SSH को सुदृढ़ करना और कुंजी-आधारित प्रमाणीकरण

SSH दूरस्थ प्रशासन का मुख्य माध्यम है और स्वचालित ब्रूट-फोर्स हमलों का लगातार लक्ष्य रहता है।

/etc/ssh/sshd_config में कुछ कॉन्फ़िगरेशन बदलाव करके SSH को सुरक्षित करने से अनधिकृत पहुँच का जोखिम बहुत कम हो जाता है।

पुराने RSA की जगह आधुनिक Ed25519 कुंजियों को प्राथमिकता दें। अतिरिक्त सुरक्षा के लिए पासफ़्रेज़ वाला युग्म बनाएँ।

सार्वजनिक कुंजी को सर्वर के ~/.ssh/authorized_keys में कॉपी करें। सहायक ssh-copy-id इसे सुरक्षित रूप से स्वचालित करता है।

कुंजी से लॉगिन काम करने लगे तो पासवर्ड पूरी तरह बंद कर दें, ताकि ब्रूट-फोर्स हमले सफल न हो सकें।

sshd_config में:

• PasswordAuthentication no
• ChallengeResponseAuthentication no
• UsePAM yes

प्रत्यक्ष रूट SSH लॉगिन की अनुमति कभी न दें। सामान्य उपयोगकर्ता के रूप में लॉगिन करें और sudo से अधिकार बढ़ाएँ।

AllowUsers या AllowGroups से यह सीमित करें कि कौन कनेक्ट कर सकता है। सूची में शामिल न होने वाले सभी लोगों को सीधे अस्वीकार कर दिया जाता है।

पोर्ट 22 से हटने पर दृढ़ निश्चयी हमलावर नहीं रुकेंगे, लेकिन शोर वाले स्वचालित स्कैन काफी कम हो जाएँगे।

अपनी फ़ायरवॉल नियमावली को भी उसी अनुसार अपडेट करना याद रखें।

ब्रूट-फोर्स उपकरणों को रोकने के लिए कनेक्शन हैंडशेक को अधिक कड़ा करें।

• MaxAuthTries 3
• LoginGraceTime 20
• MaxStartups 10:30:60

fail2ban प्रमाणीकरण लॉग पर नज़र रखता है और बार-बार विफलताओं के बाद IP पतों पर अस्थायी प्रतिबंध लगाता है, जिससे लगातार हमला करने वाले अपने-आप रुक जाते हैं।

sshd को पुनः आरंभ करने से पहले हमेशा config की जाँच करें और मौजूदा सत्र खुला रखें, ताकि कोई गलती आपको सिस्टम से बाहर न कर दे।

sshd -T से उन प्रभावी सेटिंग्स की पुष्टि करें जिनका डेमन उपयोग करेगा; यह अंतिम कॉन्फ़िगरेशन दिखाता है।

आपने सबसे अधिक उजागर Linux सेवा को सुरक्षित कर लिया है:

• पासफ़्रेज़ वाले Ed25519 कुंजी युग्म
• PasswordAuthentication no और PermitRootLogin no
• उपयोगकर्ता प्रतिबंध और कड़े प्रमाणीकरण सीमितक
• स्वचालित प्रतिबंध के लिए fail2ban
• डिस्कनेक्ट करने से पहले हमेशा sshd -t चलाकर सत्यापन करना

यह स्तरित सुरक्षा के लिए आपके फ़ायरवॉल, VPN और IDS पाठों का पूरक है।