Takže na internetu samozřejmě existuje velké množství ukázky instalace SSH, to je ale smůla 🙂 ne všechny detaily jsou všude popsány a někdy to začátečník v této situaci nemá jednoduché, sám jsem to zažil ... Tak tady je kompletní a podrobný popis instalace velký a mocný SSH.
Nejprve nainstalujme SSH na stroj, ke kterému se plánujeme připojit. Chcete-li to provést, zadejte do konzoly (příkazový řádek, terminál) příkaz:
sudo apt-get install openssh-server
Po tomto příkazu bude SSH automaticky nalezeno a nainstalováno (samozřejmě je potřeba se připojit ke skvělému a mocnému internetu). Pak je potřeba konfigurovat. Veškerá konfigurace našeho serveru se provádí změnou souboru /etc/ssh/sshd_config. Nejprve bych ale doporučil vytvořit záložní kopii původního konfiguračního souboru. K tomu píšeme:
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.original
Nyní bude původní konfigurační soubor zkopírován do stejného adresáře, v jakém byl, ale již bude volán sshd_config.original, poté můžeme bezpečně provést všechny potřebné změny, protože kdykoli můžeme obnovit původní nastavení. Otevřeme tedy konfigurační soubor pro úpravy, já ho otevřu skrz nano editor, podle mě je to skvělý editor pro práci v konzoli.
sudo nano /etc/ssh/sshd_config
Uvidíte následující směrnice:
- Port 22 – určuje port, na kterém bude server naslouchat příchozímu spojení. Například port 1234 znamená, že se bude možné připojit k serveru na portu 1234. Standardní je ale port 22, i když bych jej doporučil změnit, protože právě z tohoto portu „nepřátelské osobnosti internetu otevírají prostor “ začít hackovat server.
- PermitRootLogin no - lepší nastavit na hodnotu Ne. To vám zabrání přihlásit se jako root.
- ListenAddress určuje, na kterém protokolu/rozhraní bude ssh naslouchat.
- Protokol - umožňuje vybrat protokol verze 1 nebo 2. Protokol 2 je doporučen.
- HostKey - soubory klíčů pro druhou verzi protokolu SSH
- PermitEmptyPasswords ne - zakázat prázdná hesla, spolehlivost nebolí.
- UsePrivilegeSeparation – nejlépe ponechat povolenou pro zabezpečení.
- AllowUsers Goodboy - tento parametr není v konfiguraci, doporučuji vám ho přidat. Goodboy - jméno vašeho uživatele (každý má své, samozřejmě, to je jen příklad). Tento parametr nastavuje oprávnění přihlásit se pouze a pouze tímto jménem, ssh se děruje nejen u hesla, ale i u systémových či standardních jmen. Například apache, www, které se z nějakého důvodu mohou ukázat jako bez hesla, nebo andy, bobby, anna atd. Ke jménu Goodboy můžete přidat IP adresu - [e-mail chráněný]- pokud jste si jisti, že na klientském počítači je to vždy tato nezměněná adresa. Tato možnost umožní přihlášení pouze uživateli Goodboy, a to pouze v případě, že jeho hostitel odpovídá uvedenému. V zásadě to samozřejmě není nutné, ale pět, další ochrana neuškodí.
Překonfigurujeme tato nastavení, která potřebujete dodatečně, poté stiskněte tlačítko F3 pro uložení a poté Enter pro potvrzení a F2 pro ukončení konzole zpět.
Poté restartujte démona SSH:
restartujte sudo /etc/init.d/ssh
Pak se k němu můžeme připojit. Server je zpravidla na Linuxu a pracovní stroje jsou obvykle na Windows, pak se k serveru připojíme přes OS Windows. Za tímto účelem na stroji, se kterým se plánujeme připojit, nainstalujeme 2 programy: Tmel— pro přístup k příkazovému řádku serveru, WinSCP- pro pohodlnější standardní operace kopírování, mazání, přesouvání, vytváření složek na serveru a tak dále. Poslední program svým rozhraním připomíná analog totální velitel, Far manager a podobné programy. Ve skutečnosti můžete používat nejen WinSCP, ale i výše uvedené programy, stejně jako FileZilla a další, ale je jednodušší, pohodlnější a méně problematické nastavit a pracovat podle mého názoru se současným programem. Pro připojení tedy stačí zadat port, ke kterému se chcete připojit, ve výchozím nastavení 22, pokud jste jej nezměnili, a poté název hostitele nebo jeho IP adresu. Protože jsou servery obvykle umístěny na statických IP adresách, není to problém.
Děkujeme za váš zájem o naše stránky. Specializovaná IT společnost existuje od roku 2006 a poskytuje služby outsourcingu IT. Outsourcing je převod nezbytné, ale pro společnost nepodstatné práce na jinou organizaci. V našem případě jsou to: tvorba, podpora a údržba stránek, propagace stránek ve vyhledávačích, podpora a správa serverů s Debian GNU/Linux.
Stránky na Joomle
V současné době informací se web de facto stává přinejmenším charakteristickým znakem organizace a často i jedním z obchodních nástrojů. Již nyní vznikají webové stránky nejen pro organizace a jednotlivce, ale i pro jednotlivé zboží, služby a dokonce i akce. Dnes je stránka nejen zdrojem reklamy pro obrovské publikum, ale také nástrojem pro prodej a navazování nových kontaktů. Webové stránky vytváříme pomocí CMS Joomla! Tento redakční systém je jednoduchý a intuitivní. Je velmi rozšířený, a proto je o něm na internetu mnoho informací. Najít specialistu pracující s Joomlou je také snadné. A nemusíte chodit daleko! Náš IT specialista se zabývá údržbou a podporou stránek na Joomla! Provedeme veškeré technické práce, postaráme se o veškerou korespondenci s hostitelem a registrátorem domény, naplníme stránky a aktualizujeme informace na nich. A přestože se Joomla snadno spravuje, je intuitivní. Budete ale sami pravidelně provádět potřebné práce na webu? Jak dlouho vám to zabere? Pokud se chcete soustředit na své podnikání, pak nám svěřte podporu svého webu. Uděláme vše, co je v našich silách, aby stránky zůstaly živé a prospěšné svému majiteli.
Pokud jste komerční organizace, která inzeruje nebo prodává své zboží, služby na internetu, pak stačí propagovat své stránky ve vyhledávačích. K tomu, abyste něco prodali, je totiž potřeba být minimálně vidět, vědět o tom. A my vám s tím pomůžeme, zpropagujeme váš Joomla web ve vyhledávačích. V závislosti na konkurenci a rozpočtu přiděleném na propagaci zaujme váš web důstojnou pozici Výsledky vyhledávání. Stránka zvýší vaše zisky!
Debian servery
Dříve nebo později se mnoho společností ve snaze o otevřenost a transparentnost svého podnikání potýká s potřebou zajistit čistotu licencovaných software. Náklady na licenční poplatky však nejsou zdaleka vždy přijatelné, zejména pro malé a střední podniky. Cestou z této složité situace je rozhodnutí přejít na technologii Open Source. Jedním ze směrů Open Source je ovládání Linuxový systém(Linux). Zaměstnanci naší společnosti se specializují na Debian Linux (Debian Linux). Je to nejstarší a nejstabilnější distribuce operační systém Linux. Nabízíme vám služby pro implementaci Debian Linuxu ve vašem podniku, konfiguraci, údržbu a podporu serverů.
