VServer und Root Server - OpenSSH sicher konfigurieren

Aus HOSTING-STATION55 - Webhosting Wiki / FAQ
Zur Navigation springen Zur Suche springen

OpenSSH sollte erst nach einem erfolgreich getesteten Schlüsselzugang gehärtet werden. Eine falsche Einstellung kann Sie sofort aussperren; halten Sie daher eine zweite SSH-Sitzung und die Anbieter-Konsole bereit.

Voraussetzungen

  • persönliches Administratorkonto mit funktionierendem sudo
  • erfolgreich getestete Anmeldung mit SSH-Schlüssel
  • Zugriff auf die Anbieter-Konsole
  • Firewallregel für den tatsächlich verwendeten SSH-Port

Aktive Konfiguration sichern und prüfen

sudo cp -a /etc/ssh/sshd_config /etc/ssh/sshd_config.vor-aenderung
sudo sshd -T | grep -E '^(permitrootlogin|passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication|maxauthtries) '

Härtung als Konfigurationsdatei anlegen

Auf aktuellen Systemen können Sie eine eigene Datei unter /etc/ssh/sshd_config.d/ verwenden, sofern die Hauptkonfiguration dieses Verzeichnis einbindet. Inhalt von /etc/ssh/sshd_config.d/99-hardening.conf: 

PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
MaxAuthTries 4

Optional kann AllowUsers adminname die Anmeldung auf ausdrücklich genannte Konten begrenzen. Fügen Sie dann alle benötigten Konten in derselben Zeile ein.

Vor Aktivierung prüfen

sudo sshd -t

Keine Ausgabe bedeutet, dass die Syntax akzeptiert wurde. Prüfen Sie anschließend die wirksamen Werte erneut mit sshd -T. Erst dann laden Sie den Dienst neu:

Debian und Ubuntu: 

sudo systemctl reload ssh

AlmaLinux, Rocky Linux und RHEL: 

sudo systemctl reload sshd

Testen Sie sofort eine neue Anmeldung. Behalten Sie die alte Sitzung geöffnet.

Wichtige Hinweise

  • Ändern Sie den SSH-Port nicht als Ersatz für Schlüssel, Updates oder Firewall. Ein anderer Port reduziert höchstens Lograuschen.
  • Wenn Sie den Port ändern, erlauben Sie zuerst den neuen Port in der Firewall, testen ihn und entfernen erst danach die alte Regel.
  • Überschreiben Sie nicht unbesehen durch Pakete verwaltete Dateien. Eigene Drop-in-Dateien sind meist leichter nachvollziehbar.

Verwandte Artikel

Abgerufen von „https://webhosting-glossar.de/index.php?title=VServer_und_Root_Server_-_OpenSSH_sicher_konfigurieren&oldid=463“