SSH Server / Deamon konfigurieren

Für einen sicheren Betrieb wollen wir den OpenSSH  Sever etwas absichern. Ein Login soll zukünftig nur mit einem gültigen Zertifikat möglich sein und die direkte Anmeldung des privilegierten Benutzers ‚root‚ soll unterbunden werden.

ACHTUNG: Vorher muss auf dem Server ein Benutzer mit gültigen Zertifkat und Mitgliedschaft mit sudo Rechten eingerichtet sein!
Ist dies nicht der Fall, ist eine Anmeldung aus der Ferne nicht mehr möglich! Falls das noch nicht geschehen ist, bitte erst die Artikel ‚Administrativen Hauptbenutzer einrichten‘ und ‚Zertifikatsbasierten Login für einrichten‚.

Wir melden uns als root auf der Shell an und erstellen eine Sicherheitskopie von der  /etc/ssh/sshd_config .

cp /etc/ssh/sshd_config /etc/ssh/sshd_config_org

Nun editieren wir die Datei/etc/ssh/sshd_config. Hier müssen folgende Einträge eingefügt oder entsprechend geändert werden:

PermitRootLogin no
PasswordAuthentication no
ChallengeResponseAuthentication no
UsePAM yes
AuthorizedKeysFile %h/.ssh/authorized_keys
PubkeyAuthentication yes

Nun müssen wir noch den SSH Server neu starten.

/etc/init.d/ssh restart

Dabei sollte in der Regel die aktuelle aktive SSH-Sitzung von der aus Ihr den Server neu startet erhalten und aktiv bleiben!

Test

Bitte die aktuelle SSH-Sitzung für den Notfall offen halten und in einem zusätzlichen Terminal Fenster folgende Logins ausprobieren:

ssh root@<MEINSERVER>

Dieser Befehl sollte nun die Ausgabe ‚Permission denied (publickey)‚ produzieren und die Anmeldung mit Passwort ist für den Benutzer ‚root‚ nicht mehr möglich.

Gut soweit! Wir wollen nun aber auch wissen ob der zertifikatsbasierte Login mit unserem Hauptbenutzer (im Beispiel: ‚myadm‘) funktioniert. Also melden wir uns mit

ssh -i ~/.ssh/myadm myadm@<MEINSERVER>

Nun wird zunächst das Passwort für den privaten Schlüssel abgefragt und anschließend solltet Ihr automatisch angemeldet werden. Geht dies auch, müssen wir nur noch den Wechsel zum ‚root‘ prüfen. Dazu geben wir

sudo su

ein. Nun wird nach dem Passwort unseres Benutzers gefragt (also z. B. ‚myadm‘)  und anschließend solltet Ihr als root angemeldet sein.

WICHTIG: Sollte bei den Tests irgendetwas nicht funktionieren wie erwartet, geht bitte auf die immer noch offenen Notfall-Sitzung zurück, mach die SSH-Konfiguration rückgängig und startet den SSH Server neu. Anderenfalls besteht die Gefahr dass Ihr Euch von Eurem Server aussperrt!