Informace a reklama
Tento článek je o nastavení vzdáleného přístupu pro Ubuntu Server. Princip připojení je velmi jednoduchý: na straně klienta používáme program pro vzdálený přístup (například Putty), na straně serveru nainstalujeme a nakonfigurujeme balíček OpenSSH. Při připojování klient prochází autorizační procedurou na serveru a je mezi nimi navázáno šifrované spojení. Podrobněji byl princip fungování protokolu SSH zvažován v článku o.
Schéma sítě je uvedeno níže. Vzdálené připojení na server budou provedeny z klientského počítače.
Nainstalovali jsme Ubuntu Server na prázdný pevný disk. Po instalaci musíte nakonfigurovat síťové rozhraní serveru pro přístup k síti. Konkrétně nastavte IP adresu, masku sítě, výchozí bránu. Pokud je vaše rozhraní již nakonfigurováno, můžete tento krok přeskočit. Nastavení síťového rozhraní jsou specifikována v souboru /etc/network/interfaces. K úpravám použijte textový editor nano.
Dostáváme se do editačního režimu souboru interfaces. Zajímá nás vše níže # Primární síťové rozhraní. V tento moment server obdrží IP adresu přes DHCP, což není úplně správné. Server musí mít statickou IP, aby všechny uzly v síti přesně znaly jeho adresu. Zapišme si nastavení sítě ručně.
Můj server je v místní podsíti 192.168.1.0/24. Server má přiděleno IP 192.168.1.2, maska 255.255.255.0, výchozí brána 192.168.1.1, adresa serveru DNS 192.168.0.1
Chcete-li soubor uložit, stiskněte Ctrl + X –> Y –> Enter. Chcete-li použít nastavení, musíte restartovat síťový proces. Můžete také jednoduše restartovat server pomocí příkazu sudo reboot.
zkontrolovat (příkaz ifconfig -a) – nastavení byla použita
Vše je připraveno pro OpenSS, které lze nainstalovat z terminálu pomocí příkazů
$ sudo apt-get install openssh-client
$ sudo apt-get install openssh-server
Spuštění, zastavení a restart SSH serveru můžete ovládat pomocí příkazů
$ sudo servis ssh zastavit | start | restartovat
Ve skutečnosti již máte přístup SSH k serveru. Ale na víc doladění konfigurační soubor je v /etc/ssh/sshd_config. Přístup ke konfiguracím se provádí pouze z kořenového adresáře.
Na straně klienta si stáhneme libovolný program pro připojení přes SSH, doporučuji Putty. Program bude muset pouze zadat IP adresu serveru a připojit se k němu. Při připojování zadejte uživatelské jméno a heslo.
Přihlaste se k odběru našeho
Díky MadKox
Příklad konfiguračního souboru# Konvence: #
# "Výchozí" znamená chování sshd, když #
# na blíže nespecifikovanou direktivu. Stojí za zmínku, že v Ubuntu #
# soubor sshd_config již obsahuje řadu nastavení, která #
# jsou výchozí nastavení speciálně pro Ubuntu. #
# Tato nastavení jsou uvedena v tomto souboru. #
# #
################ Nastavení adresy/portu atd. ############
############################################################
# #
## Přístav ############################################### #####
# #
# Port, který se má použít. Můžete zadat několik, například: #
# Port 22 #
# Port 23 #
# Port 24 #
# Doporučuje se použít nestandardní port, protože #
# standard je často skenován roboty pro #
# potenciální "díry". Lze vynechat, pokud je zadáno #
# přes adresu. Viz také parametr ListenAddress. #
# #
Port 8022
# #
## PoslouchatAdresu ###########################################
# #
# Síťová adresa, na které server „naslouchá“. Adresa může být #
# napište takto: #
# PoslouchatAdresa hostitele|IPv4_addr|IPv6_addr #
# PoslouchatAdresa hostitele|IPv4_addr:port #
# PoslouchatAdresa :port #
# Pokud není port nastaven, sshd bude na této adrese naslouchat a #
# na portu specifikovaném ve volbě Port. Pokud budeš #
# použijte ListenAddress bez zadání portu a poté možnost #
# Port musí předcházet možnost ListenAddress. Pokud ne #
# specifikovat, pak ve výchozím nastavení naslouchá všem místním #
# adresy. Můžete zadat více adres. #
# #
## AdresaRodina ############################################
# #
# Určuje, která rodina IP adres by měla být #
# používá sshd. Možné možnosti: #
# „jakýkoli“ jakýkoli #
# "inet" (pouze IPv4) #
# "inet6" (pouze IPv6) #
# Výchozí hodnota je "any". #
AdresaFamily inet
# #
## UseDNS ############################################## # ##
# #
# Určuje, zda má sshd kontrolovat název hostitele a #
# toto jméno použijte ke kontrole IP adresy zadané klientem proti #
# přijato z DNS. #
# #
############################################################
############## Nastavení uživatelského přístupu ##############
############################################################
# #
# Nechat/nepustit uživatele dovnitř je definováno direktivami #
# DenyUsers, AllowUsers, DenyGroups a AllowGroups. #
# ve stejnou dobu jde kontrola shora dolů podél řetězce: #
# ## DenyUsers ## #
# || #
# ## AllowUsers ## #
# || #
# ## DenyGroups ## #
# || #
# ## AllowGroups ## #
# Jsou přijímána pouze jména uživatelů a skupin, číselná #
# identifikátorů (UserID) nebylo rozpoznáno. Správné #
# nahrávání více uživatelů/skupin postupně přes #
# prostor. Pokud je zapsáno jako uživatel@hostitel, pak #
# uživatel a hostitel jsou kontrolováni samostatně, to umožňuje #
# omezit přístup na určité uživatele pomocí #
# konkrétních hostitelů. Stojí za to připomenout, že směrnice #
# DenyUsers a AllowUsers berou jako parametr #
# uživatelské jméno a název DenyGroups a AllowGroups #
# skupiny. Více viz PATTERNS v man ssh_config #
# informace o formách psaní uživatelských jmen a skupin. #
# #
## DenyUsers ##############################################
# #
# Seznam UŽIVATELŮ, které by sshd NEMĚL používat. #
# Výchozí hodnota není zadána = nikdo není zakázaný. Tito. pokud #
# zde je zadán uživatel, přístup bude odepřen #
# na ssh server. #
# #
## AllowUsers #############################################
# #
# Seznam UŽIVATELŮ, které MŮŽE používat sshd, #
# zadán alespoň jeden uživatel, ssh přístup k serveru #
# je k dispozici pouze jemu. #
# #
## DenyGroups #############################################
# #
# Seznam SKUPIN, které by sshd NEMĚL používat. #
# Standardně neuvedeno = žádné skupiny nejsou zakázány. #
# tj. pokud je zadána alespoň jedna skupina, pak uživatelé, #
# členům této skupiny bude odepřen přístup k ssh #
# server. #
# #
## AllowGroups #############################################
# #
# Seznam SKUPIN, které MŮŽE používat sshd. #
# Ve výchozím nastavení není určeno = každý je povolen. Tito. pokud #
# je určena alespoň jedna skupina, poté pouze tito uživatelé#
#, které obsahuje, bude mít povolen přístup k ssh serveru.#
