حماية وصول SSH باستخدام Spiped On OpenBSD

نظرًا لأن دخول SSH هو أهم نقطة دخول لإدارة الخادم الخاص بك ، فقد أصبح ناقل هجوم يستخدم على نطاق واسع.

تتضمن الخطوات الأساسية لتأمين SSH ما يلي: تعطيل الوصول إلى الجذر ، وإيقاف مصادقة كلمة المرور تمامًا (واستخدام المفاتيح بدلاً من ذلك) ، وتغيير المنافذ (لا علاقة تذكر بالأمان باستثناء تقليل ماسحات المنافذ الشائعة وتسجيل البريد العشوائي).

ستكون الخطوة التالية هي حل جدار الحماية PF مع تتبع الاتصال. سيدير ​​هذا الحل حالات الاتصال ، ويمنع أي عنوان IP به اتصالات كثيرة جدًا. هذا يعمل بشكل رائع ، ومن السهل جدًا القيام به مع PF ، لكن برنامج SSH لا يزال معرضًا للإنترنت.

ماذا عن جعل SSH لا يمكن الوصول إليه بالكامل من الخارج؟ هذا هو المكان الذي يأتي فيه spiped . من الصفحة الرئيسية:

Spiped (تُنطق "ess-pipe-dee") هي أداة لإنشاء أنابيب مشفرة ومصدق عليها بشكل متناظر بين عناوين مأخذ التوصيل ، بحيث يمكن للمرء الاتصال بعنوان واحد (على سبيل المثال ، مأخذ UNIX على مضيف محلي) ولديه اتصال مؤسس بشفافية العنوان (على سبيل المثال ، مقبس UNIX على نظام مختلف). يشبه هذا وظيفة 'ssh -L' ، ولكنه لا يستخدم SSH ويتطلب مفتاحًا متماثلًا مشتركًا مسبقًا.

عظيم! لحسن الحظ بالنسبة لنا ، فإنه يحتوي على حزمة OpenBSD عالية الجودة تقوم بكل الأعمال التحضيرية لنا ، حتى نتمكن من البدء بتثبيتها:

sudo pkg_add spiped

يقوم هذا أيضًا بتثبيت برنامج نصي أولي جيد لنا ، حتى نتمكن من المضي قدمًا وتمكينه:

sudo rcctl enable spiped

وأخيرًا ابدأ:

sudo rcctl start spiped

يتأكد البرنامج النصي init من إنشاء المفتاح لنا (والذي سنحتاجه على جهاز محلي بعد قليل).

ما يتعين علينا القيام به الآن ، هو تعطيل sshdمن الاستماع على العنوان العام ، وحظر المنفذ 22 والسماح بالمنفذ 8022 (والذي يتم استخدامه افتراضيًا في البرنامج النصي init المنبثق).

افتح /etc/ssh/sshd_configالملف وغيّر (وغير التعليق) ListenAddressالسطر المراد قراءته 127.0.0.1:

ListenAddress 127.0.0.1

إذا كنت تستخدم قواعد PF لحظر المنفذ ، فتأكد من تمرير المنفذ 8022 (ويمكنك ترك المنفذ 22 محظورًا) ، على سبيل المثال:

pass in on egress proto tcp from any to any port 8022

تأكد من إعادة تحميل القواعد لتنشيطها:

sudo pfctl -f /etc/pf.conf

الآن كل ما نحتاجه هو نسخ المفتاح المولد ( /etc/spiped/spiped.key) من الخادم إلى جهاز محلي وضبط تكوين SSH الخاص بنا ، وهو شيء على غرار الخطوط التالية:

Host HOSTNAME
ProxyCommand spipe -t %h:8022 -k ~/.ssh/spiped.key

من spipe/spipedالواضح أنك تحتاج أيضًا إلى التثبيت على جهاز محلي. إذا نسخت المفتاح وعدلت الأسماء / المسارات ، فيجب أن تكون قادرًا على الاتصال بهذا ProxyCommandالخط في ملفك ~/.ssh/config.

بعد التأكد من أنه يعمل ، يمكننا إعادة التشغيل sshdعلى الخادم:

sudo rcctl restart sshd

وهذا كل شيء! لقد قمت الآن بإزالة ناقل هجوم كبير واحد ، ولديك خدمة استماع واحدة أقل على واجهة عامة. يجب أن تظهر الآن اتصالات SSH الخاصة بك من المضيف المحلي ، على سبيل المثال:

username    ttyp0    localhost                Thu Nov 06 07:58   still logged in

من فوائد استخدام Vultr هو أن كل Vultr VPS يقدم عميلاً لطيفًا على الإنترنت من نوع VNC متاحًا يمكننا استخدامه في حالة قفل أنفسنا عن طريق الخطأ. جرب!