Erste sichere Serverkonfiguration von Ubuntu 18.04

• Einführung
• Voraussetzungen
• Erstellen und ändern Sie einen Benutzer
• Generieren und konfigurieren Sie einen SSH-Schlüssel
• Richten Sie eine grundlegende Firewall ein

Einführung

In diesem Tutorial erfahren Sie, wie Sie eine grundlegende Sicherheitsstufe auf einer brandneuen virtuellen Vultr VC2-Maschine unter Ubuntu 18.04 konfigurieren.

Voraussetzungen

• Ein Vultr-Konto können Sie hier erstellen
• Eine neue Ubuntu 18.04 Vultr VM

Erstellen und ändern Sie einen Benutzer

Als erstes erstellen wir unseren neuen Benutzer, mit dem wir uns bei der VM anmelden:

adduser porthorian

Hinweis: Es wird empfohlen, einen eindeutigen Benutzernamen zu verwenden, der schwer zu erraten ist. Die meisten Bots werden standardmäßig versuchen root, admin, moderatorund ähnliche.

Hier werden Sie zur Eingabe eines Passworts aufgefordert. Es wird dringend empfohlen, ein sicheres alphanumerisches Passwort zu verwenden. Befolgen Sie danach die Anweisungen auf Ihrem Bildschirm und drücken Sie einfach, wenn Sie gefragt werden, ob die Informationen korrekt sind Y.

Sobald dieser neue Benutzer hinzugefügt wurde, müssen wir diesem Benutzer Sudo-Berechtigungen erteilen, damit wir Befehle des Benutzers im Namen des Root-Benutzers ausführen können:

usermod -aG sudo porthorian

Sobald Sie Ihrem Benutzer sudo-Berechtigungen erteilt haben, wechseln Sie zu Ihrem neuen Benutzer:

su - porthorian

Generieren und konfigurieren Sie einen SSH-Schlüssel

Befolgen Sie dieses Dokument, um den SSH-Schlüssel zu generieren .

Nachdem Sie Ihren neuen SSH-Schlüssel generiert haben, kopieren Sie Ihren öffentlichen Schlüssel. Es sollte wie folgt aussehen:

ssh-rsa AAAAB3NzaC1yc2EAAAABJQAAAQEAmB3uRWxAAELNJ8oGBCBmZx7S11vnAp0RG8rdKf6CLdvT7NMbKF55F8Wf0hFPewEryplaH54ibdmaTuheJVKy1lUhHnVi0AcBpkhJiiOQdEtvbYKT/eIkQl/Qm92Gz6aL3lJ0UknO4gO0LzgqI2vYX0b9LHMF+ZvApEDahLCna6RKo3/lffnANUKfExE+dVwOcJwATL3Ld5IkSatm7zBqbJAim0wj/JQ5ejzkL+aYd3YawpW3qf+WsY3HGbK2TIJt3LsiZJ3M7giZo/fVIZCJqsIOyO9NUOEx5/+KE8IniGb7gdRYgquAEJr89poDCNz/8CBODi9z3ukiE1+UnVlhfQ== rsa-key-20190408

Konfigurieren Sie Ihr Benutzerverzeichnis

Navigieren Sie zum Ausgangsverzeichnis Ihres Benutzers, falls Sie noch nicht darin sind:

cd $HOME

$HOMEist die Umgebungsvariable für das Home-Verzeichnis Ihres Benutzers. Dies wird automatisch festgelegt, wenn der neue Benutzer erstellt wird.

Während wir uns in unserem Home-Verzeichnis befinden, werden wir ein anderes Verzeichnis darin ablegen. Dieses Verzeichnis wird für andere Benutzer auf dem Computer ausgeblendet, mit Ausnahme von root und dem Benutzer, dem das Verzeichnis gehört. Erstellen Sie das neue Verzeichnis und beschränken Sie seine Berechtigungen mit den folgenden Befehlen:

mkdir ~/.ssh
chmod 700 ~/.ssh

Jetzt öffnen wir eine Datei in .sshaufgerufen authorized_keys. Dies ist die universelle Datei, nach der OpenSSH sucht. Sie können den Namen in der OpenSSH-Konfiguration /etc/ssh/sshd_configbei Bedarf ändern .

