A jelszavas és a root bejelentkezés kikapcsolása

Az interneten minden szerverre rövid időn belül ellátogatnak a jelszavakat találgató programok. Ha csak kulccsal lehet bejelentkezni, ezeknek nincs esélyük. Most ezt kapcsoljuk be.

Figyelem: Működik a bejelentkezés a kulcsával anna felhasználóként (lásd Saját felhasználó sudo jogosultsággal)? Akkor először készítsen egy pillanatképet (lásd Pillanatképek: biztonsági háló minden nagyobb módosításhoz), és a lépések alatt tartson nyitva egy munkamenetet. Ha mégis valami félresikerül, a konzolon keresztül be tud jutni (lásd A konzol: a VPS a böngészőben).

Saját beállításfájl

Debianon és Ubuntun az SSH-szerver először a /etc/ssh/sshd_config.d/ mappában lévő fájlokat olvassa be, ábécésorrendben. Minden beállításnál az első érték számít, amellyel találkozik. Ezért a saját fájlja olyan nevet kap, amely a sor elejére kerül:

anna@web1:~$ sudo nano /etc/ssh/sshd_config.d/00-eigen.conf

Írja bele a következőt:

PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no

• PasswordAuthentication no: SSH-n keresztül nincs többé jelszavas bejelentkezés.
• KbdInteractiveAuthentication no: kerülőúton sem kér jelszót a szerver.
• PermitRootLogin no: a root többé nem jelentkezhet be SSH-n keresztül, kulccsal sem. Ön anna felhasználóként dolgozik, sudóval. Ha a rootot kulccsal továbbra is be szeretné engedni, használja a prohibit-password beállítást.

Ellenőrzés és alkalmazás

anna@web1:~$ sudo sshd -t
anna@web1:~$ sudo sshd -T | grep -Ei '^(passwordauthentication|kbdinteractiveauthentication|permitrootlogin)'
passwordauthentication no
kbdinteractiveauthentication no
permitrootlogin no
anna@web1:~$ sudo systemctl restart ssh

A sshd -t parancs nem ír ki semmit, ha a fájl rendben van. A sshd -T parancs megmutatja, mely értékek érvényesek valójában. Még mindig passwordauthentication yes szerepel? Akkor egy másik fájl a sshd_config.d mappában újra bekapcsolja, gyakran ez: 50-cloud-init.conf. Az Ön 00-eigen.conf fájlja előtte áll, és az győz; ellenőrizze, hogy helyes-e a név.

AlmaLinuxon és Rocky Linuxon a szolgáltatás neve sshd: sudo systemctl restart sshd.

Tesztelés a munkamenet bezárása előtt

Nyisson egy új ablakot, és próbálja ki:

ssh anna@203.0.113.10
ssh -o PreferredAuthentications=password -o PubkeyAuthentication=no anna@203.0.113.10
anna@203.0.113.10: Permission denied (publickey).
ssh root@203.0.113.10
root@203.0.113.10: Permission denied (publickey).

Az elsőnek működnie kell. A másik kettőt a szervernek el kell utasítania. Minden rendben van? Akkor törölje a pillanatképet.

Tipp: A 22-estől eltérő portszám nyugodtabbá teszi a naplót, de a szervert nem teszi biztonságosabbá. A munkát a kulcs végzi. Ha mégis megváltoztatja a portot, előbb nyissa meg a tűzfalban (lásd Tűzfal ufw (vagy nftables) segítségével).