# #
############################################################
######### Možnosti detekce stavu připojení ###########
############################################################
# #
## TCPKeepAlive ###########################################
# #
# Označuje, zda má systém odesílat zprávy TCP klientovi #
# pro udržení spojení. Pokud odešlete tyto balíčky,#
# můžete definovat přerušení spojení. Toto je však také #
# znamená, že připojení může být ukončeno, pokud #
# momentální výpadek ve směrování a #
# Někteří lidé to považují za velmi nepříjemné. Na druhou stranu, pokud #
# relace na serveru takové zprávy nemohou odesílat #
# naposledy na neurčito, zplodí „duchové“ uživatele,#
# a požírat zdroje serveru. Výchozí hodnota „ano“,#
# tj. posílat takové zprávy. Chcete-li zakázat odesílání #
Počet takových zpráv by měl být nastaven na „ne“. Dříve toto #
# možnost se jmenovala KeepAlive. Stojí za zmínku, že #
#existují bezpečnější způsoby, jak zkontrolovat stav #
# připojení (viz níže). #
# #
TCPKeepAlive ano
# #
## ClientAliveCountMax #####################################
# #
# Nastavuje počet zpráv klientům, kteří sshd #
# odesílá za sebou, aniž by od # obdržel jakoukoli odpověď
# klient. Pokud je dosaženo prahové hodnoty a #
# klient nikdy neodpověděl sshd odpojí klienta přerušením #
# ssh relace. Stojí za zmínku, že použití takových #
# messages se zásadně liší od direktivy TCPKeepAlive. #
# Zprávy klientům/od klientů jsou odesílány šifrovaně #
# kanál, a proto nejsou falešné. Stejné zprávy #
# TCPKeepAlive je podvržený. Klient mechanismu naživu #
# zvláště cenné v případech, kdy server a klient potřebují #
# vědět, kdy se připojení stalo neaktivní. Výchozí #
# hodnota je 3. V případě ClientAliveInterval #
# je nastaveno na
5 a ClientAliveCountMax vlevo od #
# ve výchozím nastavení budou klienti, kteří nereagují, odpojeni přibližně #
# po 45 sekundách. Tato směrnice funguje pouze pro #
# protokol ssh2. #
# #
## ClientAliveInterval #####################################
# #
# Nastaví časový interval v sekundách. Pokud do #
# tento interval neproběhla žádná komunikace s klientem, sshd #
# odešle zprávu přes šifrovaný kanál, #
# žádost o odpověď od klienta. Výchozí hodnota je 0, tzn. #
# takové zprávy neposílejte. Tato směrnice funguje #
# pouze pro protokol ssh2. #
# #
############################################################
################ Obecné možnosti ověření ################
############################################################
# #
## AuthorizedKeysFile ######################################
# #
# Určuje soubor, který obsahuje veřejné klíče, #
# slouží k ověřování uživatelů. směrnice č.
# může obsahovat značky ve tvaru %M, které jsou nahrazeny v #
# proces navazování spojení. #
# Jsou definovány následující značky: #
# Soubor klíče tedy může být specifikován jako #
# absolutní cesta (tj. jeden společný soubor s klíči) a #
# dynamicky v závislosti na uživateli (tj. podle #
# soubor na uživatele). #
# Výchozí nastavení je „.ssh/authorized_keys“. #
# Příklad souboru klíče v domovské složce uživatele: #
# AuthorizedKeysFile %h/.ssh/authorized_key #
# Příklad pro obecný soubor: #
# AuthorizedKeysFile /etc/ssh/authorized_keys #
# Více viz popis souboru autorizovaných klíčů #
# informace. #
# #
## ChallengeResponseAuthentication ##########################
# #
# Označuje, zda povolit ověřování typu otázka a odpověď #
# (ověření výzva-odpověď). Všechny podporované #
# typy ověřování z login.conf Výchozí „ano“, #
# tj. dovolit. #
# Zakázáno v Ubuntu z bezpečnostních důvodů. #
# #
ChallengeResponseAuthentication no
# #
## HostbasedUsesNameFromPacketOnly ##########################
# #
# Určuje, jak má server získat název hostitele klienta #
# se schématem ověřování založeným na ověření hostitele. #
# Pokud je při kontrole konzistence souborů nastaveno na "ano" #
# ~/.shosts, ~/.rhosts nebo /etc/hosts.equiv sshd bude #
# použijte název hostitele zadaný klientem. #
# (provádí se reverzní překlad DNS) Pokud je nastaveno na "no"#
# sshd přeloží název ze samotného TCP spojení. #
# Výchozí hodnota je "ne". #
# #
## IgnoreRhosts ###########################################
# #
# Zakáže použití souborů .rhosts a .shosts #
# během hostitelské autentizace. #
# Soubory /etc/hosts.equiv a /etc/ssh/shosts.equiv jsou stále #
# Jsou používány. #
# Výchozí nastavení je "ano". #
# #
IgnorovatRhosts ano
# #
## IgnoreUserKnownHosts #####################################
# #
# Určuje, zda má sshd ignorovat uživatelská jména #
# probíhá soubor "known hosts" ~/.ssh/known_hosts #
# ověření založené na ověření hostitele #
# (RhostsRSAAuthentication nebo HostbasedAuthentication). #
# Výchozí hodnota je "ne". #
# #
## Povolit BlacklistedKeys ###################################
# #
# Označuje, zda má sshd přijímat klíče uvedené v #
# blacklist jako kompromitovaný (známý-kompromitovaný #
# klíčů (viz ssh-vulnkey)). Pokud je nastaveno na "ano" #
# pokusy o ověření s takovými klíči budou přihlášeny #
# přihlásit a přijat, pokud je hodnota „ne“ pokusy #
# ověření bude odmítnuto. #
# Výchozí hodnota je "ne". #
# #
## PovoleníPrázdná hesla ####################################
# #
# Pokud je povoleno ověřování heslem, #
# označuje, zda je možné přihlášení s prázdným heslem. #
# Výchozí hodnota je "ne". #
# #
PermitEmptyHesla č
# #
## PermitRootLogin #########################################
# #
# Označuje, zda je povoleno přihlášení ssh jako superuživatel #
# (kořen). Může nabývat hodnot: #
# "ano" superuživatel se může přihlásit. Platí #
# aktuální globální schéma ověřování. #
# #
# superuživatel "bez hesla" se může přihlásit. #
# Ověření hesla pro něj bude zakázáno. #
# #
# superuživatel „pouze vynucené příkazy“ se bude moci přihlásit, #
# pomocí ověřování pomocí veřejného klíče a #
# pouze pokud předá příkaz k provedení. #
# To je užitečné pro zálohování, #
# i když je normální (tj. ne přes ssh) #
# přihlášení superuživatele zamítnuto. Všechny ostatní metody #
# Ověřování pro superuživatele bude zakázáno.#
# #
# „ne“ superuživatel nemůže použít ssh pro #
# přihlásit se. #
# #
# Výchozí hodnota je "ano". #
# #
PermitRootLogin č