Verwenden Sie Ihren bevorzugten Editor, um die Datei zu erstellen. In diesem Tutorial wird Nano verwendet:

nano ~/.ssh/authorized_keys

Kopieren Sie Ihren SSH-Schlüssel und fügen Sie ihn in die von authorized_keysuns geöffnete Datei ein. Sobald der öffentliche Schlüssel vorhanden ist, können Sie die Datei durch Drücken von CTRL+ speichern O.

Stellen Sie sicher, dass der entsprechende Dateipfad angezeigt wird:

/home/porthorian/.ssh/authorized_keys

Wenn es sich um den richtigen Dateipfad handelt, drücken Sie einfach ENTER, andernfalls nehmen Sie die erforderlichen Änderungen vor, um dem obigen Beispiel zu entsprechen. Beenden Sie dann die Datei mit CTRL+ X.

Jetzt werden wir den Zugriff auf die Datei einschränken:

chmod 600 ~/.ssh/authorized_keys

Beenden Sie unseren erstellten Benutzer und kehren Sie zum Root-Benutzer zurück:

exit

Deaktivieren der Kennwortauthentifizierung

Wir können jetzt die Kennwortauthentifizierung für den Server deaktivieren. Auf diese Weise ist für die Anmeldung ein SSH-Schlüssel erforderlich. Es ist wichtig zu beachten, dass Sie sich von Ihrem Server ausschließen, wenn Sie die Kennwortauthentifizierung deaktivieren und der öffentliche Schlüssel nicht korrekt installiert wurde. Es wird empfohlen, dass Sie den Schlüssel zuerst testen, bevor Sie sich von Ihrem Root-Benutzer abmelden.

Wir sind derzeit bei unserem Root-Benutzer angemeldet, daher werden wir Folgendes bearbeiten sshd_config:

nano /etc/ssh/sshd_config

Wir werden nach 3 Werten suchen, um sicherzustellen, dass OpenSSH richtig konfiguriert ist.

• PasswordAuthentication
• PubkeyAuthentication
• ChallengeResponseAuthentication

Wir können diese Werte durch Drücken von CTRL+ finden W.

Die Werte sollten wie folgt eingestellt werden:

PasswordAuthentication  no
ChallengeResponseAuthentication  no
PubkeyAuthentication  yes

Wenn die Werte auskommentiert sind, entfernen Sie die #am Zeilenanfang und stellen Sie sicher, dass die Werte dieser Variablen wie oben gezeigt sind. Sobald Sie diese Variablen geändert haben, speichern und den Editor verlassen, mit CTRL+ O, ENTERund schließlich CTRL+ X.

Jetzt werden wir sshdmit dem folgenden Befehl neu laden :

systemctl reload sshd

Jetzt können wir den Login testen. Stellen Sie sicher, dass Sie sich noch nicht von Ihrer Root-Sitzung abgemeldet haben, öffnen Sie ein neues SSH-Fenster und stellen Sie eine Verbindung mit Ihrem mit der Verbindung verknüpften SSH-Schlüssel her.

In PuTTY ist dies unter Connection-> SSH-> Auth.

Suchen Sie nach Ihrem privaten Schlüssel für die Authentifizierung, da Sie ihn beim Erstellen des SSH-Schlüssels gespeichert haben sollten.

Stellen Sie mit dem privaten Schlüssel als Authentifizierung eine Verbindung zu Ihrem Server her. Sie werden jetzt bei Ihrer virtuellen Vultr VC2-Maschine angemeldet.

Hinweis: Wenn Sie beim Generieren des SSH-Schlüssels eine Passphrase hinzugefügt haben, werden Sie zur Eingabe einer Passphrase aufgefordert. Dies unterscheidet sich grundlegend vom Kennwort Ihres tatsächlichen Benutzers auf der virtuellen Maschine.

Richten Sie eine grundlegende Firewall ein

Konfigurieren Sie UFW

Zuerst installieren wir UFW, falls es nicht bereits auf der virtuellen Maschine vorhanden ist. Eine gute Möglichkeit zur Überprüfung ist der folgende Befehl:

sudo ufw status

Wenn UFW installiert ist, wird es ausgegeben Status:inactive. Wenn es nicht installiert ist, werden Sie dazu aufgefordert.

Wir können es mit diesem Befehl installieren:

sudo apt-get install ufw -y

Jetzt werden wir den SSH-Port 22in unserer Firewall zulassen :

sudo ufw allow 22

Alternativ können Sie OpenSSH zulassen:

sudo ufw allow OpenSSH

Einer der oben genannten Befehle funktioniert.

