Refuerce el acceso en el orden correcto

Primero establece una cuenta con nombre con los permisos que necesitas, instala su clave pública y confirma el inicio de sesión con clave más sudo en una segunda sesión. Mantén la sesión actual abierta. El acceso directo como root debe deshabilitarse solo después de que la ruta de reemplazo funcione.

Revisa el sshd_config activo y los fragmentos incluidos; el primer valor aplicable puede imponerse. El siguiente es un ejemplo solo con clave. Si un diseño legítimo de PAM o MFA usa autenticación interactiva por teclado, ajusta esa línea para el diseño en lugar de deshabilitarla a ciegas.

PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
AllowUsers operator

Comprobar la configuración antes de aplicarla. En Ubuntu el servicio suele llamarse ssh; otras distribuciones pueden usar sshd. Recargar solo la unidad que exista y luego abrir otra sesión autenticada con clave. Mantener disponible una ruta de consola verificada.

sudo /usr/sbin/sshd -t
sudo systemctl reload ssh
ssh -i ~/.ssh/ombra_admin operator@192.0.2.20

Un puerto diferente reduce algo de ruido automatizado, pero no es autenticación. Antes de configurar el puerto 22222, permítelo en los firewalls del invitado y del upstream. El SSH activado por socket puede requerir una actualización de socket específica de la distribución. Verifica la nueva dirección de escucha y una segunda conexión antes de retirar el puerto 22.

sudo ufw allow 22222/tcp
sudo ss -lntp
ssh -p 22222 -i ~/.ssh/ombra_admin operator@192.0.2.20

Limita las direcciones de origen cuando sea práctico, revisa los eventos de inicio de sesión y mantén las actualizaciones. Fail2ban puede reducir los intentos repetidos cuando el backend de registro correcto está configurado. Comprueba IPv6 así como IPv4. Guarda la política efectiva y el procedimiento de recuperación de consola antes de cerrar la sesión original.