# #
## Protokol ############################################### #
# #
# Určuje, který protokol má sshd používat. #
# Možné hodnoty'1' a '2' ssh1 a ssh2 #
# resp. Simultánní nahrávání je možné s #
#, které by měly být odděleny čárkami. #
# Výchozí hodnota je „2.1“. #
# Všimněte si, že pořadí protokolů v #
# záznam neurčuje prioritu, protože klient si vybere, který #
# z několika protokolů, které mu server nabízí #
# použití. Zápis "2,1" je úplně stejný #
# záznamů "1,2". #
# #
Protokol 2
# #
## UsePAM ############################################## # ##
# #
# Aktivuje rozhraní PAM (Pluggable Authentication Module) #
# rozhraní).Pokud je nastaveno na „ano“ pro všechny typy #
# autentizace kromě zpracování relace a modulu účtu #
# PAM bude používat ověřování založené na #
# request-response (ChallengeResponseAuthentication a #
# Ověření hesla) autentizace #
# request-response v PAM obvykle plní stejnou roli jako #
# stejně jako ověřování heslem byste měli deaktivovat #
# buď PasswordAuthentication nebo #
# ChallengeResponseAuthentication. Stojí za zmínku, že #
# pokud je povolena direktiva UsePAM, nebudete moci spustit #
# sshd jako jiný uživatel než root. #
# Výchozí hodnota je "no". #
# #
UsePAM ano
# #
## Ověření hesla ##################################
# #
# Označuje, zda je povolena autentizace pomocí #
# Heslo. #
# Výchozí nastavení je "ano". #
# #
Ověření hesla ano
#
## HostKey ############################################# # #
# #
# Určuje soubor obsahující soukromý klíč hostitele, #
# SSH k použití. Výchozí /etc/ssh/ssh_host_key #
# pro protokol ssh
a /etc/ssh/ssh_host_rsa_key a #
# /etc/ssh/ssh_host_dsa_key pro protokol ssh2. Náklady #
# všimněte si, že sshd soubor nepoužije, #
# který je dostupný komukoli jinému než uživateli. Umět #
# použít více souborů s klíči, klíče "rsa1" #
# pro protokol ssh1 a „dsa“/“rsa“ pro protokol ssh2. #
# #
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
# #
############################################################
########## Možnosti protokolu SSH verze 1 (ssh1) #############
############################################################
# Důrazně se NEDOPORUČUJE používat protokol ssh1.#
# Protokol ssh2 je mnohem bezpečnější než ssh1 #
############################################################
# #
## KeyRegenerationInterval ##################################
# #
# Pro protokol ssh1 jednou v určitou dobu #
# automaticky se vygeneruje nový dočasný klíč serveru #
# (pokud byl použit). Toto je vyrobeno pro #
# zabránit dešifrování zachycených relací, aby se #
# později se přihlaste pomocí parametrů těchto relací k počítači a #
#ukradni klíče. Tento klíč není nikde uložen (uložen v #
# paměť s náhodným přístupem). Tato směrnice specifikuje období #
# "život" klíče v sekundách, po kterém bude #
# regenerované. Pokud je hodnota nastavena na 0 #
# klíč nebude regenerován. #
# Výchozí hodnota je 3600 (sekund). #
# #
KeyRegenerationInterval 3600
# #
## RhostsRSAAuthentication #################################
# #
# Označuje, zda je potřeba autentizace na základě souborů #
# rhosts nebo /etc/hosts.equiv spolu s úspěšným #
# autentizace hostitele přes RSA. #
# Výchozí hodnota je "ne". #
# #
RhostsRSAAč
# #
## Ověření RSAA #######################################
# #
# Označuje, zda je povolena "čistá" autentizace RSA. #
# Relevantní pouze pro protokol ssh1. #
# Výchozí nastavení je "ano". #
# #
RSAAč
# #
## ServerKeyBits ############################################
# #
# Určuje počet bitů v dočasném klíči serveru pro #
# protokol ssh1. Minimální hodnota 512. #
# Výchozí hodnota je 1024. #
ServerKeyBits 1024
# #
############################################################
########### Možnosti protokolu SSH verze 2 (ssh2) ############
############################################################
# #
## Šifry ############################################## # #
# #
# Určuje šifrovací algoritmy povolené pro #
# protokol ssh2. Několik algoritmů by mělo být #
# oddělené čárkami. Podporované algoritmy: #
# “3des-cbc”, “aes128-cbc”, “aes192-cbc”, “aes256-cbc”, #
# “aes128-ctr”, “aes192-ctr”, “aes256-ctr”, “arcfour128”, #
# "arcfour256", "arcfour", "blowfish-cbc", "cast128-cbc". #
# aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour128, #
# arcfour256,arcfour,aes192-cbc,aes256-cbc,aes128-ctr, #
# aes192-ctr, aes256-ctr #
# #
## HostbasedAuthentication #################################
# #
# Označuje, zda je povolena autentizace založená na #
# kontrola hostitele. Kontrola rhosts nebo /etc/hosts.equiv, #
# a pokud bude úspěšný, spojte se s úspěšnou validací #
# veřejný klíč, přístup je povolen. Tato směrnice č.
# je stejný jako direktiva RhostsRSAAuthentication a #
# platné pouze pro protokol ssh2. #
# Výchozí hodnota je "ne". #
# #
Host-basedAuthentication č
# #
## MAC ############################################## # ####
# #
# Označuje platný algoritmus MAC (zpráva #
# ověřovací kód). Použitý algoritmus MAC #
# ssh2 pro ochranu integrity dat. Několik #
Počet algoritmů musí být oddělen čárkami. #
# Výchozí hodnoty jsou: #
# hmac-md5,hmac-sha1, [e-mail chráněný],hmac-ripemd160, #
# hmac-sha1-96,hmac-md5-96 #
# #
## PubkeyAuthentication ####################################
# #
# Označuje, zda je povoleno ověřování na základě #
# veřejný klíč. Relevantní pouze pro protokol ssh2. #
# Výchozí nastavení je "ano". #
# #
PubkeyAuthentication ano
############################################################
#################### Možnosti GSSAPI #########################
############################################################
# #
############# Platí pouze pro protokol ssh2 ###########
# #
## GSSAPIAověření ###################################
# #
# Označuje, zda je povolena autentizace uživatele na #
# založené na GSSAPI. Výchozí hodnota je "ne", tzn. zakázáno. #
# #
## GSSAPIKeyExchange #######################################
# #
# Označuje, zda je povolena výměna klíčů na základě #
#GSSAPI. Výměna klíčů GSSAPI se nespoléhá na #
