Renforcez l'accès dans le bon ordre

Commencez par créer un compte nommé avec les autorisations dont vous avez besoin, installez sa clé publique et confirmez la connexion par clé ainsi que sudo dans une seconde session. Gardez la session actuelle ouverte. L'accès root direct ne doit être désactivé qu'après le bon fonctionnement de la voie de remplacement.

Vérifiez le sshd_config actif et les extraits inclus ; la première valeur applicable peut l'emporter. Ce qui suit est un exemple avec clé uniquement. Si une conception PAM ou MFA légitime utilise l'authentification par clavier interactif, ajustez cette ligne pour la conception plutôt que de la désactiver aveuglément.

PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
AllowUsers operator

Vérifier la configuration avant de l'appliquer. Sur Ubuntu, le service est communément nommé ssh ; d'autres distributions peuvent utiliser sshd. Recharger uniquement l'unité qui existe, puis ouvrir une autre session authentifiée par clé. Garder une route de console vérifiée disponible.

sudo /usr/sbin/sshd -t
sudo systemctl reload ssh
ssh -i ~/.ssh/ombra_admin operator@192.0.2.20

Un port différent réduit certains bruits automatisés, mais ce n'est pas une authentification. Avant de configurer le port 22222, autorisez-le dans les pare-feu invité et en amont. Un SSH activé par socket peut nécessiter une mise à jour de socket spécifique à la distribution. Vérifiez la nouvelle adresse d'écoute et une seconde connexion avant de retirer le port 22.

sudo ufw allow 22222/tcp
sudo ss -lntp
ssh -p 22222 -i ~/.ssh/ombra_admin operator@192.0.2.20

Limitez les adresses sources lorsque c'est possible, examinez les événements de connexion et maintenez les mises à jour. Fail2ban peut réduire les tentatives répétées lorsque le bon backend de journalisation est configuré. Vérifiez IPv6 ainsi que IPv4. Enregistrez la politique effective et la procédure de récupération de la console avant de fermer la session d'origine.