أمن خوادم لينكس
تحصين SSH بالمفاتيح
إن SSH هو الباب الأمامي لكل خادم لينكس والخدمة الأكثر تعرضًا لهجمات التخمين على الإنترنت. المصادقة بالمفاتيح فقط، مع تعطيل دخول الجذر، وسجون fail2ban، ومنافذ غير قياسية، تقضي معًا على كل اختراقات SSH الآلية تقريبًا مع إبقاء وصول الإدارة المشروع سريعًا.
النقاط الرئيسية
- انقل كل الحسابات إلى المصادقة بالمفاتيح ed25519 أو RSA-4096؛ وعطّل مصادقة كلمات المرور تمامًا.
- اضبط PermitRootLogin على prohibit-password أو no، وأدِر النظام عبر مستخدمي sudo.
- انقل SSH إلى منفذ عالٍ غير قياسي لتتخلص من 99% من المسوحات الآلية.
- قيّد sshd بسجون fail2ban: 3-5 إخفاقات تؤدي إلى حظر متصاعد.
- قيّد SSH باستخدام AllowUsers/AllowGroups مع قوائم سماح للمصادر في الجدار الناري حيث أمكن.
- افرض مهلات الخمول (ClientAliveInterval) وعطّل إعادة التوجيه غير المستخدمة.
- دقّق في authorized_keys فصليًا وأزل مفاتيح الموظفين المغادرين فورًا.
- فكّر في الطرق على المنافذ (port-knocking) أو SSH عبر VPN فقط للخوادم عالية القيمة.
ملاحظة ميدانية
الدرس الذي يرسخ عادةً هو انقطاعك أنت نفسك: أبقِ جلسة نشطة مفتوحة أثناء التحول إلى المصادقة بالمفاتيح فقط، وسجّل الدخول مجددًا من طرفية ثانية قبل إغلاق أي شيء.
أسئلة شائعة
هل سأُقفل خارج النظام عند التحول إلى SSH بالمفاتيح فقط؟
لا إذا تم على مراحل: أضف المفاتيح، وتحقق من نجاح الدخول بها، ثم عطّل كلمات المرور، مع إبقاء جلسة نشطة مفتوحة أثناء التغيير.
هل تغيير منفذ SSH أمنٌ بالتخفّي؟
جزئيًا، لكنه يزيل ضجيج البوتات كلها تقريبًا، فيجعل محاولات الهجوم الحقيقية ظاهرة في السجلات بدل أن تُدفن.
هل يُسمح بدخول الجذر أبدًا؟
فقط عبر الكونسول/KVM في الطوارئ. دخول الجذر اليومي عبر SSH خطر لا داعي له.
ماذا عن العامل الثاني لـ SSH؟
إن TOTP فوق المفاتيح ممتاز لخوادم القفز وخوادم النسخ؛ ننشره حيث يسمح سير العمل.
كيف تساعدك Kinetikatech في أمن خوادم لينكس
بصراحة، معظم الفرق تصل إلينا بعد أن تجرّب بنفسها أولًا: التحصين والمراقبة والدفاع لخوادم CloudLinux وRocky Linux وcPanel ضد البرمجيات الخبيثة والتخمين والاختراق — 24/7. توجد خدمة أمن خوادم لينكس و إدارة الخوادم لدينا حتى لا تضطر إلى تعلّم أمن خوادم لينكس بالطريقة الصعبة؛ نتولى الإعداد والمراقبة ومفاجآت الثالثة فجرًا.