# klíče ssh při ověřování identity hostitele. #
# Výchozí „ne“, tj. výměna je zakázána. #
# #
## GSSAPICleanupCredentials ################################
# #
# Označuje, zda se má automaticky zničit #
# vlastní mezipaměť ověřovacích pověření, když #
# ukončit relaci. #
# Výchozí „ano“, tj. je třeba zničit. #
# #
## GSSAPIStrictAcceptorCheck ###############################
# #
# Označuje, jak přísná by měla být kontrola #
# identita klienta při ověřování přes GSSAPI. #
# Hodnota "yes" způsobí, že se klient ověří v #
# přijímající hostitelská služba na aktuálním hostiteli. Význam "ne" #
# umožňuje klientovi autentizaci s jakýmkoli #
# klíče služeb. #
# Výchozí hodnota je "ano". #
# Všimněte si, že nastavení hodnoty na "no" může #
# pracovat pouze se vzácnými knihovnami Kerberos GSSAPI. #
# #
############################################################
################### Možnosti Kerberos #########################
############################################################
# #
## KerberosAuthentication ##################################
# #
# Označuje, zda zadané heslo # vyžaduje
# uživatel k ověření #
# (PasswordAuthentication) ověření v Kerberos KDC. #
# Chcete-li použít tuto možnost, server potřebuje #
# ujistěte se, že KDC je pravdivé. (Server potřebuje #
# Kerberos servtab, který umožňuje ověření #
# Identita KDC) #
# Výchozí hodnota je "ne". #
# #
## KerberosGetAFSToken #####################################
# #
# Pokud je aktivní AFS a uživatel obdržel Kerberos 5 TGT, #
# zda se pokusit získat token AFS před uživatelem #
# přistoupí ke své domovské složce. #
# Výchozí hodnota je "ne". #
# #
## KerberosOrLocalPasswd ###################################
# #
# Určuje, co dělat, když ověření #
# se nezdařilo přes Kerberos. Pokud #
# value = "ano" heslo bude ověřeno pomocí #
# jakýkoli další místní autorizační mechanismus, #
# například /etc/passwd. #
# Výchozí nastavení je "ano". #
# #
## KerberosTicketCleanup ###################################
# #
# Určuje, zda se má soubor automaticky zničit pomocí #
# mezipaměť lístků uživatele, když relace skončí. #
# Výchozí nastavení je "ano". #
# #
############################################################
################# Možnosti přesměrování ####################
############################################################
# #
## AllowAgentForwarding ####################################
# #
# Určuje, zda povolit nebo zakázat přesměrování #
# ssh-agent"a. Výchozí nastavení je "ano", tj. povolit. #
# Upozorňujeme, že zakázání přesměrování #
# zvýšit zabezpečení, dokud uživatelé také #
# přístup k shellu je odepřen, protože vždy mohou nastavit #
# své vlastní protějšky agentů. #
# #
AllowAgentForwarding č
# #
## AllowTcpForwarding #####################################
# #
# Určuje, zda povolit nebo zakázat přesměrování TCP. #
# Výchozí nastavení je „ano“, tj. dovolit. Stojí za zmínku, #
# co jako v případě AllowAgentForwarding zakázat #
# přesměrování nezvýší zabezpečení, pokud #
# uživatelé budou mít přístup ke konzoli, protože oni mohou #
# nainstalujte své protějšky. #
# #
# #
AllowTcpForwarding ne
# #
## GatewayPorts #############################################
# #
# Určuje, zda povolit vzdáleným hostitelům přístup k #
# přesměrovaných portů. Ve výchozím nastavení poslouchá sshd #
# připojení k přesměrovaným portům pouze na localhost #
# rozhraní (loopback). Nedává jiný dálkový ovladač #
# hostitelů se připojuje k přesměrovaným portům. Umět #
# použijte GatewayPorts k povolení sshd to udělat #
# dělat. Direktiva může nabývat 3 hodnot: #
# Pouze zpětná smyčka "ne". #
# "ano" - libovolné adresy. #
# "clientspecified" adresy zadané klientem. #
# #
Porty brány č
# #
## PovoleníOtevřít ##############################################
# #
# Určuje, kde je povoleno přesměrování portu TCP. #
# Nápověda k přesměrování musí mít jednu z #
# z následujících forem: #
# PovolitOtevřít hostitel:port #
# PermitOpen IPv4_addr:port #
# PermitOpen :port #
# Více položek lze zadat oddělením mezerami. #
# Argument „any“ lze použít k odstranění všech #
# zákazy přesměrování portů. Výchozí je libovolný #
# přesměrování povoleno. #
# #
## PermitTunnel ############################################
# #
# Označuje, zda je povoleno přesměrování zařízení tun. #
# Může nabývat hodnot: #
# "Ano" #
# „z bodu do bodu“ (3 síťová vrstva) #
# „ethernet“ (2. síťová vrstva) #
# "Ne" #
# Hodnota "yes" umožňuje současně "point-to-point" #
# a "ethernet". Výchozí hodnota je "ne". #
# #
############################################################
################## Možnosti protokolování ####################
############################################################
# #
## SyslogFacility ##########################################
# #
# Určuje objektový kód protokolu pro zápis zpráv do #
# syslog z sshd. Možné hodnoty: #
#DÉMON#
#UŽIVATEL#
#AUTH#
#LOCAL0#
#LOCAL1#
#LOCAL2#
#LOCAL3#
#LOCAL4#
#LOCAL5#
#LOCAL6#
#LOCAL7#
# Výchozí nastavení je AUTH. #
# #
SyslogFacility AUTH
# #
## LogLevel ############################################## #
# #
# Nastavuje úroveň upovídanosti protokolu sshd. #
# Možné možnosti: #
#TICHÝ#
#KLID#
#FATAL#
# CHYBA #
#INFO#
#VERBOSE#
#LADIT#
#LADĚNÍ1#
#DEBUG2#
#DEBUG3#
# Výchozí nastavení je INFO. #
# DEBUG a DEBUG
jsou navzájem ekvivalentní. #
# DEBUG2 a DEBUG3 nastavují nejvyšší úrovně ladění #
# výstup. Protokolování s úrovní DEBUG ohrožuje #
# soukromí uživatele a nedoporučuje se. #
# #
LogLevel INFO
# #
############################################################
#################### Přesměrování X
####################
############################################################
# #
## X11Přesměrování ###########################################
# #
# Označuje, zda je povoleno grafické přesměrování #
# Subsystémy X11. Může nabývat hodnot „ano“ nebo „ne“. #
# Výchozí hodnota je "ne". #
# Pozor povolení jednoduchého přesměrování X11 #
# velké riziko pro server i klienty, protože v #
# v případě takového přesměrování zobrazí proxy sshd #
# přijímá připojení z jakékoli adresy. Použijte #
# direktiva X11UseLocalhost k omezení přístupu na #
# na server přesměrování "x". Stojí za zmínku, že #
# zakázání přesměrování nezaručí, že #
# uživatelé nebudou moci přesměrovat X11, protože mít #
# přístup ke konzole si vždy nastavují vlastní #
# přesměrovač. Přesměrování X11 bude #
# automaticky zakázáno, pokud je povoleno #
# Direktiva UseLogin. #
# #
X11Přesměrování č
