Linux SSH хандалт Public/Private Keys ашиглах - Түүх

08:06, 20 Зургаадугаар сар 2015 дээрх Almas

2015-06-20T08:06:39Z

07:04, 20 Зургаадугаар сар 2015 дээрх Almas

2015-06-20T07:04:18Z

07:03, 20 Зургаадугаар сар 2015 дээрх Almas

2015-06-20T07:03:52Z

07:02, 20 Зургаадугаар сар 2015 дээрх Almas

2015-06-20T07:02:46Z

Almas: Шинэ хуудас: Линукс серверүүд рүү алсаас хандаж удирдахад SSH холболтыг өргөн ашигладаг. Энэ холболт нь нууцл…

2015-06-20T07:01:43Z

Шинэ хуудас: Линукс серверүүд рүү алсаас хандаж удирдахад SSH холболтыг өргөн ашигладаг. Энэ холболт нь нууцл…

Шинэ хуудас

Линукс серверүүд рүү алсаас хандаж удирдахад SSH холболтыг өргөн ашигладаг. Энэ холболт нь нууцлалын шифрлэлттэй хийгддэг холболт юм. Заримдаа ашиглахын тулд сервер дээрээ суулгах шаардлага гардаг.

== Суулгах ==

Debian (Ubuntu) суурьтай системүүд дээр
<pre>sudo apt-get install openssh<pre>

RedHat (Centos/Fedora) суурьтай системүүд дээр
<pre>sudo yum install openss</pre>

== Аюулгүй байдлын зарим нэмэлт тохиргоо ==

ssh хандалтаар сервер рүү хандахдаа нууц үг ашиглахаас илүүтэйгээр public/private түлхүүр ашиглахаар тохируулах нь аюулгүй байдлын хувьд илүү байдаг.
Мөн байнга хэрэглэдэг компьютераасаа нэвтрэх бүртээ нууц үг хийхгүй холбогдох давуу талыг олгодог.

=== Хэрэглэгчийн компьютер дээр тохиргоо хийх: ===

~/.ssh хавтсанд хэрэв түлхүүр байхгүй бол дараах тушаалаар шинэ түлхүүр үүсгэж болно.
<pre>ssh-keygen -t rsa</pre>

Хэдийгээр анхнаасаа хандалтын эрх (permission) тохиргоо нь хийгдсэн байдаг ч мөн та тохируулж болно.

<pre>chmod 700 ~/.ssh
chmod 600 ~/.ssh/id_rsa</pre>

Мөн дараах тушаалыг өгөөрэй. "Agent admitted failure to sign using the key" гэсэн алдаа заах үед энэ тушаалыг өгсний дараа хэвийн ажилладаг.
<pre>ssh-add</pre>

Түлхүүр файлаа сервер рүү хуулна. Зарим системд ssh-copy-id тушаалыг ашиглаад амархан хуулж болдог
<pre>ssh-copy-id user@hostname.example.com</pre>

=== Сервер дээр хийгдэх тохиргоо ===

root эрхээр хандах нь эрсдэлтэй тул шинэ хэрэглэгч үүсгэж шинэ хэрэглэгчээрээ нэвтэрдэг байх хэрэгтэй:
<pre>adduser username
passwd username</pre>

Шинэ хэрэглэгчдээ root хандалтын эрх өгөх:
<pre>/usr/sbin/visudo</pre>

тушаалаар нээгээд

<pre># User privilege specification
root ALL=(ALL) ALL</pre>

гэсэн хэсгийг хайж олоод доор нь өөрийн шинэ хэрэглэгчид мөн адил бичиж үүсгэж өгнө.
<pre># User privilege specification
root ALL=(ALL) ALL
username ALL=(ALL) ALL
</pre>

id_rsa.pub файлыг компьютераасаа сервер рүүгээ хуулаад хандах хэрэглэгчийнхээ хавтасны .ssh/authorized_keys файл руу нэмж өгнө. (ssh-copy-id ашигласан бол ингэх шаардлагагүй)
<pre>cat id_rsa.pub >> ~/.ssh/authorized_keys</pre>

SELinux идэвхтэй ашиглаж байгаа бол дараах тушаалыг өгнө:
<pre>restorecon -Rv ~/.ssh</pre>

/etc/ssh/sshd_config файлд тохиргоо хийж өгнө.
<pre>sudo vim /etc/ssh/sshd_config</pre>

Жишээ өөрчлөлтүүд:
<pre>Port 25000
Protocol 2
PermitRootLogin no
UseDNS no</pre>

Үндсэн 22-р портыг солих нь аюулгүй байдлыг нэмэгдүүлдэг. Мөн SSH protocol 1 ашиглахгүй байх хэрэгтэй.

Зөвхөн тодорхой хэрэглэгчдийн л хандалтыг зөвшөөрөх тохиргоо хийж өгч болно:
<pre>AllowUsers username1 username2</pre> гэх мэт

Нууц үгээр нэвтрэхийг бүрэн хориглох, Auth public key ашигладаг болгох зэрэг тохиргоонуудыг мөн энэ файлд хийж өгч болно.

Үүний дараа хадгалж гараад хийсэн тохиргоогоо идэвхжүүлнэ:
<pre>service sshd restart</pre>

←Хуучны засвар		08:06, 20 Зургаадугаар сар 2015-ий байдлаарх засвар
86-р мөр:		86-р мөр:
	'''Стандарт бус портоор хандахдаа:'''		'''Стандарт бус портоор хандахдаа:'''
	<pre>ssh -p 25000 username@123.45.67.890</pre>		<pre>ssh -p 25000 username@123.45.67.890</pre>
		+
		+	Мөн ssh холболтыг [[bruteforce халдлага]]ас fail2ban, denyhosts зэрэг хэрэгслүүдийг ашиглан хамгаалж болдог ч энэ нь нэг IP хаягнаас биш [[Botnet сүлжээ]] ашигласан үед хамгаалж чадахгүй болдог.
		+
		+	[[Ангилал:Linux]][[Ангилал:Сисадмин]][[Ангилал:Зааварчилгаа]]

←Хуучны засвар		07:04, 20 Зургаадугаар сар 2015-ий байдлаарх засвар
9-р мөр:		9-р мөр:

	RedHat (Centos/Fedora) суурьтай системүүд дээр		RedHat (Centos/Fedora) суурьтай системүүд дээр
−	<pre>sudo yum install ~~openss~~</pre>	+	<pre>sudo yum install openssh</pre>

←Хуучны засвар		07:02, 20 Зургаадугаар сар 2015-ий байдлаарх засвар
83-р мөр:		83-р мөр:
	Үүний дараа хадгалж гараад хийсэн тохиргоогоо идэвхжүүлнэ:		Үүний дараа хадгалж гараад хийсэн тохиргоогоо идэвхжүүлнэ:
	<pre>service sshd restart</pre>		<pre>service sshd restart</pre>
		+
		+	'''Стандарт бус портоор хандахдаа:'''
		+	<pre>ssh -p 25000 username@123.45.67.890</pre>

@@ 6-р мөр: / 6-р мөр: @@
 Debian (Ubuntu) суурьтай системүүд дээр
-<pre>sudo apt-get install openssh<pre>
+<pre>sudo apt-get install openssh</pre>
 RedHat (Centos/Fedora) суурьтай системүүд дээр