Bekijk Volledige Versie : SSH Beveiligen
Beste Hosters,
Ik heb SSH beveiligd zodat je niet meer eerst als root kan inloggen.
Port: 9999
PermitRootLogin: no
PasswordAuthentication: no
PubkeyAuthentication: yes
UseDNS: yes
Ik heb een extra gebruiker gemaakt om in te loggen als eerst. En dan om naar root te gaan su -
Dat werkt prima zo. Maar als PasswordAuthentication op no staat en PubkeyAuthentication op yes kan ik niet meer inloggen op SSH.
CSF geeft toch aan dat het zo zou moeten zijn.
Doe ik iets fout?
Das vrij logisch.
Je zet logins met password uit en met keys aan. Dus het gedraagt zich exact zoals jij het verteld te gedragen.
Overigens is je poort veranderen schijnveiligheid.
Ik weet dat port 9999 schijnveiligheid is. Het is maar om het moeilijker te maken voor indringers. Hoe log je dan in als KEY op yes staat?
Ik wil je graag naar dit artikel verwijzen, zou geen probleem moeten zijn:
SSH-with-Keys-HOWTO (http://sshkeychain.sourceforge.net/mirrors/SSH-with-Keys-HOWTO/SSH-with-Keys-HOWTO-4.html)
(key dan inladen op je eigen pc, dit artikel gaat uit van server > server)
Bedankt Acceleratic, ik zal dat eens proberen.
Ik denk trouwens dat je hier ook wel wat aan hebt:
ssh-key-based-logins-putty (http://www.howtoforge.com/ssh_key_based_logins_putty)
Trouwens, i.p.v. 'su -' te doen na inloggen, je zou ook kunnen kijken naar Sudoers (http://www.sudo.ws/sudo/sudoers.man.html). Geeft je net een laag extra in de beveiliging.
Je kan ook enkel je eigen ip toestaan. Geen andere ip kan er dan in.
Overigens is je poort veranderen schijnveiligheid.
Je beveiligt er inderdaad niks mee, maar je houd wel de meeste SSH-scan-bots tegen, dus het heeft weldegelijk nut.
R. Persoon
24/03/11, 14:29
Je beveiligt er inderdaad niks mee, maar je houd wel de meeste SSH-scan-bots tegen, dus het heeft weldegelijk nut.
Alle kleine beetjes helpen, heb het zelf ook op de gamenodes. En dan met iptables een rule dat, mocht er ooit iets / iemand poort 22 aanroepen dat deze meteen 24 uur geblocked staat op de volledige server.
En root login uitschakelen is een optie.
Nog een stukje gevonden van iemand.
Sta 1 IP adres toe om in te loggen in shh:
(nog niet getest, met dank aan: Jan Reilink)
Compileer sshd zodat het het gebruik van TCPWrappers ondersteund (libwrap (--with-libwrap=/path_to_libwrap.a/), uitleg). Zet in je /etc/hosts.deny:
quote:
--------------------------------------------------------------------------------
ALL: ALL
--------------------------------------------------------------------------------
en in je /etc/hosts/allow:
quote:
--------------------------------------------------------------------------------
sshd: xxx.xxx.xxx.xxx
--------------------------------------------------------------------------------
Zo heeft alleen IP adres xxx.xxx.xxx.xxx toegang tot de sshd.
Nog een stukje gevonden van iemand.
Sta 1 IP adres toe om in te loggen in shh:
(nog niet getest, met dank aan: Jan Reilink)
Compileer sshd zodat het het gebruik van TCPWrappers ondersteund (libwrap (--with-libwrap=/path_to_libwrap.a/), uitleg). Zet in je /etc/hosts.deny:
quote:
--------------------------------------------------------------------------------
ALL: ALL
--------------------------------------------------------------------------------
en in je /etc/hosts/allow:
quote:
--------------------------------------------------------------------------------
sshd: xxx.xxx.xxx.xxx
--------------------------------------------------------------------------------
Zo heeft alleen IP adres xxx.xxx.xxx.xxx toegang tot de sshd.
Als je al iptables gebruikt, is tcpwrappers overbodig.
Bij iptables is het de kernel die de packets dropt (of een reject terugstuurt), bij tcpwrappers de applicatie die een connectie weigert.