# #
## X11UseLocalhost #########################################
# #
# Označuje, zda má sshd omezit rozsah #
# přesměrovat X11 na adresu místní smyčky, nebo #
# by měl povolit jakékoli adresy. Výchozí sshd #
# "zasadí" server přesměrování X11 na místní adresu #
# a nastaví část proměnné prostředí DISPLAY odpovídající #
# pro název hostitele jako "localhost". Stojí za zmínku, že #
# někteří staří klienti X11 nemusí s těmito #
# nastavení. Výchozí hodnota je „ano“, tzn. přesměrování #
# omezeno na localhost, "ne" deaktivuje #
# omezení. #
# #
## XAuthLocation ##########################################
# #
# Určuje úplnou cestu k programu xauth. #
# Výchozí /usr/bin/X11/xauth. #
# #
## X11DisplayOffset ########################################
# #
# Určuje číslo prvního displeje dostupného pro sshd v #
# jako přesměrování X11. To se provádí za účelem #
# aby se přesměrovaná x nekřížila s #
# skutečné. Výchozí hodnota je 10. #
# #
X11DisplayOffset10
# #
############################################################
################### Různé možnosti ########################
############################################################
# #
## LoginGraceTime ##########################################
# #
# Čas, po kterém se server odpojí #
# uživatele, pokud nebyli schopni uspokojivě #
# přihlásit se. Hodnota 0 umožňuje uživateli #
# přihlašte se na dobu neurčitou. Výchozí hodnota je 120 (sekund). #
# #
LoginGraceTime 120
# #
## MaxAuthTries ###########################################
# #
# Určuje maximální počet pokusů o ověření, #
# povoleno na připojení. #
# Jakmile počet neúspěšných pokusů překročí polovinu #
# daná hodnota, všechny následující pokusy budou #
# být přihlášen. Výchozí hodnota je 6. #
# #
MaxAuth se snaží 4
# #
## MaxSessions ############################################
# #
# Určuje maximální počet souběžných připojení #
# pro každé síťové připojení. Výchozí hodnota je 10. #
# #
MaxSessions1
# #
## MaxStartups ############################################
# #
# Určuje maximální počet souběžných #
# neautorizovaných připojení k sshd. Pokud #
# počet připojení překročí limit všechna další #
# připojení bude resetováno, dokud nebude aktuální #
# připojení nebude dokončeno nebo úspěšná autorizace, #
# nebo uplynutím časového období uvedeného ve směrnici #
# LoginGraceTime. Výchozí hodnota je 10. #
# Navíc můžete nastavit včasný reset připojení, #
# specifikující jako parametr tři hodnoty oddělené #
# dvojtečka „start:rate:full“ (například: „10:30:60“). #
# sshd odmítne pokus o připojení s pravděpodobností rovnou #
# „sazba/100“ (tj. 30 % v našem příkladu), pokud již #
# došlo ke „startu“ (10) neautorizovaných připojení. #
# Pravděpodobnost se zvyšuje lineárně a jakékoli pokusy #
# připojení bude odmítnuto, pokud počet neautorizovaných #
Počet připojení dosáhne „plného“ (60). #
# #
## Komprese ##############################################
# #
# Označuje, zda je povolena komprese dat. Možná #
# komprese "ano" je povolena. #
# "zpožděná" komprese je zpožděna do #
# uživatel není úspěšně ověřen. #
# "no" komprese zakázána. #
# Výchozí nastavení je "zpožděné". #
# #
## UseLogin ############################################## #
# #
# Označuje, zda má být přihlášení použito pro #
# interaktivní sezení. Výchozí hodnota je "no". #
# Všimněte si, že přihlášení nebylo nikdy použito pro #
# provádět vzdálené příkazy. Všimněte si také, že #
# pomocí přihlášení znemožní použití #
# X11Přeposílání direktiv, protože přihlášení neví co #
# měl by udělat s xauth. Pokud je zahrnuta direktiva #
# UsePrivilegeSeparation bude zakázáno po #
# povolení. #
# #
## UsePrivilegeSeparation ##################################
# #
# Určuje, zda má sshd sdílet oprávnění. Pokud ano #
# pak bude nejprve vytvořeno neprivilegované dítě #
# proces pro příchozí síťový provoz. Po úspěšném #
# autorizace vytvoří další proces s oprávněními #
# přihlášeného uživatele. Hlavním účelem oddělení #
# oprávnění, která zabrání narušení přístupu. #
# Výchozí hodnota je "ano". #
# #
UsePrivilegeSeparation ano
# #
## StrictModes ############################################
# #
# Určuje, zda má sshd kontrolovat režimy přístupu a #
# vlastnictví uživatelských složek a souborů před #
# nechat uživatele přihlásit se. Obvykle je to proto, že #
# nováčci často umožňují zápis do svých souborů #
# vše v řadě. Výchozí nastavení je „ano“. #
# #
StrictModes ano
# #
## AcceptEnv ##############################################
# #
# Označuje, které proměnné prostředí jsou předány #
# bude klientem přijato. Viz možnost SendEnv v klientovi. #
# Je třeba poznamenat, že předávání proměnných je možné pouze #
# pro protokol ssh2. Proměnné jsou specifikovány jménem, #
Lze použít # zástupných znaků ('*' a '?'). Můžete zadat #
# více proměnných oddělených mezerou nebo rozdělených na #
# více řádků AcceptEnv. Dejte si pozor na některé #
# proměnné prostředí lze použít k obejití #
# zakázaných uživatelských prostředí. Použij toto #
# směrnice opatrně. Ve výchozím nastavení žádné #
# uživatelem definované proměnné prostředí nejsou akceptovány. #
# #
AcceptEnv LANG LC_*
# #
## PermitUserEnvironment ###################################
# #
# Označuje, zda má sshd přijímat #
# možnost ~/.ssh/environment a prostředí= v #
# ~/.ssh/authorized_keys. Výchozí hodnota je "ne". Náklady #
# si všimněte, že oprávnění ke zpracování prostředí může dát #
# uživatelům možnost obejít omezení v některých #
# konfigurace pomocí mechanismů jako #
# LD_PRELOAD. #
# #
# #
## PidFile ############################################## # #
# #
# Určuje soubor obsahující ID procesu #
# (ID procesu, PID) démona SSH. #
# Výchozí /var/run/sshd.pid #
# #
# #
## PrintLastLog ############################################
# #
# Určuje, zda má sshd zobrazovat datum a čas #
# poslední relace, když je uživatel interaktivně přihlášen. #
# Výchozí nastavení je "ano". #
# #
PrintLastLog ano
# #
## PrintMotd ##############################################
# #
# Určuje, zda má sshd tisknout /etc/motd #
# když je uživatel interaktivně přihlášen. Na některých #
# systémy (např. Ubuntu) tato informace je také #
# vytištěné na obrazovku pomocí shellu. #
# Výchozí hodnota je "ano". #
# #
PrintMotd č
