SSH beveiligen op Ubuntu 14.04

• Maak een nieuwe gebruiker aan
• Gebruikers root-rechten geven
• SSH beveiligen

Nadat u een nieuwe server hebt gemaakt, zijn er enkele configuratiewijzigingen die u moet aanbrengen om de beveiliging van uw server te verbeteren.

Maak een nieuwe gebruiker aan

Als rootgebruiker heb je de rechten om alles te doen wat je wilt met de server - geen beperkingen. Daarom is het beter om het root-gebruikersaccount niet voor elke taak op uw server te gebruiken. Laten we beginnen door een nieuwe gebruiker te maken. Vervang usernamedoor de gewenste gebruikersnaam:

adduser username

Kies een nieuw veilig wachtwoord en beantwoord de vragen dienovereenkomstig (of druk op ENTER om de standaardwaarde te gebruiken).

Gebruikers root-rechten geven

Nieuwe gebruiker accounts hebben geen privileges buiten hun thuismap en kan niet worden uitgevoerd commando's die de server zal veranderen (zoals install, updateof upgrade). Om het gebruik van het root-account te vermijden, geven we de gebruiker root-privileges. Dit kan op twee manieren:

Gebruiker toevoegen aan sudo-groep

De gemakkelijke manier is om de gebruiker aan de sudogroep toe te voegen . Vervang usernamedoor de gewenste gebruikersnaam:

adduser username sudo

Hiermee wordt de gebruiker aan de groep toegevoegd sudo. Deze groep heeft het voorrecht om de opdrachten uit te voeren met sudo-toegang.

Het sudoers-bestand wijzigen

De andere manier is om uw gebruiker in het sudoersbestand te plaatsen. Als uw server meerdere gebruikers met rootprivileges heeft, is deze aanpak iets beter, want als iemand met de sudogroep rommelt , kunt u nog steeds opdrachten met rootprivileges uitvoeren om op de server te werken.

Voer eerst deze opdracht uit:

visudo

Dit opent het sudoersbestand. Dit bestand bevat de definities van groepen en gebruikers die opdrachten kunnen uitvoeren met rootprivileges.

root    ALL=(ALL:ALL) ALL

Schrijf na deze regel uw gebruikersnaam en verleen deze volledige rootprivileges. usernameDienovereenkomstig vervangen :

username    ALL=(ALL:ALL) ALL

Sla het bestand op en sluit het ( Ctrl + O en Ctrl + X in nano).

Uw nieuwe gebruiker testen

Om in te loggen op uw nieuwe gebruikersaccount zonder logouten logingewoon te bellen:

su username

Test sudo-rechten met deze opdracht:

sudo apt-get update

De shell vraagt ​​om je wachtwoord. Als sudo correct is geconfigureerd, moeten je repositories worden bijgewerkt. Bekijk anders de vorige stappen.

Meld u nu af bij de nieuwe gebruiker:

exit

De Sudo-configuratie is voltooid.

SSH beveiligen

Het volgende deel van deze handleiding betreft het beveiligen van de ssh-login op de server. Wijzig eerst het root-wachtwoord:

passwd root

Kies iets dat moeilijk te raden is, maar dat u zich kunt herinneren.

SSH-sleutel

SSH-sleutels zijn een veiligere manier om in te loggen. Als je niet geïnteresseerd bent in SSH-sleutels, ga dan naar het volgende deel van de tutorial.

Gebruik het volgende Vultr Doc om een ​​SSH-sleutel te maken: Hoe genereer ik SSH-sleutels?

Nadat u uw openbare sleutel heeft ontvangen , logt u opnieuw in met uw nieuwe gebruiker.

su username

Maak nu de .sshdirectory en het authorized_keysbestand in de homedirectory van dat gebruikersaccount.

cd ~
mkdir .ssh
chmod 700 .ssh
touch .ssh/authorized_keys

Voeg de openbare sleutel die u uit de andere zelfstudie hebt gegenereerd toe aan het authorized_keysbestand.

 nano .ssh/authorized_keys

Sla het bestand op en wijzig vervolgens de rechten van dat bestand.

chmod 600 .ssh/authorized_keys

Keer terug naar de rootgebruiker.

exit

SSH-configuratie

Nu zullen we de SSH-daemon veiliger maken. Laten we beginnen met het configuratiebestand:

nano /etc/ssh/sshd_config

Wijzig de inkomende poort van SSH

Deze stap verandert de poort die wordt gebruikt om toegang te krijgen tot de server, het is volledig optioneel maar wordt aanbevolen.

Zoek de regel met de Portconfiguratie, zou er als volgt uit moeten zien:

Port 22

Verander nu deze poort naar elke gewenste poort. Het moet groter zijn dan 1024.

Port 4422

Schakel root ssh login uit

Deze stap schakelt root-aanmelding via SSH uit, het is volledig optioneel, maar ten zeerste aanbevolen .

Zoek deze regel:

PermitRootLogin yes

... en verander het in:

PermitRootLogin no

Dit maakt de server veiliger tegen bots die brute force en / of algemene wachtwoorden proberen met gebruiker rooten poort 22.

Schakel X11 vooruit uit

Deze stap zal het doorsturen van X11 uitschakelen, doe dit niet als u een extern bureaubladprogramma gebruikt om toegang te krijgen tot uw server.

Zoek de X11-lijn:

X11Forwarding yes

... en het verandert in:

X11Forwarding no

Start de SSH-daemon opnieuw op

Nu we de wijzigingen hebben aangebracht om de SSH-aanmelding te beveiligen, start u de SSH-service opnieuw op:

service ssh restart

Dit zal opnieuw opstarten en de serverinstellingen opnieuw laden.

Wijzigingen testen

Zonder uw huidige ssh-sessie te verbreken, opent u een nieuwe terminal of PuTTY-venster en test u een andere SSH-login.

ssh -p 4422 username@SERVER_IP_OR_DOMAIN

Als alles klopt, hebben we de beveiliging van uw server met succes verbeterd. Genieten!