สำหรับผู้ดูแลระบบลินุกซ์ทุกคน สิ่งที่จะต้องลงและตั้งค่าทันทีหลังจากติดตั้งลินุกซ์เซิร์ฟเวอร์นั่นก็คือ Secure Shell Server หรือที่เรียกกันย่อๆ ว่า SSH Server ซึ่งในบทความนี้จะแนะนำถึงวิธีการลงและตั้งค่า SSH อย่างไรให้มีความปลอดภัยสูงสุด 

apt-get install openssh-server

1
2
3
4
5
6
7
8
9

Port 9999
ListenAddress 192.168.100.10
LoginGraceTime 120
PermitRootLogin no
StrictModes yes
PermitEmptyPasswords no
AllowUsers username1 username2
AllowGroups groupname
PasswordAuthentication no

บรรทัดที่ 1 เป็นการตั้งค่าพอร์ตที่จะใช้ในการล็อคอิน SSH เข้ามา ซึ่งแนะนำให้ตั้งค่าเป็นพอร์ตที่มากกว่า 1024 ขึ้นไป เพื่อให้คนที่จะเจาะระบบของเราไม่สามารถหาพอร์ตที่จะใช้ในการล็อคอินได้ง่ายนัก (แต่ใช่ว่าจะหาไม่ได้นะเออ)
บรรทัดที่ 2 ในกรณีบางครั้งเรามีการ์ดแลนหลายใบที่ติดตั้งอยู่กับเซิร์ฟเวอร์ ให้ตั้งค่าเป็นไอพีที่เราต้องการจะให้ล็อคอิน SSH เข้ามา เช่น ตั้งเป็นไอพี 192.168.100.10 ในกรณีที่ต้องการให้ล็อคอินผ่านไอพีภายในระบบของเราเท่านั้น
บรรทัดที่ 3 เป็นการตั้งเวลาที่จะให้ SSH Server ตัดการเชื่อมต่อ ถ้าผู้ใช้ไม่ได้เข้ามาล็อคอินภายในเวลาที่กำหนด (หน่วยเป็นวินาที)
บรรทัดที่ 4 ให้ตั้งค่าเป็น no เพื่อไม่ให้ root สามารถล็อคอินเข้ามายัง SSH ได้โดยตรง ต้องล็อคอินผ่านผู้ใช้อื่นก่อน แล้วใช้คำสั่ง su เป็น root อีกทีหนึ่ง
บรรทัดที่ 5 เป็นการตั้งค่าให้ SSH ตรวจสอบ permission ของ home directory ก่อนล็อคอินทุกครั้ง
บรรทัดที่ 6 ตั้งค่าเป็น no เพื่อบังคับให้ใส่รหัสผ่านในการล็อคอินทุกครั้ง ไม่สามารถเว้นว่างไว้ได้ (ป้องกันช่องโหว่ในบางกรณีที่ผู้ใช้ไม่มีรหัสผ่าน แต่ยังสามารถล็อคอินเข้ามาได้)
บรรทัดที่ 7 กำหนดผู้ใช้ที่สามารถ SSH ได้
บรรทัดที่ 8 กำหนดกลุ่มผู้ใช้ที่สามารถ SSH ได้
บรรทัดที่ 9 กำหนดให้ล็อคอินด้วยระบบอื่นที่ไม่ใช่เป็นการใส่ชื่อผู้ใช้กับรหัสผ่าน ให้ตั้งค่าเป็น no และใช้ควบคู่กับวิธีการ SSH โดยไม่ต้องใส่รหัสผ่าน

/etc/init.d/ssh restart

จริงๆ วิธีที่ปลอดภัยที่สุดคือ ปิดและลบ SSH Server ไปเลย...

- ที่มา at: http://www.wingfoss.in.th/content/how-to-secure-ssh-server

---

 

1. สร้าง user ขึ้นมาใหม่ - เพื่อที่จะได้ไม่ต้องเข้าเป็น root ตลอดเวลา ช่วยทั้งเรื่องความปลอดภัยและป้องกันความซุ่มซ่ามของตัวเองทำเครื่องพังจากการใช้คำสั่งอย่างไม่ระมัดระวัง
2. เปลี่ยน root password - โดยเฉพาะคนที่ได้ root password มาจากคนอื่น (แต่ถ้าเราเปลี่ยนแล้ว คนๆนั้นก็จะเข้า root ไม่ได้นะครับ เว้นแต่ว่าจะให้สิทธิ์ใน sudoers ไว้ตามข้างล่าง)
3. ปิด service ต่างๆที่ไม่ได้ใช้ - เพื่อลดจำนวนช่องโหว่ลง
4. ลง sudo - จะได้ไม่ต้อง login เข้า root ตามข้อ (1) ข้างบน
5. ตั้งค่า SSH - ไม่ให้ login โดยใช้ root และทำ public key authentication (ถ้าต้องการ)
6. ตั้งค่า iptables - เพื่อเปิดใช้เฉพาะ port ที่จำเป็นจริงๆ

1. สร้าง user โดยใช้คำสั่ง adduser

$ adduser username
$ passwd username

2. เปลี่ยน root password

$ passwd

3. ปิด service ต่าง ๆ ที่ไม่ได้ใช้

$ update-rc.d -f service_name remove

4. ลง sudo

$ apt-get install sudo

username ALL=(ALL)

5. ตั้งค่า SSH

$ ssh-keygen -t rsa

$ scp id_rsa.pub username@server:id_rsa.pub

$ cd (ไปที่ home ของ user ที่ต้องการ)
$ mkdir .ssh
$ chmod 700 .ssh
$ cat id_rsa.pub >> .ssh/authorized_keys
$ chmod 600 .ssh/authorized_keys

$ /etc/init.d/ssh restart

6. ตั้งค่า iptables

$ vi /etc/iptables.test.rules

*filter
-A INPUT -i lo -j ACCEPT
-A INPUT -i ! lo -d 127.0.0.0/8 -j REJECT
-A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT
-A OUTPUT -j ACCEPT
-A INPUT -p tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m state --state NEW --dport 22 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
-A INPUT -j DROP
-A FORWARD -j DROP

COMMIT

1. อนุญาต traffic จาก loopback interface
2. ถ้ามี traffic มาที่ 127.0.0.0/8 ต้องมาจาก loopback interface เท่านั้น
3. อนุญาต incoming traffic ที่เริ่มจากเครื่องนี้
4. อนุญาต outgoing traffic ทั้งหมด
5. อนุญาต tcp traffic ที่มาที่ port 80
6. อนุญาต tcp traffic ที่มาที่ port 22 (SSH)
7. อนุญาต ping
8. เก็บ log traffic ที่ไม่ได้รับอนุญาต
9. drop incoming traffic อื่นๆ
10. drop traffic อื่นๆ ที่จะต้องถูก forward

$ iptables-restore < /etc/iptables.test.rules

$ iptables -A INPUT -i lo -j ACCEPT

$ iptables -L

$ iptables-save > /etc/iptables.up.rules

$vi /etc/network/if-pre-up.d/iptables

#!/bin/bash
/sbin/iptables-restore < /etc/iptables.up.rules

$ chmod +x /etc/network/if-pre-up.d/iptables