VServer und Root Server - OpenSSH sicher konfigurieren

OpenSSH sollte erst nach einem erfolgreich getesteten Schlüsselzugang gehärtet werden. Eine falsche Einstellung kann Sie sofort aussperren; halten Sie daher eine zweite SSH-Sitzung und die Anbieter-Konsole bereit.

Voraussetzungen

• persönliches Administratorkonto mit funktionierendem sudo
• erfolgreich getestete Anmeldung mit SSH-Schlüssel
• Zugriff auf die Anbieter-Konsole
• Firewallregel für den tatsächlich verwendeten SSH-Port

Aktive Konfiguration sichern und prüfen

sudo cp -a /etc/ssh/sshd_config /etc/ssh/sshd_config.vor-aenderung
sudo sshd -T | grep -E '^(permitrootlogin|passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication|maxauthtries) '

Härtung als Konfigurationsdatei anlegen

Auf aktuellen Systemen können Sie eine eigene Datei unter /etc/ssh/sshd_config.d/ verwenden, sofern die Hauptkonfiguration dieses Verzeichnis einbindet. Inhalt von /etc/ssh/sshd_config.d/99-hardening.conf:

PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
MaxAuthTries 4

Optional kann AllowUsers adminname die Anmeldung auf ausdrücklich genannte Konten begrenzen. Fügen Sie dann alle benötigten Konten in derselben Zeile ein.

Vor Aktivierung prüfen

sudo sshd -t

Keine Ausgabe bedeutet, dass die Syntax akzeptiert wurde. Prüfen Sie anschließend die wirksamen Werte erneut mit sshd -T. Erst dann laden Sie den Dienst neu:

Debian und Ubuntu:

sudo systemctl reload ssh

AlmaLinux, Rocky Linux und RHEL:

sudo systemctl reload sshd

Testen Sie sofort eine neue Anmeldung. Behalten Sie die alte Sitzung geöffnet.

Wichtige Hinweise

• Ändern Sie den SSH-Port nicht als Ersatz für Schlüssel, Updates oder Firewall. Ein anderer Port reduziert höchstens Lograuschen.
• Wenn Sie den Port ändern, erlauben Sie zuerst den neuen Port in der Firewall, testen ihn und entfernen erst danach die alte Regel.
• Überschreiben Sie nicht unbesehen durch Pakete verwaltete Dateien. Eigene Drop-in-Dateien sind meist leichter nachvollziehbar.

Verwandte Artikel

• VServer und Root Server - SSH-Verbindung und SSH-Schlüssel
• VServer und Root Server - Firewall mit UFW oder firewalld
• VServer und Root Server - Fail2ban für SSH einrichten