# #
## Banner ############################################### ###
# #
# Označuje, který soubor obsahuje textový banner, který #
# se uživateli zobrazí PŘED postupem #
# autentizace. Tato možnost je dostupná pouze pro protokol ssh2.#
# Ve výchozím nastavení nezobrazuje nic. #
# Na Ubuntu obsahuje issue.net frázi Ubuntu (verze), #
# například pro karmu je to "Ubuntu 9.10". Umět #
# slouží k dezorientaci možných útočníků, #
# napsat tam například "Můj D-Link Interet Router" =) #
# #
Banner /etc/issue.net
# #
## ChrootDirectory #########################################
# #
# Pokud je zadáno, poskytuje cestu, která bude #
# chrootováno po ověření. Cesta a to všechno #
# obsah se musí shodovat s vlastněným #
# složek superuživatele a nebudou přístupné pro #
# příspěvků od ostatních uživatelů. #
# Cesta může obsahovat štítky, které jsou nahrazeny v #
# proces ověřování: #
# %% je nahrazeno doslovným "%" #
# %h je nahrazeno domovským adresářem #
# ověřování uživatele #
# %u je nahrazeno jménem ověřovaného uživatele #
# složka chroot by měla obsahovat všechny potřebné soubory a #
# složek pro relaci uživatele. Pro interaktivní #
Je potřeba alespoň # relací: #
# shell, obvykle sh #
# základní zařízení v /dev, jako například: #
# null, zero, stdin, stdout, stderr, arandom a tty #
# pro datovou relaci pomocí sftp žádné #
# pokročilé nastavení není potřeba, pokud je použit #
# interní proces sftp serveru. Viz subsystém pro #
# více informací. Ve výchozím nastavení se chroot neprovádí. #
# #
## ForceCommand ############################################
# #
# Způsobí provedení zadaného příkazu. Ignoruje #
# jakékoli příkazy zadané klientem nebo zapsané do #
# ~/.ssh/rc. Příkaz je volán od uživatele #
# shelly s volbou -c. Vhodné pro odpalování granátů, #
# příkazy nebo podsystémy. Nejužitečnější uvnitř bloku #
# zápas. Příkaz původně odeslaný klientem je uložen #
# v proměnné prostředí SSH_ORIGINAL_COMMAND. Pokud #
# zadejte příkaz "internal-sftp", spustí se #
# interní sftp server, který nepotřebuje další #
# souborů a složek popsaných v direktivě ChrootDirectory. #
# #
## Subsystém ##############################################
# #
# Definuje a konfiguruje externí subsystém (např. #
# přenosový démon soubor přenosový démon). #
# Argumenty jsou jméno a příkaz (s volitelným #
# argumenty), které budou provedeny během požadavku #
# do podsystémů. Příkaz sftp-server spustí "sftp" #
# subsystém přenosu souborů. Kromě toho můžete zadat #
# jako "interní-sftp" subsystém, který poběží #
# interní sftp server. To může výrazně zjednodušit #
# nastavení v případě použití direktivy #
# ChrootDirectory Ve výchozím nastavení žádné podsystémy #
# nevoláno. Relevantní pouze pro protokol ssh2. #
# #
#Subsystem sftp /usr/lib/openssh/sftp-server #
# #
############################################################
##################### Blok zápasu ###########################
############################################################
# #
# Speciálně přesunuto na konec souboru, aby to bylo pohodlnější #
# napište pravidla zápasu. #
#MadKox. #
# #
# Direktiva Match je začátek podmíněného #
# blok. Pokud jsou splněna všechna kritéria uvedená v řádku #
# Shoda, provedou se příkazy na následujících řádcích bloku, #
# umožňuje obejít hodnoty direktiv globálních souborů #
# sshd_config pro případ, který je direktivním kritériem #
# zápas. Všechny řádky za řádkem # jsou považovány za bloky.
# s kritériem (řádek shody) až do dalšího řádku shody #
# nebo do konce souboru. Shoda s argumentem direktivy jedna nebo #
# více párů položek kritérií. Možné typy záznamů: #
#Uživatel#
#Skupina#
#Hostitel#
#Adresa#
# Záznamy mohou obsahovat obě jednotlivé hodnoty #
# (např. User=user) a více hodnot, #
# oddělené čárkami (Uživatel=uživatel1,uživatel2). Mohou také #
# použít regulární výrazy popsané v #
# PATTERNS sekce ssh_config. Záznamy v kritériích č.
# Adresa může obsahovat adresy v notaci CIDR #
# (Adresa/délka masky, např. „192.0.2.0/24“ nebo #
# "3ffe:ffff::/32"). Stojí za zmínku, že prezentované #
# délka masky musí odpovídat adrese a také #
# long/short for address nebude fungovat. #
# Direktivy shody mohou používat pouze #
# konkrétní sadu direktiv: #
# AllowTcpForwarding #
#Prapor#
#ChrootDirectory#
#ForceCommand#
#GatewayPorts#
# GSSAPIAověření #
# Hostbased Authentication #
#KbdInteractiveAuthentication#
#KerberosAuthentication#
#MaxAuthTries#
#MaxSessions#
#AuthenticationPassword#
# Otevření povolení #
# PermitRootLogin #
#RhostsRSAAuthentication#
# Ověření RSAA #
#X11DisplayOffset#
#X11Přesměrování#
#X11UseLocalHost#
Okamžitě malá poznámka ke konfiguraci, deaktivuje možnost přihlásit se přes ssh jako uživatel root, takže pokud " amatér"Změňte nastavení PermitRootLogin na yes
Chcete-li zkopírovat výše uvedenou konfiguraci do vašeho unixového počítače
Přejděte do adresáře, kde je uložen konfigurační soubor sshd_config
Sudo cd /etc/ssh
Protože jsme vytvořili záložní kopii souboru sshd_config, smažeme jej
sudo rm sshd_config
Stále v adresáři /etc/ssh zkopírujte výše uvedený konfigurační soubor ssh ze stránky itautsors,
sudo wget http://web/sshd_config
Restartujte démona
restart služby sudo ssh
Ujistěte se, že je spuštěn démon SSH
Ps-A | grep sshd
Něco takového uvidíme.
<какой то номер>? 00:00:00 sshd
Pokud neexistuje žádný řádek, pak démon SSH neběží,
Zkontrolujte, zda příchozí připojení naslouchají:
Sudo ss -lnp | grep sshd
Jako odpověď dostáváme
0 128:::22:::* users:(("sshd",16893,4)) 0 128 *:22 *:* users:(("sshd",16893,3))
Pokud existuje více než jeden řádek, pak SSH démon naslouchá na více než jednom portu, pokud ne na jednom, musíte zadat alespoň jeden port, v obou případech se musíte vrátit a upravit konfigurační soubor
Zkusme se přihlásit pomocí místní počítač(to znamená, že jdeme ze stejného PC, na kterém jsme nastavili ssh server, abych tak řekl, počáteční kontrolu), (nezapomeňte, že náš port není standardní 8022):
ssh -v localhost -p 8022
Zobrazí se informace o ladění a výzva k zadání hesla.
Po úspěšném připojení ukončíte zadáním:
Nastavte přístup k serveru OpenSSH pomocí klienta OpenSSH s autorizací klíče
Dané: Hostitel OpenSSH Serveru, ke kterému se chceme v budoucnu přihlásit přes ssh pod uživatelem NameUserOnOpenSSHServer z hostitele OpenSSH Client Vygenerujeme pár klíčů na hostiteli, ze kterého se chceme připojit (OpenSSH Client). Zkontrolujte, zda již byl pár klíčů vygenerován.
