Parooliga ja root-kasutajana sisselogimise keelamine

Iga internetis olev server saab peagi külalisi: programme, mis proovivad paroole ära arvata. Kui sisse saab logida ainult võtmega, pole neil mingit võimalust. Nüüd lülitad selle sisse.

Tähelepanu: Kas võtmega sisselogimine kasutajana anna töötab (vt Oma kasutaja sudo õigustega)? Tee siis esmalt hetktõmmis (vt Hetktõmmised: turvavõrk iga suure muudatuse jaoks) ja hoia nende sammude ajal üks seanss avatuna. Kui midagi siiski viltu läheb, pääsed sisse konsooli kaudu (vt Konsool: sinu VPS brauseris).

Oma seadistusfail

Debianis ja Ubuntus loeb SSH-server esmalt kaustas /etc/ssh/sshd_config.d/ olevad failid tähestikulises järjekorras. Iga seadistuse puhul kehtib esimene väärtus, mille ta leiab. Seepärast anna oma failile nimi, mis on järjekorras eespool:

anna@web1:~$ sudo nano /etc/ssh/sshd_config.d/00-eigen.conf

Kirjuta sinna:

PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no

• PasswordAuthentication no: SSH kaudu enam paroole ei kasutata.
• KbdInteractiveAuthentication no: ka ümbersõidu kaudu ei küsita parooli.
• PermitRootLogin no: root ei saa enam SSH kaudu sisse logida, isegi mitte võtmega. Töötad kasutajana anna ja kasutad sudo't. Kui soovid root-kasutajat võtmega siiski lubada, kasuta prohibit-password.

Kontrollimine ja rakendamine

anna@web1:~$ sudo sshd -t
anna@web1:~$ sudo sshd -T | grep -Ei '^(passwordauthentication|kbdinteractiveauthentication|permitrootlogin)'
passwordauthentication no
kbdinteractiveauthentication no
permitrootlogin no
anna@web1:~$ sudo systemctl restart ssh

sshd -t ei ütle midagi, kui fail on korras. sshd -T näitab, millised väärtused päriselt kehtivad. Kas seal on ikka veel passwordauthentication yes? Siis lülitab mõni teine fail kaustas sshd_config.d selle uuesti sisse, sageli 50-cloud-init.conf. Sinu 00-eigen.conf on järjekorras eespool ja võidab; kontrolli, kas nimi on õige.

AlmaLinuxis ja Rocky Linuxis on teenuse nimi sshd: sudo systemctl restart sshd.

Testi enne seansi sulgemist

Ava uus aken ja proovi:

ssh anna@203.0.113.10
ssh -o PreferredAuthentications=password -o PubkeyAuthentication=no anna@203.0.113.10
anna@203.0.113.10: Permission denied (publickey).
ssh root@203.0.113.10
root@203.0.113.10: Permission denied (publickey).

Esimene peab töötama. Ülejäänud kaks peavad olema keelatud. Kas kõik on korras? Kustuta siis hetktõmmis.

Nõuanne: Muu pordinumber kui 22 hoiab logi rahulikumana, kuid ei tee serverit turvalisemaks. Töö teeb ära võti. Kui muudad porti siiski, ava see esmalt tulemüüris (vt Tulemüür ufw (või nftables) abil).