Benutze seit Jahren ausschlieszlich Linux und habe jetzt meinen ersten vServer bestellt.
Ich werde hier mal reinschreiben, was meine ersten Schritte waren und sind. Einerseits als Hilfestellung fuer andere Anfaenger, andererseits um evtl. hilfreiche Kommentare von euch zu bekommen.
- Login, Passwortaenderung:
user@workstation:~$ ssh root@my_vserver
root@my_vserver:~# passwd - Anlegen eines normalen Benutzers:
root@my_vserver:~# adduser my_user
root@my_vserver:~# exit - RSA-Key hinzufuegen:
user@workstation:~$ ssh-copy-id my_user@my_vserver - Testen:
user@workstation:~$ ssh my_user@my_vserver
my_user@my_vserver:~$ su -
root@my_vserver:~# exit
my_user@my_vserver:~$ exit - SSHD-Konfiguration anpassen
user@workstation:~$ ssh my_user@my_vserver
my_user@my_vserver:~$ su -
root@my_vserver:~# vi /etc/sshd_config- Zeile aendern: PermitRootLogin no
- Zeile hinzufuegen: Port 24
(prinzipiell beliebig; empfehlenswert ist ein unbenutzter Standardport, damit man auch von Rechnern hinter restriktiven Firewalls (Arbeitsplatz, Hochschule, ...) aus zum Server durchkommt) - Zeile aendern/hinzufuegen: MaxStartups 3:30:10
(Die Werte im Beispiel bedeuten, dass 2 (= 1. Wert minus 1) "unauthenticated" (also im Login-Stadium befindliche) sshd-Verbindungen immer erlaubt sind. Ab der 3. (= 1. Wert) Verbindung wird mit einer Wahrscheinlichkeit von 30% (2. Wert) die Verbindung abgelehnt. Diese Wahrscheinlichkeit steigt linear an, bis bei 10 (3. Wert) offenen Verbindungen jeder weitere Verbindungsversuch zu 100% abgelehnt wird.)
- neue Konfiguration laden und sshd neu starten:
root@my_vserver:~# /etc/init.d/ssh reload
root@my_vserver:~# /etc/init.d/ssh restart - Testen in neuer Shell. Die bestehende Shell-Verbindung nicht trennen, bevor sichergestellt ist, dass die Konfigurationsaenderung erfolgreich war und funktionsfaehig ist.
user@workstation:~$ ssh -p 24 my_user@my_vserver
my_user@my_vserver:~$ su -
root@my_vserver:~# vi /etc/sshd_config- Zeile "Port 22" auskommentieren
- neue Konfiguration laden und sshd neu starten:
root@my_vserver:~# /etc/init.d/ssh reload
root@my_vserver:~# /etc/init.d/ssh restart - Passwort-Authentifizierung deaktivieren
user@workstation:~$ ssh -p 24 my_user@my_vserver
my_user@my_vserver:~$ su -
root@my_vserver:~# vi /etc/sshd_config- Zeile auskommentieren/aendern: PasswordAuthentication no
- neue Konfiguration laden und sshd neu starten:
root@my_vserver:~# /etc/init.d/ssh reload
root@my_vserver:~# /etc/init.d/ssh restart
Zusammenfassung:
- SSH laeuft ueber einen alternativen Port (reduziert die Anzahl an Brute-Force-Angriffen drastisch)
- root-Login ist per SSH nicht mehr moeglich
- Authentifizierung ausschl. per RSA-Key
- Beschraenkte Anzahl gleichzeitiger Login-Vorgaenge (weniger Serverauslastung durch massenhafte Loginversuche)
Habe ich etwas wichtiges vergessen? Sollte ich irgendwas anderes machen? Kommentare?
