Yeni: her katmanı yedekli bulut sunucu artık tüm paketlerde, ek ücret yok!

CloudBT
Güvenlik

Linux Sunucuda SSH Güvenliği: 7 Adımda Sağlam Bir Başlangıç

CloudBT Ekibi2 dk okuma

İnternete açık bir sunucu, kurulduğu ilk dakikadan itibaren otomatik botların hedefidir. Botlar 22 numaralı portta root kullanıcısı için sözlük saldırısı dener; zayıf bir parola birkaç saat içinde kırılabilir. Aşağıdaki adımlar bu saldırıların neredeyse tamamını etkisiz hale getirir ve yarım saatten az sürer.

1. SSH anahtarıyla giriş yapın

Parola yerine SSH anahtarı kullanmak en etkili tek önlemdir. Bilgisayarınızda bir anahtar çifti oluşturun ve public anahtarı sunucuya ekleyin. CloudBT panelinde SSH anahtarınızı bir kez kaydederseniz yeni kurulumlarda otomatik olarak sunucuya işlenir.

ssh-keygen -t ed25519 -C "[email protected]"
ssh-copy-id root@SUNUCU_IP

2. Parola ile girişi kapatın

Anahtarla bağlanabildiğinizi doğruladıktan sonra parola girişini tamamen kapatın. Bu adımdan önce mutlaka ikinci bir terminalden anahtarla bağlanmayı test edin; aksi halde kendinizi dışarıda bırakabilirsiniz. Böyle bir durumda CloudBT panelindeki tarayıcı konsolu ile sunucuya her zaman ulaşabilirsiniz.

# /etc/ssh/sshd_config
PasswordAuthentication no
PubkeyAuthentication yes

3. Root ile doğrudan girişi kapatın

Günlük işler için ayrı bir kullanıcı oluşturun, sudo yetkisi verin ve root girişini kapatın. Saldırganın hem kullanıcı adını hem anahtarı bilmesi gerekir.

adduser yonetici
usermod -aG sudo yonetici
# sshd_config içinde
PermitRootLogin no

4. SSH portunu değiştirin

Portu değiştirmek gerçek bir güvenlik önlemi değildir, ama log dosyalarınızı dolduran otomatik denemelerin büyük kısmını eler. 1024 üzeri, kullanılmayan bir port seçin ve Firewall'da açmayı unutmayın.

# sshd_config
Port 2222

systemctl restart ssh

5. Fail2ban kurun

Fail2ban, belirli sayıda başarısız denemeden sonra kaynak IP adresini geçici olarak engeller. CloudBT panelinde Hazır Yazılımlar bölümünden tek tıkla kurulur; varsayılan ayarları SSH için yeterlidir.

6. Firewall ile yalnızca gerekli portları açın

Sunucunun dışındaki CloudBT Firewall'u ile yalnızca SSH portunu, web sunucusu çalıştırıyorsanız 80 ve 443'ü açın; geri kalan her şeyi kapatın. SSH portunu mümkünse yalnızca kendi IP adresinize açmak en güçlü seçenektir. Sunucu içinde UFW de ek bir katman olarak kullanılabilir.

7. Güncellemeleri otomatikleştirin

Güvenlik yamalarının elle takibi uzun vadede aksar. unattended-upgrades paketi (panelden tek tıkla kurulur) güvenlik güncellemelerini kendiliğinden uygular. Büyük bir güncelleme öncesinde snapshot almayı alışkanlık haline getirin; bir şey bozulursa tek tıkla geri dönersiniz.

Kontrol listesi

  • Anahtar: ed25519 anahtar çifti oluşturuldu, parola girişi kapatıldı.

  • Kullanıcı: sudo yetkili ayrı kullanıcı var, root girişi kapalı.

  • Port ve Firewall: SSH portu değişti, Firewall yalnızca gerekli portları açıyor.

  • Fail2ban: Kurulu ve çalışıyor.

  • Güncelleme: Otomatik güvenlik güncellemeleri açık, değişiklik öncesi snapshot alınıyor.

Fail2ban, UFW ve otomatik güncellemeleri panelden tek tıkla kurun.

Hazır Yazılımlar

İlgili Yazılar