Härten Sie den Zugriff in der richtigen Reihenfolge
Stärke den administrativen Login eines echten Servers und behalte zugleich einen verifizierten Weg zurück.
Inhalt überarbeitet · Deutsch
- Leitfaden-Typ
- Betreiben & absichern
- Beispiele
- Illustrativ, umgebungsspezifisch
- Integrationsumfang
- Keine Remote-Maschine verbunden
Erstellen Sie einen getesteten Nicht-Root-Administrationspfad
Richten Sie zunächst ein benanntes Konto mit den benötigten Berechtigungen ein, installieren Sie dessen öffentlichen Schlüssel und bestätigen Sie die Schlüsselanmeldung sowie sudo in einer zweiten Sitzung. Halten Sie die aktuelle Sitzung geöffnet. Direkter Root-Zugriff sollte erst deaktiviert werden, nachdem der Ersatzweg funktioniert.
Die Authentifizierungsregeln bewusst ändern
Die aktive sshd_config und enthaltene Snippets überprüfen; der erste anwendbare Wert kann gewinnen. Das Folgende ist ein Beispiel nur mit Schlüsseln. Wenn ein legitimes PAM- oder MFA-Design die keyboard-interactive-Authentifizierung verwendet, passen Sie diese Zeile an das Design an, anstatt sie blind zu deaktivieren.
PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
AllowUsers operatorSyntax validieren und die richtige Unit neu laden
Die Konfiguration prüfen, bevor sie angewendet wird. Auf Ubuntu heißt der Dienst üblicherweise ssh; andere Distributionen verwenden möglicherweise sshd. Nur die vorhandene Unit neu laden und dann eine weitere schlüsselauthentifizierte Sitzung öffnen. Einen verifizierten Konsolenzugang verfügbar halten.
sudo /usr/sbin/sshd -t
sudo systemctl reload ssh
ssh -i ~/.ssh/ombra_admin operator@192.0.2.20Wenn Sie den Port ändern, öffnen Sie zuerst den neuen Pfad
Ein anderer Port reduziert etwas automatisierten Lärm, ist aber keine Authentifizierung. Bevor Sie Port 22222 konfigurieren, erlauben Sie ihn in den Gast- und Upstream-Firewalls. Socket-aktiviertes SSH kann eine distributionsspezifische Socket-Aktualisierung erfordern. Verifizieren Sie die neue Listen-Adresse und eine zweite Verbindung, bevor Sie Port 22 außer Betrieb nehmen.
sudo ufw allow 22222/tcp
sudo ss -lntp
ssh -p 22222 -i ~/.ssh/ombra_admin operator@192.0.2.20Halten Sie Schutz und Wiederherstellung messbar
Begrenzen Sie Quelladressen, wo praktikabel, prüfen Sie Anmeldeereignisse und halten Sie Updates aufrecht. Fail2ban kann wiederholte Versuche reduzieren, wenn das richtige Log-Backend konfiguriert ist. Prüfen Sie IPv6 sowie IPv4. Speichern Sie die effektive Richtlinie und das Konsolen-Wiederherstellungsverfahren, bevor Sie die ursprüngliche Sitzung schließen.
Mit einem überprüfbaren Ergebnis gehen.
- Erstelle einen getesteten Nicht-Root-Administrationspfad.
- Halten Sie Schutz und Wiederherstellung messbar.
- Halten Sie Wiederherstellungsinformationen und Geheimnisse außerhalb öffentlicher Dateien.