلك:

username    ALL=(ALL:ALL) ALL

احفظ وأغلق الملف ( Ctrl + O و Ctrl + X في nano).

اختبار المستخدم الجديد الخاص بك

للدخول إلى حساب المستخدم الجديد دون logoutو login، ببساطة الاتصال على:

su username

اختبر أذونات sudo باستخدام هذا الأمر:

sudo apt-get update

ستطلب الصدفة كلمة المرور الخاصة بك. إذا تم تكوين sudo بشكل صحيح ، فيجب تحديث المستودعات الخاصة بك. خلاف ذلك ، راجع الخطوات السابقة.

الآن ، تسجيل الخروج من المستخدم الجديد:

exit

اكتمل إعداد Sudo.

تأمين SSH

يتضمن الجزء التالي من هذا الدليل تأمين تسجيل دخول ssh إلى الخادم. أولاً ، قم بتغيير كلمة مرور الجذر:

passwd root

اختر شيئًا يصعب تخمينه ، لكن يمكنك تذكره.

مفتاح SSH

مفاتيح SSH هي طريقة أكثر أمانًا لتسجيل الدخول. إذا لم تكن مهتمًا بمفاتيح SSH ، فانتقل إلى الجزء التالي من البرنامج التعليمي.

استخدم Vultr Doc التالي لعمل مفتاح SSH: كيف يمكنني إنشاء مفاتيح SSH؟

بعد الحصول على مفتاحك العام ، قم بتسجيل الدخول باستخدام المستخدم الجديد مرة أخرى.

su username

الآن قم بعمل .sshالدليل authorized_keysوالملف في الدليل الرئيسي لحساب المستخدم هذا.

cd ~
mkdir .ssh
chmod 700 .ssh
touch .ssh/authorized_keys

أضف المفتاح العام الذي أنشأته من البرنامج التعليمي الآخر إلى authorized_keysالملف.

 nano .ssh/authorized_keys

احفظ الملف ، ثم قم بتغيير أذونات هذا الملف.

chmod 600 .ssh/authorized_keys

ارجع إلى المستخدم الجذر.

exit

تكوين SSH

الآن سنجعل برنامج SSH أكثر أمانًا. لنبدأ بملف التكوين:

nano /etc/ssh/sshd_config

تغيير منفذ SSH للداخل

ستؤدي هذه الخطوة إلى تغيير المنفذ المستخدم للوصول إلى الخادم ، وهي اختيارية تمامًا ولكن يوصى بها.

ابحث عن السطر مع Portالتكوين ، يجب أن يبدو كما يلي:

Port 22

الآن قم بتغيير هذا المنفذ إلى أي منفذ تريده. يجب أن يكون أكبر من 1024.

Port 4422

تعطيل تسجيل الدخول إلى ssh الجذر

ستعطل هذه الخطوة تسجيل الدخول إلى الجذر من خلال SSH ، وهي اختيارية تمامًا ولكن يوصى بها بشدة .

ابحث عن هذا الخط:

PermitRootLogin yes

... وقم بتغييرها إلى:

PermitRootLogin no

سيجعل هذا الخادم أكثر أمانًا ضد برامج الروبوت التي تحاول استخدام القوة الغاشمة و / أو كلمات المرور الشائعة مع المستخدم rootوالمنفذ 22.

تعطيل X11 للأمام

ستعطل هذه الخطوة إعادة توجيه X11 ، ولا تفعل ذلك إذا كنت تستخدم بعض برامج سطح المكتب البعيد للوصول إلى الخادم الخاص بك.

ابحث عن خط X11:

X11Forwarding yes

... ويتغير إلى:

X11Forwarding no

أعد تشغيل برنامج SSH

الآن بعد أن قمنا بإجراء التغييرات لتأمين تسجيل الدخول إلى SSH ، أعد تشغيل خدمة SSH:

service ssh restart

سيؤدي هذا إلى إعادة تشغيل وإعادة تحميل إعدادات الخادم.

اختبار التغييرات

بدون فصل جلسة ssh الحالية ، افتح محطة طرفية جديدة أو نافذة PuTTY واختبر تسجيل دخول SSH آخر.

ssh -p 4422 username@SERVER_IP_OR_DOMAIN

إذا تحقق كل شيء ، فقد نجحنا في تعزيز أمان خادمك. استمتع!