Reforce o acesso na ordem correta

Primeiro estabeleça uma conta nomeada com as permissões necessárias, instale sua chave pública e confirme o login por chave mais sudo em uma segunda sessão. Mantenha a sessão atual aberta. O acesso root direto só deve ser desativado depois que a rota de substituição funcionar.

Revise o sshd_config ativo e os trechos incluídos; o primeiro valor aplicável pode prevalecer. O seguinte é um exemplo somente de chave. Se um design legítimo de PAM ou MFA usar autenticação interativa por teclado, ajuste essa linha para o design em vez de desativá-la cegamente.

PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
AllowUsers operator

Verifique a configuração antes de aplicá-la. No Ubuntu o serviço costuma se chamar ssh; outras distribuições podem usar sshd. Recarregue apenas a unidade que existe, depois abra outra sessão autenticada por chave. Mantenha uma rota de console verificada disponível.

sudo /usr/sbin/sshd -t
sudo systemctl reload ssh
ssh -i ~/.ssh/ombra_admin operator@192.0.2.20

Uma porta diferente reduz parte do ruído automatizado, mas não é autenticação. Antes de configurar a porta 22222, permita-a nos firewalls do guest e upstream. SSH ativado por socket pode exigir uma atualização de socket específica da distribuição. Verifique o novo endereço de escuta e uma segunda conexão antes de aposentar a porta 22.

sudo ufw allow 22222/tcp
sudo ss -lntp
ssh -p 22222 -i ~/.ssh/ombra_admin operator@192.0.2.20

Limite endereços de origem quando possível, revise eventos de login e mantenha atualizações. Fail2ban pode reduzir tentativas repetidas quando o backend de log correto está configurado. Verifique IPv6 assim como IPv4. Salve a política efetiva e o procedimento de recuperação do console antes de fechar a sessão original.