Как защитить SSH сервер (hardening)

1. Сгенерируйте SSH-ключ на клиенте: ssh-keygen -t ed25519 -a 100
2. Скопируйте pubkey на сервер: ssh-copy-id user@host
3. Проверьте вход по ключу ДО выключения password auth
4. В /etc/ssh/sshd_config: PasswordAuthentication no, PubkeyAuthentication yes, PermitRootLogin prohibit-password
5. Добавьте AllowUsers admin deploy (whitelist users)
6. Опционально: смените порт (Port 2222) — security-through-obscurity, 90% атак на порт 22
7. sshd -t проверить config, systemctl reload sshd
8. Установите fail2ban: apt install fail2ban (дефолтный sshd jail уже настроен)

• Закрыли password auth без проверки ключей сначала — locked out
• Сменили порт но не обновили firewall/UFW — connection refused
• PermitRootLogin yes в 2026 — anti-pattern. Используйте sudo user
• AllowUsers с typo в username — ничего не работает
• MaxAuthTries слишком высокий (6+) — облегчает bruteforce

Чтобы эффективно защитить SSH сервер, необходимо выполнить несколько ключевых действий: изменить стандартный порт SSH на нестандартный (например, 2222), отключить вход с паролем, используя ключи SSH, и ограничить доступ по IP-адресам. Также рекомендуется настроить двухфакторную аутентификацию и регулярно обновлять программное обеспечение. Эти меры значительно снизят вероятность несанкционированного доступа к серверу.

Первым шагом в процессе защиты SSH сервера является изменение стандартного порта, который по умолчанию равен 22. Это затруднит работу автоматизированных атак. Для изменения порта откройте файл конфигурации SSH:

sudo nano /etc/ssh/sshd_config

Найдите строку Port 22 и измените её на, например, Port 2222. После этого сохраните изменения и перезапустите SSH-сервис:

sudo systemctl restart sshd

Следующим шагом является отключение входа по паролю. Найдите строку PasswordAuthentication yes и измените её на:

PasswordAuthentication no

Это позволит использовать только ключи SSH для аутентификации, что значительно повышает безопасность. Не забудьте предварительно настроить ключи SSH для вашего пользователя.

Для дальнейшего повышения безопасности SSH сервера рекомендуется ограничить доступ к нему только с определённых IP-адресов. Это можно сделать с помощью правила в файле конфигурации /etc/hosts.allow. Например, чтобы разрешить доступ только с IP-адреса 192.168.1.100, добавьте следующую строку:

sshd: 192.168.1.100

Или используйте /etc/hosts.deny для блокировки всех остальных:

sshd: ALL

Также стоит рассмотреть возможность настройки двухфакторной аутентификации (2FA) для SSH. Это можно сделать с помощью пакета Google Authenticator. Установите его:

sudo apt-get install libpam-google-authenticator

Затем откройте файл конфигурации PAM:

sudo nano /etc/pam.d/sshd

И добавьте следующую строку в начало файла:

auth required pam_google_authenticator.so

После этого настройте Google Authenticator для вашего пользователя, выполнив команду:

google-authenticator

Следуйте инструкциям на экране, чтобы завершить настройку. После этого необходимо перезапустить SSH-сервис:

sudo systemctl restart sshd

Таким образом, даже если злоумышленник получит доступ к вашему паролю, ему потребуется второй фактор для входа.

Чтобы защитить SSH сервер, необходимо выполнить несколько ключевых шагов: измените стандартный порт (22) на нестандартный, отключите вход по паролю, разрешите доступ только для определённых пользователей, используйте ключи SSH, активируйте двухфакторную аутентификацию и настройте Fail2Ban для защиты от brute-force атак. Эти меры значительно повысят безопасность вашего сервера.

Первым шагом к защите вашего SSH сервера является изменение стандартного порта, который по умолчанию равен 22. Это поможет сократить количество автоматических атак, так как многие злоумышленники нацеливаются именно на этот порт.

Чтобы изменить порт, откройте файл конфигурации SSH:

sudo nano /etc/ssh/sshd_config

Найдите строку, содержащую Port 22, и измените её на, например, Port 2222. После этого сохраните изменения и перезапустите SSH-сервис:

sudo systemctl restart sshd

Теперь ваш SSH сервер будет доступен по новому порту 2222. Не забудьте внести изменения в файлы конфигурации вашего брандмауэра, чтобы разрешить доступ к этому порту.

Использование ключей SSH вместо паролей значительно повышает уровень безопасности. Ключи SSH представляют собой пару криптографических ключей: открытый ключ, который вы размещаете на сервере, и закрытый ключ, который хранится на вашем локальном компьютере.

Для создания пары ключей используйте команду:

ssh-keygen -t rsa -b 4096

После создания ключей скопируйте открытый ключ на сервер с помощью:

ssh-copy-id -i ~/.ssh/id_rsa.pub user@remote_host

Замените user на ваше имя пользователя и remote_host на IP-адрес или доменное имя вашего сервера.

После успешного копирования ключа, отключите возможность входа по паролю, изменив файл конфигурации SSH:

sudo nano /etc/ssh/sshd_config

Найдите строку PasswordAuthentication yes и измените её на PasswordAuthentication no. Сохраните изменения и перезапустите SSH-сервис:

sudo systemctl restart sshd

Теперь доступ к вашему серверу возможен только с использованием ключей SSH, что значительно затрудняет несанкционированный доступ.