Nachdem wir den Port durch unsere Firewall zugelassen haben, können wir UFW aktivieren:

sudo ufw enable

Sie werden gefragt, ob Sie diesen Vorgang wirklich ausführen möchten. Durch Eingabe ygefolgt von ENTERwird die Firewall aktiviert:

porthorian@MEANStack:~$ sudo ufw enable
Command may disrupt existing ssh connections. Proceed with operation? y

Hinweis: Wenn Sie OpenSSH oder Port 22 nicht zugelassen haben, sperren Sie sich von Ihrer virtuellen Maschine aus. Stellen Sie sicher, dass eine davon zulässig ist, bevor Sie UFW aktivieren.

Sobald die Firewall aktiviert ist, sind Sie weiterhin mit Ihrer Instanz verbunden. Wir werden unsere Firewall jetzt mit demselben Befehl wie zuvor überprüfen:

sudo ufw status

Sie sehen etwas Ähnliches wie die folgende Ausgabe:

porthorian@MEANStack:~$ sudo ufw status
Status: active

To                         Action      From
--                         ------      ----
22                         ALLOW       Anywhere
22 (v6)                    ALLOW       Anywhere (v6)

Konfigurieren der Vultr-Firewall

Um unseren Server weiter zu sichern, werden wir unsere Vultr Firewall verwenden. Melden Sie sich bei Ihrem Konto an . Sobald Sie angemeldet sind, navigieren Sie zur Registerkarte Firewall am oberen Bildschirmrand:

Jetzt werden wir eine neue Firewall-Gruppe hinzufügen. Auf diese Weise können wir angeben, welche Ports sogar unsere UFW-Firewall erreichen können, wodurch wir eine doppelte Sicherheitsebene erhalten:

Vultr fragt Sie nun im Feld "Beschreibung", wie Sie Ihre Firewall benennen möchten. Stellen Sie sicher, dass Sie beschreiben, was die Server unter dieser Firewall-Gruppe tun, um die zukünftige Verwaltung zu vereinfachen. Für dieses Tutorial werden wir es benennen test. Sie können die Beschreibung später jederzeit ändern, wenn Sie möchten.

Zuerst müssen wir unsere IP-Adresse erhalten. Der Grund, warum wir dies direkt tun, ist, dass Sie sich einfach bei Ihrem Vultr-Konto anmelden und die IP-Adresse ändern können, wenn Ihre IP-Adresse nicht statisch ist und sich ständig ändert.

Aus diesem Grund haben wir auch die IP-Adresse der UFW-Firewall nicht benötigt. Außerdem wird die Verwendung der Firewall Ihrer virtuellen Maschine daran gehindert, alle anderen Ports herauszufiltern, und die Vultr-Firewall kann nur damit umgehen. Dies begrenzt die Belastung der gesamten Verkehrsfilterung für Ihre Instanz.

Verwenden Sie den Netzwerk-Spiegel von Vultr , um Ihre IP-Adresse zu finden.

Nachdem wir unsere IP-Adresse haben, werden wir unserer neu erstellten Firewall eine IPV4-Regel hinzufügen:

Nachdem Sie die IP-Adresse eingegeben haben, klicken Sie auf das +Symbol, um Ihre IP-Adresse zur Firewall hinzuzufügen.

Ihre Firewall-Gruppe sieht folgendermaßen aus:

Nachdem wir unsere IP ordnungsgemäß in der Firewall-Gruppe gebunden haben, müssen wir unsere Vultr-Instanz verknüpfen. Auf der linken Seite sehen Sie eine Registerkarte mit der Aufschrift "Verknüpfte Instanzen":

Auf der Seite sehen Sie eine Dropdown-Liste mit einer Liste Ihrer Serverinstanzen:

Klicken Sie auf die Dropdown-Liste und wählen Sie Ihre Instanz aus. Wenn Sie bereit sind, die Instanz zur Firewall-Gruppe hinzuzufügen, klicken Sie auf das +Symbol.

Herzlichen Glückwunsch, Sie haben Ihre virtuelle Vultr VC2-Maschine erfolgreich gesichert. Dies gibt Ihnen eine gute Grundlage für eine sehr grundlegende Sicherheitsschicht, ohne dass sich jemand Sorgen machen muss, Ihre Instanz brutal zu erzwingen.