একটি SSH সার্ভার চলমান যখন নিরাপত্তা বিবেচনার

Question

আমি একটি এসএসএইচ সার্ভার সেট আপ করার চেষ্টা করছি যা আমি আমার হোম নেটওয়ার্ক থেকে অ্যাক্সেস করতে পারি কেবল ইন্টারনেট নয়।

এটা উবুন্টু লিনাক্স চলছে।

আমি ইনস্টল করেছি ssh প্যাকেজ, এবং আমি এসএসএইচ সার্ভার চালু / বন্ধ করতে পারি এবং তারপর একই নেটওয়ার্কে থাকা অন্য মেশিন থেকে কম্পিউটারে লগ ইন করতে এগিয়ে যাচ্ছি।

যাইহোক, এগিয়ে যাওয়ার আগে কোন নিরাপত্তার কথা বিবেচনা করা উচিত? একটি নিরাপদ পাসওয়ার্ড সেটিং সুস্পষ্ট এক বাদে।

আমিও চিন্তিত: যদি কেউ সার্ভারের আইপি খুঁজে বের করে তবে তারা কি এটি সংযোগ করতে পারবে? আমি কিভাবে সংযোগ থেকে নিষ্ক্রিয় করতে পারি না 192.168.*.*?

Answer 1

আপনি শুধুমাত্র নির্দিষ্ট আইপি ঠিকানার জন্য পোর্ট 22 (এসএসএইচ) খুলতে UFW (অসম্পূর্ণ ফায়ারওয়াল) ব্যবহার করতে পারেন।

এটা ভালো কিছু হবে:

$ sudo ufw allow from 192.168.0.0/24 to any port 22 proto tcp

দ্য 192.168.0.0/24 বিট আইপি ঠিকানা পরিসীমা মানে 192.168.0.* - যেমন 192.168.0.1 মাধ্যমে 192.168.0.255 অন্তর্ভুক্ত.

বিস্তারিত জানার জন্য দেখুন UFW ডক্স ।

Answer 2

যাইহোক, এগিয়ে যাওয়ার আগে কোন নিরাপত্তার কথা বিবেচনা করা উচিত? একটি নিরাপদ পাসওয়ার্ড সেটিং সুস্পষ্ট এক বাদে।

কীগুলি পাসওয়ার্ডের চেয়ে বেশি নিরাপদ, বিশেষ করে যদি পাসফ্রেজ সুরক্ষিত থাকে।

অন্যান্য জিনিস (বেশিরভাগ কনফিগারেশন ফাইলের মধ্যে সেট করা হয়):

যে জিনিস সবসময় একটি ভাল ধারণা:

• রুট সরাসরি লগ ইন করতে পারবেন না (আপনি সর্বদা করতে পারেন su অথবা sudo পরে)

• আপনি প্রয়োজন হবে না এমন কোন বৈশিষ্ট্য অক্ষম করুন /etc/ssh/sshd_config যেমন ফরওয়ার্ডিং ইত্যাদি

• না sshd আপনি এটি প্রয়োজন না যখন চলমান।

জিনিস আপনার ইন্টারনেট অ্যাক্সেস প্রতিরোধ করতে sshd

• যদি সম্ভব হয় আপনার রাউটার এর ফায়ারওয়াল ব্লক পোর্ট 22। আরও একটি সঙ্গে এই প্রয়োগ iptables নিয়ম বা ufw @ গ্রেগ হেন্ডারসট দ্বারা প্রস্তাবিত।

• /etc/hosts_allow কোন IP সার্ভারটি অ্যাক্সেস করতে পারে তা নিয়ন্ত্রণ করে এবং আপনি আইপি রেঞ্জগুলিকে অস্বীকার করে এমন লাইনগুলি অন্তর্ভুক্ত করতে পারেন।

আপনি পরে এটি ইন্টারনেটে প্রকাশ করেছেন:

• সম্ভব হলে পোর্ট পরিবর্তন 22 থেকে অন্য। কোন বাস্তব নিরাপত্তা যোগ করা হবে না কিন্তু র্যান্ডম আক্রমণ হ্রাস করা হবে।

• এসএসএইচ ব্যানারটি অক্ষম করুন, বা এটি এমন কিছুতে পরিবর্তন করুন যা আপনাকে সনাক্ত করে না (লগইন শেষ হওয়ার পরে আপনি এটি করতে চান)।

• ভালো কিছু ইনস্টল করুন fail2ban যে স্বয়ংক্রিয়ভাবে ফিরে অনেক ব্যর্থ লগইন না আইপি ব্লক।

• শুধুমাত্র SSHv2 গ্রহণ করুন, যদি ভুল না হয় তবে আগের সংস্করণগুলিতে দুর্বলতা রয়েছে। আমি এই ডিফল্ট দ্বারা সেট মনে হয়।

Comments

যখন আমি এমন একটি সার্ভার দেখতে পাচ্ছি যেটি তার ডিফল্ট এসএসএইচ পোর্টটি অন্য কিছুতে পরিবর্তিত হয়েছে তখনও আমি মুগ্ধ হলাম। আমি পরিশেষে আমার সব বক্সের জন্য এই কাজ এবং র্যান্ডম লগইন অনেক চেষ্টা করে আমাকে রিলিজ।

— Mogget

এছাড়াও, যদি আপনি ইন্টারনেট যান। আমি নীচের পাওয়া ব্লকিং রেঞ্জ যোগ করা হবে: wizcrafts.net/chinese-iptables-blocklist.html । আমি মনে করি 90% হামলা সেই সময়ে বিচ্ছিন্ন হয়েছিল। অবশ্যই এই অনুমান করা হয় যে আপনি যে রেঞ্জ থেকে লগ ইন করা হয় না।

— prateek61