SSH sikkerhed
Hejsa gruppe.
Jeg har en debian server som jeg gerne ville sikre lidt mere. I min logfil ser jeg konstant SSH attacks og ville reelt gerne slippe gfor dette .
Jeg ville gerne hvis følgende kunne lade sig gøre:
At man på lokalt LAN kan logge ind med SSH key og Password, hvormod hvis man er udenfor min router og logger på via WAN, så er det KUN hvis man har sin nøgle liggende på serveren, at man kan logge ind - dvs ingen mulighed for password!
Jeg har selvfølgelig denyhosts installeret på serveren, men syntes bare den konstant udvides - så derfor tænkte jeg om denne løsning var muligt?
Jeg har en debian server som jeg gerne ville sikre lidt mere. I min logfil ser jeg konstant SSH attacks og ville reelt gerne slippe gfor dette .
Jeg ville gerne hvis følgende kunne lade sig gøre:
At man på lokalt LAN kan logge ind med SSH key og Password, hvormod hvis man er udenfor min router og logger på via WAN, så er det KUN hvis man har sin nøgle liggende på serveren, at man kan logge ind - dvs ingen mulighed for password!
Jeg har selvfølgelig denyhosts installeret på serveren, men syntes bare den konstant udvides - så derfor tænkte jeg om denne løsning var muligt?
Kommentarer8
match
umidbart fra man filen(vanilla debian 6) ser det korrekt ud, ssh kan ændre regler baseret på subnet så hvis du slår pw auth fra globalt kan du aktivere det specifikt for et subnet, men har ikke testet selv.
Lækkert - For det er
Lækkert - For det er noget rimeligt nyt - da jeg har søgt dette før, men endte med at disconnecte mine muligheder til at logge ind på en fjernserver! Men det ville være lækkert at få lukket af for dette ! tusind tak for link!
En nem måde at minske
Jeps.
Det er også gjort.
Det er også gjort. Men kan se mine porte løbende bliver forsøgt! og derfor irreterer det mit øje gevaldigt, at min auth.log er fyldt med login forsøg
Jeg har faktisk ikke haft
En anden god ting, er at disable root login også, da root som default har lov til at lave SSH logins på Debian.
En anden løsning, er at lave et script der kontrollere for feks. 5 fejlede login forsøg hvorefter IP'en ryger i denyhosts.
Som der nævnes, findes der
Se evt, efter 'fail2ban', som kan sørge for at blokkere ip-numre. 'fail2ban' kan også brugres på andet end blot en ssh-server,
apt-cache show fail2ban
I din gateway/firewall kun
Husk også at disable root logon som skrevet
i /etc/ssh/sshd_config ændre følgende:
# Authentication:
PermitRootLogin yes
til
PermitRootLogin no
En anden mulighed
Har en ven der har testet nem og lækker måde at installere og konfigurere det. Hans side er nede lige pt. men ellers er der lidt http://www.hostsvault.com/blog/howto-protect-services-like-ssh-against-brute-force-using-only-iptables-port-knocking/