Slå login med adgangskode og som root fra

Alle servere på internettet får hurtigt besøg af programmer, der gætter adgangskoder. Hvis du kun kan logge ind med en nøgle, har de ingen chance. Det slår du til nu.

Bemærk: Virker login med din nøgle som anna (se Din egen bruger med sudo)? Tag så først et snapshot (se Snapshots: et sikkerhedsnet til hver stor ændring), og hold en session åben, mens du følger trinene. Går det alligevel galt, kan du komme ind via konsollen (se Konsollen: din VPS i din browser).

Din egen konfigurationsfil

På Debian og Ubuntu læser SSH-serveren først filerne i /etc/ssh/sshd_config.d/ i alfabetisk rækkefølge. For hver indstilling gælder den første værdi, den møder. Din egen fil får derfor et navn, der kommer forrest:

anna@web1:~$ sudo nano /etc/ssh/sshd_config.d/00-eigen.conf

Skriv følgende i den:

PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no

• PasswordAuthentication no: ingen adgangskoder via SSH længere.
• KbdInteractiveAuthentication no: heller ingen spørgsmål om adgangskode ad en omvej.
• PermitRootLogin no: root må ikke længere logge ind via SSH, heller ikke med en nøgle. Du arbejder som anna med sudo. Vil du stadig tillade root med en nøgle, så brug prohibit-password.

Kontrollér og anvend

anna@web1:~$ sudo sshd -t
anna@web1:~$ sudo sshd -T | grep -Ei '^(passwordauthentication|kbdinteractiveauthentication|permitrootlogin)'
passwordauthentication no
kbdinteractiveauthentication no
permitrootlogin no
anna@web1:~$ sudo systemctl restart ssh

sshd -t siger ingenting, hvis filen er i orden. sshd -T viser, hvilke værdier der faktisk gælder. Står der stadig passwordauthentication yes? Så slår en anden fil i sshd_config.d det til igen, ofte 50-cloud-init.conf. Din 00-eigen.conf kommer før og vinder; kontrollér, at navnet er rigtigt.

På AlmaLinux og Rocky Linux hedder tjenesten sshd: sudo systemctl restart sshd.

Test, før du lukker din session

Åbn et nyt vindue, og prøv:

ssh anna@203.0.113.10
ssh -o PreferredAuthentications=password -o PubkeyAuthentication=no anna@203.0.113.10
anna@203.0.113.10: Permission denied (publickey).
ssh root@203.0.113.10
root@203.0.113.10: Permission denied (publickey).

Det første skal virke. De to andre skal afvises. Passer det hele? Slet så dit snapshot.

Tip: Et andet portnummer end 22 giver en roligere log, men gør ikke din server mere sikker. Det er nøglen, der gør arbejdet. Ændrer du alligevel porten, så åbn den først i din firewall (se En firewall med ufw (eller nftables)).