Укрепляйте доступ в правильном порядке

Сначала создайте именованную учётную запись с нужными вам правами, установите её открытый ключ и подтвердите вход по ключу, а также sudo во второй сессии. Оставьте текущую сессию открытой. Прямой доступ root следует отключать только после того, как альтернативный маршрут заработает.

Проверьте активный sshd_config и включённые фрагменты; первое применимое значение может победить. Ниже приведён пример только с ключами. Если законная схема PAM или MFA использует аутентификацию с клавиатурным взаимодействием, скорректируйте эту строку под схему, а не отключайте её вслепую.

PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
AllowUsers operator

Проверьте конфигурацию перед её применением. В Ubuntu служба обычно называется ssh; в других дистрибутивах может использоваться sshd. Перезагрузите только существующий модуль, затем откройте другую сессию с аутентификацией по ключу. Держите доступный проверенный маршрут к консоли.

sudo /usr/sbin/sshd -t
sudo systemctl reload ssh
ssh -i ~/.ssh/ombra_admin operator@192.0.2.20

Другой порт снижает часть автоматического шума, но не является аутентификацией. Перед настройкой порта 22222 разрешите его в гостевом и вышестоящем межсетевых экранах. Активируемый через сокет SSH может потребовать обновления сокета, специфичного для дистрибутива. Проверьте новый адрес прослушивания и второе соединение, прежде чем отключать порт 22.

sudo ufw allow 22222/tcp
sudo ss -lntp
ssh -p 22222 -i ~/.ssh/ombra_admin operator@192.0.2.20

По возможности ограничьте исходные адреса, проверяйте события входа и поддерживайте обновления. Fail2ban может сократить повторные попытки при правильной настройке бэкенда журналов. Проверьте IPv6, а также IPv4. Сохраните действующую политику и процедуру восстановления консоли перед закрытием исходного сеанса.