Beveilig toegang in de juiste volgorde

Maak eerst een benoemd account aan met de rechten die je nodig hebt, installeer de publieke sleutel en bevestig sleutelaanmelding plus sudo in een tweede sessie. Houd de huidige sessie open. Directe root-toegang mag pas worden uitgeschakeld nadat de vervangende route werkt.

Controleer de actieve sshd_config en inbegrepen snippets; de eerste toepasselijke waarde kan winnen. Het volgende is een voorbeeld met alleen sleutels. Als een legitiem PAM- of MFA-ontwerp keyboard-interactive-authenticatie gebruikt, pas die regel dan aan voor het ontwerp in plaats van deze blindelings uit te schakelen.

PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
AllowUsers operator

Controleer de configuratie voordat u deze toepast. Op Ubuntu heet de service meestal ssh; andere distributies gebruiken mogelijk sshd. Herlaad alleen de unit die bestaat en open vervolgens een andere sessie met sleutelverificatie. Houd een geverifieerde console-route beschikbaar.

sudo /usr/sbin/sshd -t
sudo systemctl reload ssh
ssh -i ~/.ssh/ombra_admin operator@192.0.2.20

Een andere poort vermindert sommige geautomatiseerde ruis, maar is geen authenticatie. Sta poort 22222 voordat je die configureert toe in de guest- en upstream-firewalls. Socket-activated SSH kan een distributiespecifieke socket-update vereisen. Verifieer het nieuwe luisteradres en een tweede verbinding voordat je poort 22 buiten gebruik stelt.

sudo ufw allow 22222/tcp
sudo ss -lntp
ssh -p 22222 -i ~/.ssh/ombra_admin operator@192.0.2.20

Beperk bronadressen waar praktisch, controleer login-gebeurtenissen en houd updates bij. Fail2ban kan herhaalde pogingen verminderen wanneer de juiste logbackend is geconfigureerd. Controleer IPv6 evenals IPv4. Sla het effectieve beleid en de console-herstelprocedure op voordat u de oorspronkelijke sessie sluit.