Linux SSH хандалт Public/Private Keys ашиглах хуудсын эх сурвалжийг харах

Линукс серверүүд рүү алсаас хандаж удирдахад SSH холболтыг өргөн ашигладаг. Энэ холболт нь нууцлалын шифрлэлттэй хийгддэг холболт юм. Заримдаа ашиглахын тулд сервер дээрээ суулгах шаардлага гардаг. 


== Суулгах ==


Debian (Ubuntu) суурьтай системүүд дээр
<pre>sudo apt-get install openssh</pre>

RedHat (Centos/Fedora) суурьтай системүүд дээр
<pre>sudo yum install openssh</pre>


== Аюулгүй байдлын зарим нэмэлт тохиргоо ==


ssh хандалтаар сервер рүү хандахдаа нууц үг ашиглахаас илүүтэйгээр public/private түлхүүр ашиглахаар тохируулах нь аюулгүй байдлын хувьд илүү байдаг.
Мөн байнга хэрэглэдэг компьютераасаа нэвтрэх бүртээ нууц үг хийхгүй холбогдох давуу талыг олгодог.


=== Хэрэглэгчийн компьютер дээр тохиргоо хийх: ===

~/.ssh хавтсанд хэрэв түлхүүр байхгүй бол дараах тушаалаар шинэ түлхүүр үүсгэж болно.
<pre>ssh-keygen -t rsa</pre>

Хэдийгээр анхнаасаа хандалтын эрх (permission) тохиргоо нь хийгдсэн байдаг ч мөн та тохируулж болно.

<pre>chmod 700 ~/.ssh
chmod 600 ~/.ssh/id_rsa</pre>

Мөн дараах тушаалыг өгөөрэй. "Agent admitted failure to sign using the key" гэсэн алдаа заах үед энэ тушаалыг өгсний дараа хэвийн ажилладаг.
<pre>ssh-add</pre>

Түлхүүр файлаа сервер рүү хуулна. Зарим системд ssh-copy-id тушаалыг ашиглаад амархан хуулж болдог
<pre>ssh-copy-id user@hostname.example.com</pre>



=== Сервер дээр хийгдэх тохиргоо ===

root эрхээр хандах нь эрсдэлтэй тул шинэ хэрэглэгч үүсгэж шинэ хэрэглэгчээрээ нэвтэрдэг байх хэрэгтэй:
<pre>adduser username
passwd username</pre>

Шинэ хэрэглэгчдээ root хандалтын эрх өгөх:
<pre>/usr/sbin/visudo</pre>

тушаалаар нээгээд

<pre># User privilege specification
root    ALL=(ALL)       ALL</pre>

гэсэн хэсгийг хайж олоод доор нь өөрийн шинэ хэрэглэгчид мөн адил бичиж үүсгэж өгнө.
<pre># User privilege specification
root    ALL=(ALL)       ALL
username     ALL=(ALL)       ALL
</pre>


id_rsa.pub файлыг компьютераасаа сервер рүүгээ хуулаад хандах хэрэглэгчийнхээ хавтасны .ssh/authorized_keys файл руу нэмж өгнө. (ssh-copy-id ашигласан бол ингэх шаардлагагүй)
<pre>cat id_rsa.pub >> ~/.ssh/authorized_keys</pre>


SELinux идэвхтэй ашиглаж байгаа бол дараах тушаалыг өгнө:
<pre>restorecon -Rv ~/.ssh</pre>

/etc/ssh/sshd_config файлд тохиргоо хийж өгнө.
<pre>sudo vim /etc/ssh/sshd_config</pre>

Жишээ өөрчлөлтүүд:
<pre>Port 25000
Protocol 2
PermitRootLogin no
UseDNS no</pre>

Үндсэн 22-р портыг солих нь аюулгүй байдлыг нэмэгдүүлдэг. Мөн SSH protocol 1 ашиглахгүй байх хэрэгтэй. 

Зөвхөн тодорхой хэрэглэгчдийн л хандалтыг зөвшөөрөх тохиргоо хийж өгч болно:
<pre>AllowUsers username1 username2</pre> гэх мэт

Нууц үгээр нэвтрэхийг бүрэн хориглох, Auth public key ашигладаг болгох зэрэг тохиргоонуудыг мөн энэ файлд хийж өгч болно.

Үүний дараа хадгалж гараад хийсэн тохиргоогоо идэвхжүүлнэ:
<pre>service sshd restart</pre>

'''Стандарт бус портоор хандахдаа:'''
<pre>ssh -p 25000 username@123.45.67.890</pre>

Мөн ssh холболтыг [[bruteforce халдлага]]ас fail2ban, denyhosts зэрэг хэрэгслүүдийг ашиглан хамгаалж болдог ч энэ нь нэг IP хаягнаас биш [[Botnet сүлжээ]] ашигласан үед хамгаалж чадахгүй болдог. 

[[Ангилал:Linux]][[Ангилал:Сисадмин]][[Ангилал:Зааварчилгаа]]