Ssh

SSH on käytännöllinen etähallinta palvelu linuxille.

SSH (Secure Shell) on myös protokolla, mutta tässä artikkelissa käsitellään apt pakettia ssh.

Asennus

Asennetaan ssh -paketti aptitude:lla.

aptitude install ssh

Konfigurointi

/etc/ssh/sshd_config

Tiedostosta löytyy ssh serverin tärkeät konfiguraatiot.

Muokataan sitä nano:lla

nano /etc/ssh/sshd_config

Portti (TCP, UDP), määritetään numerolla (oletus 22).

Port 22

Kirjautumis yhteyden aikakatkaisu, määritetään sekunteina (oletus 120).

LoginGraceTime 120

Sallitaan tai estetään root -käyttäjän kirjautuminen ssh:lla, määritetään yes tai no (oletus yes).

PermitRootLogin yes

Autentikoimattomien yhteyksien sallittu määrä, määritetään [vähintään]:[todennäköisyys%]:[enintään] (todennäköisyys% kasvaa lineaarisesti, kun lähestytään enimmäismäärää)

MaxStartups 10:30:60

Kommentoimattomana (ilman '#' edessä) tulostaa viestin käyttäjän kirjautuessa (käyttäjänimen syöttämisen jälkeen).

Banner /etc/issue.net

Viestiä voi muokata nano:lla

nano /etc/issue.net

Lopuksi otetaan muokattu konfiguraatio käyttöön käynnistämällä ssh palvelu uudestaan.

service ssh restart

Fail2ban

Jos haluamme lisätä ssh-palvelimen tietoturvaa kuitenkin sallien ssh-yhteyden helposti, voimme käyttää Fail2ban ohjelmistoa. Asennus onnistuu samaan tapaan kuin ssh-serverin asennus aptitudea käyttäen.

aptitude install fail2ban

/etc/fail2ban/jail.conf

/etc/fail2ban/jail.conf tiedostosta löytyy fail2banin asetukset. Halutessasi voit kopioida jail.conffin uuteen tiedostoon /etc/fail2ban/jail.localiin. Esimerkissä muokkaamme jail.conf tiedostoa siten, että filtterit eivät koske sisäverkosta (192.168.0.0/24) tulevia yhdistyksiä, vähennämme maksimi epäonnistumisten määrää kolmeen sekä vähennämme jäähyaikaa viiteen minuuttiin.

nano /etc/fail2ban/jail.conf

ignoreip = 127.0.0.1/8 192.168.0.0/24
bantime = 300
maxretry = 6

maxretry arvon muutamme hieman alempaa, ssh valikon alta:

[ssh]
enabled = true
port    = ssh           Muista muuttaa porttia jos olet asettanut ssh:n käyttämään jotain muuta porttia kuin 22
filter  = sshd
logpath  = /var/log/auth.log
maxretry = 3

HUOM!

Jos olet tehnyt uuden konfiguraatiotiedoston jail.local, muista käydä asettamassa jail.conf tiedostosta ssh kohdan alta enabled = false.