Po domluvě s místem, kde je klíč uložen (/home/NameUserOnOpenSSHClient/.ssh/id_rsa), lze heslo nechat prázdné, při autentizaci certifikátem pak nebude heslo jemně zadávat, což je méně bezpečné, ale hodně pohodlnější (v našem příkladu nebudeme zadávat heslo):
ssh-keygen -t rsa -b 4096
V domovské složce ~/.ssh uživatele, pod kterým bylo generování spuštěno (v našem příkladu NameUserOnOpenSSHClient) soubory se objeví na hostiteli klienta OpenSSH:
~/.ssh/id_rsa.pub veřejnost
~/.ssh/id_rsa soukromé
Nastavte oprávnění pro složku a soubory
Nezáleží na tom, pod kterým uživatelem spustíme generování na OpenSSH Client, jediné přihlášení ke vzdálenému počítači OpenSSH Server bude muset být pod tímto uživatelem, protože budou nastavena následující práva (taková práva musí být nastavena tak, aby soukromý klíč není ohrožen):
$ chmod 0700 ~/.ssh/ $ chmod 0600 ~/.ssh/id*
Přeneseme veřejný klíč z klienta na server pro uživatele, pod kterým jsme, pomocí příkazu ssh-copy-id do souboru ~/.ssh/authorized_keys, pokud port, na kterém server naslouchá, není standardní, musíte jej zaregistrovat pomocí přepínače -p a uzavřít do uvozovek. Klíč lze přenést jakýmkoli způsobem, protože je veřejný.
ssh-copy-id "-p 8022 [e-mail chráněný]"
NameUserOnOpenSSHServer - toto je uživatel, pod kterým se budeme v budoucnu přihlašovat ke vzdálenému počítači.
Dále musíte zadat heslo uživatele NameUserONOpenSSHServer a po úspěšné autorizaci uvidíme nápovědu:
Nyní se zkuste přihlásit do počítače pomocí "ssh" [e-mail chráněný]"", a zkontrolujte: ~/.ssh/authorized_keys, abyste se ujistili, že jsme nepřidali další klíče, které jste nečekali.
Přihlásíme se na Host přes ssh a zkontrolujeme obsah souboru (v tomto souboru lze zaregistrovat další klíče, hledáme ten náš.) NameUserONOpenSSHServer/.ssh/authorized_keys:
sudo ssh" [e-mail chráněný]" sudo cat /home/NameUserONOpenSSHServer/.ssh/authorized_keys
Musí odpovídat obsahu souboru. NameUserONOpenSSHClient/.ssh/id_rsa.pub
Sudo cat /home/NameUserONOpenSSHClient/.ssh/id_rsa.pub
sudo mcedit /etc/ssh/sshd_config
Stiskněte F7, vyhledejte PubkeyAuthentication, RSAAuthentication, AuthorizedKeysFile
řádky by měly být odkomentovány / parametry nastaveny (zkontrolujte):
# povolit použití RSA klíčů RSAAuthentication ano # pokud používáte SSH1 není žádoucí # povolit autorizaci pomocí klíčů PubkeyAuthentication ano # Cesta, kde budou klíče umístěny, se kterou si každý uživatel může propojit svůj vlastní soubor ve svém adresáři. AuthorizedKeysFile %h/.ssh/authorized_keys
Restartujte SSH server
restart služby sudo ssh
Nastavíme práva k souboru /home/NameUserOnOpenSSHServer/.ssh/authorized_keys
Chmod 0600 ~/.ssh/authorized_keys
Opustíme konzoli OpenSSHServer, pokusíme se přihlásit z klienta na server pomocí certifikátu, vstoupíme na řádek a měli bychom se dostat do konzole OpenSSHServer bez zadání hesla (pokud jste heslo nezadali při generování klíčů)
Část 2.
Než začneme, vytvořte nového uživatele s právy root.
Pomocí příkazu zadejte práva pro testovacího uživatele
usermod -a -G sudo test
Chcete-li ověřit, že testovací uživatel byl přidán do skupiny sudo, můžete spustit následující příkaz:
Nyní nakonfigurujeme vzdálený přístup k serveru přes ssh (příkazový řádek), jako v lokální síť, stejně jako přes internet
Nainstalujte ssh
sudo apt-get install openssh-server
Po instalaci musíme nakonfigurovat zabezpečení připojení a přímý přístup. Pojďme do souboru nastavení
sudo nano /etc/ssh/sshd_config
Standardně ssh používá port 22. Změňme ho na nestandardní, zvýšíme tím bezpečnost našeho přístupu. Změňme port například na 2200
Při připojování přes ssh bude náš server vyžadovat místo hesla RSA klíč, nikoli heslo. Abyste tomu zabránili, zadejte do parametrů RSAAuthentication a PubkeyAuthentication „NO“. Zakazujeme také přístup uživateli ROOT, k tomu musíte odkomentovat parametr Autetika: a zadat "NO" do parametru PermitRootLogin
Nyní zaregistrujeme přístup uživatelům
V řádku AllowUsers zadáváme uživatele oddělené mezerou ve tvaru uživatel@hostitel, tedy označujeme, který uživatel se odkud může připojit. Můžete použít *
Přidělme přístupová práva testovacímu uživateli a podívejme se na ně.
-
[e-mail chráněný]* - uživatelský test se může připojit odkudkoli
[e-mail chráněný]* - testovací uživatel se může připojit pouze v podsíti 192.168.0.0
[e-mail chráněný]- uživatelský test se může připojit pouze z IP adresy 192.168.0.104
*@192.168.0.* – všichni uživatelé se mohou připojit v podsíti 192.168.0.0
Můžete také odepřít přístup. určitých uživatelů(například uživatelský test2), k tomu musíte zadat níže
Spouštíme
sudo /etc/init.d/ssh start
Nastavili jsme ssh. Nyní k němu otevřeme přístup. Za tímto účelem otevřeme přístup k portu 2200.
V minulém díle jsme nainstalovali firewall příkazem arno-iptables-firewall, nyní tam musíme provést změny. Podle toho jej překonfigurujeme.
sudo dpkg-reconfigure arno-iptables-firewall
Instalace byla zahájena
Zadejte port, který chcete otevřít. V tomto okně můžete také zadat další porty, pokud je třeba je otevřít.
V dalším okně také zadáme port 2200.
Po zadání portů můžete všude stisknout ENTER a restartovat bránu firewall.
Poté bude ssh port přístupný ze sítě
Pro zvýšení bezpečnosti ssh připojení můžeme nakonfigurovat utilitu denyhosts. Nástroj je python skript, který analyzuje soubor /var/log/auth.log pro záznamy o neoprávněných pokusech o přihlášení na server přes ssh a přidává IP adresy, ze kterých byly tyto pokusy provedeny, do souboru /etc/hosts.deny. , kde je zakázáno přihlášení ssh.
Instalovat týmem
sudo aptitude install denyhosts
Ihned po instalaci obslužný program prohledá soubor /var/log/auth.log a do /etc/hosts.deny přidá ip-adresy, ze kterých byla uhodnuta hesla. Pokud již existuje mnoho takových záznamů v souboru /var/log/auth.log, bude skenování nějakou dobu trvat.
Po instalaci je třeba opravit konfigurační soubor
sudo nano /etc/denyhosts.conf
Upravme nastavení PURGE_DENY na 3 hodiny. V opačném případě si můžeme zablokovat přístup tím, že několikrát zadáme špatné heslo.
Pro kontrolu je také nutné zadat adresu E-mailem pro zasílání upozornění na neúspěšné pokusy o přístup na server:
ADMIN_EMAIL= [e-mail chráněný] namísto [e-mail chráněný] uveďte svou poštu
Aby se nové nastavení projevilo, musíte restartovat službu denyhosts:
restartování služby sudo denyhosts
P.S. Pokud potřebujete změnit heslo na účet. Zadejte příkaz
passwd user - kde user je uživatelské jméno
P.S.S. Pokud máte problémy s kódováním, ponořte se do nastavení klientský program pšst
Nejvíc populární program pracovat přes ssh, program PuttY.