Serveur Dédié Debian Etch 64bit chez OVH – Sécuriser SSH et l’accès root
Une dès première phase pour sécuriser un minimum votre serveur est de modifier le port par défaut sur lequel vous vous connectez en SSH.
Installer open-ssh :
apt-get install openssh-server
Pour cela, on édite le fichier de configuration avec VI :
vim /etc/ssh/sshd_config
Et modifier la ligne Port 22 par Port XXX où XXX est le port que vous aurez choisi.
# What ports, IPs and protocols we listen for Port 4583
Redémarrez ensuite le service SSH avec la commande suivante :
/etc/init.d/ssh restart
Lors de la prochaine connexion avec PUTTY, n’oubliez pas de changer le port en conséquence.
La deuxième phase consiste à bloquer le login sous root par SSH. Cela évitera un grand nombre de tentative d’intrusion. Su permet de devenir un autre utilisateur pour la durée d’une session. Dans le cas présent nous utilisons su pour devenir root une fois la connexion au serveur effectué.
La première chose à faire et de créer un nouvel utilisateur (LOGIN) et de lui donner un mot de passe. C’est cet utilisateur qui vous servira à vous connecter en SSH.
adduser LOGIN
Pour vérifier que l’utilisateur est bien créé, vous pouvez relancer PUTTY et tenter de vous connecter avec ce nouvel utilisateur. Si la connection à réussi, vous pouvez constater que vous ne pouvez pas faire grand chose, par exemple il vous est impossible d’installer un paquet.
Maintenant effectuer la commande et rentrer ensuite votre mot de passe root :
su rootSi tout se passe bien vous êtes maintenant connecté en root et pouvez effectuer toutes les opérations voulues.
ATTENTION: Vous devez obligatoirement avoir un utilisateur pour vous connecter en SSH avant d’interdire l’accès à root
Il ne reste plus qu’à éditer le fichier de configuration du services SHH afin que seul votre utilisateur LOGIN ait le droit de se connecter en SSH, sécurisant ainsi votre accès à votre serveur par SSH.
Ajoutez la ligne suivante dans /etc/ssh/sshd_config
AllowUsers LOGIN
Et modifier PermitRootLogin à no :
PermitRootLogin no
Redémarrez SSH. C’est fini !
Dans la prochaine étape nous procéderons à l’installation de fail2ban pour éviter les tentatives d’intrusions répétées.