Безопасность серверов Linux
Усиление защиты SSH по ключам
SSH — парадный вход каждого Linux-сервера и самая перебираемая служба в интернете. Вход только по ключу, запрет входа под root, тюрьмы fail2ban и нестандартный порт вместе снимают почти все автоматические попытки взлома, оставляя быстрый доступ администратора.
Главное
- Перевести все аккаунты на ключи ed25519 или RSA-4096 и полностью отключить вход по паролю.
- Задать для PermitRootLogin значение prohibit-password или no и работать через пользователей с sudo.
- Перевести SSH на нестандартный высокий порт — так отсеивается порядка 99% автоматических сканеров.
- Заключить sshd в тюрьму fail2ban: после трёх-пяти ошибок включается нарастающий по времени бан.
- Ограничить SSH директивами AllowUsers и AllowGroups, а где возможно — списками разрешённых адресов в межсетевом экране.
- Задать таймауты простоя через ClientAliveInterval и отключить неиспользуемую переадресацию.
- Проверять authorized_keys каждый квартал и сразу убирать ключи уволившихся сотрудников.
- Рассмотреть стук портов или доступ по SSH только через VPN на серверах с высокой ценой.
Частые вопросы
Не потеряю ли я доступ при переходе на ключи?
Нет, если менять поэтапно: добавить ключи, убедиться, что вход по ключу работает, и только потом отключить пароли. На всё время работ держите одну активную сессию открытой.
Смена порта SSH — это защита через секретность?
Отчасти. Главный эффект в другом: исчезает почти весь бот-шум, и настоящие попытки взлома видно в журналах, а не теряется среди тысяч ботов.
Нужен ли вообще вход под root?
Только с консоли или через KVM в аварийных случаях. Ежедневная работа под root по SSH — лишний риск без всякой пользы.
Что насчёт двухфакторной аутентификации для SSH?
TOTP поверх ключей отлично работает на шлюзах и резервных серверах. Там, где это вписывается в процесс, мы его ставим.
Как мы берём на себя безопасность серверов linux
Вам не обязательно становиться экспертом в безопасность серверов linux: Усиление защиты, мониторинг и оборона серверов CloudLinux, Rocky Linux и cPanel от вредоносного ПО, перебора паролей и вторжений — круглосуточно. Именно для этого и существует наша услуга Безопасность серверов Linux и Администрирование серверов — настройка, усиление защиты, мониторинг и живой человек на связи днём и ночью.