مقدمه

حتی اگر از SSH Key Authentication استفاده کنید، ورود مستقیم Root را غیرفعال کرده باشید و کاربران مجاز SSH را نیز محدود کرده باشید، همچنان سرویس SSH از هر نقطه‌ای در اینترنت قابل دسترسی خواهد بود.

در بسیاری از سازمان‌ها، مدیران سیستم همیشه از مکان‌های مشخصی مانند دفتر شرکت، VPN سازمان یا یک IP ثابت به سرورها متصل می‌شوند. در چنین شرایطی، منطقی نیست که سرویس SSH برای تمام اینترنت باز باشد.

یکی از مؤثرترین روش‌های کاهش سطح حمله (Attack Surface)، محدود کردن دسترسی SSH بر اساس آدرس IP است.

در این مقاله، روش‌های مختلف انجام این کار و بهترین شیوه‌های پیاده‌سازی آن را بررسی خواهیم کرد.

محدود کردن SSH بر اساس IP چیست؟

در این روش، تنها IPها یا شبکه‌هایی که از قبل مشخص شده‌اند اجازه اتصال به سرویس SSH را خواهند داشت.

اگر شخصی از IP دیگری تلاش کند به سرور متصل شود، حتی قبل از نمایش صفحه ورود، اتصال او مسدود خواهد شد.

چرا این روش اهمیت دارد؟

فرض کنید سرور شما در اینترنت قرار دارد.

اگر SSH برای همه باز باشد:

• میلیون‌ها ربات می‌توانند آن را اسکن کنند.
• حملات Brute Force به‌صورت مداوم انجام می‌شود.
• لاگ‌های SSH پر از درخواست‌های ناموفق خواهند شد.

اما اگر فقط IP شرکت شما مجاز باشد:

• اکثر حملات حتی به مرحله احراز هویت هم نمی‌رسند.
• تعداد درخواست‌های غیرمجاز به‌شدت کاهش پیدا می‌کند.
• سطح حمله سرور کوچک‌تر می‌شود.

آیا این روش از تغییر پورت SSH بهتر است؟

در بسیاری از سناریوها، بله.

تغییر پورت فقط باعث کاهش حملات خودکار می‌شود، اما محدود کردن SSH بر اساس IP، اساساً اجازه اتصال را از IPهای غیرمجاز سلب می‌کند.

به همین دلیل، این روش یکی از بهترین اقدامات برای ایمن‌سازی SSH محسوب می‌شود.

روش‌های محدود کردن دسترسی

روش‌های مختلفی برای انجام این کار وجود دارد.

از جمله:

• Firewall (UFW)
• Firewalld
• iptables
• nftables
• TCP Wrappers (در سیستم‌های قدیمی)
• Security Group در سرویس‌های ابری
• فایروال سخت‌افزاری

در بیشتر سرورهای امروزی، استفاده از فایروال سیستم‌عامل بهترین گزینه است.

محدود کردن SSH با UFW

ابتدا اجازه دسترسی از IP موردنظر را صادر کنید.

برای مثال:

sudo ufw allow from 203.0.113.10 to any port 22 proto tcp

سپس دسترسی سایر IPها را مسدود کنید.

sudo ufw deny 22/tcp

در این حالت فقط IP مشخص‌شده امکان اتصال خواهد داشت.

چند IP مجاز

اگر چند مدیر سیستم دارید:

sudo ufw allow from 203.0.113.10 to any port 22

sudo ufw allow from 198.51.100.25 to any port 22

اجازه دسترسی به یک شبکه

اگر دفتر شرکت از یک شبکه ثابت استفاده می‌کند:

sudo ufw allow from 192.168.10.0/24 to any port 22

در این مثال، تمام IPهای موجود در این شبکه اجازه اتصال خواهند داشت.

بررسی قوانین UFW

برای مشاهده قوانین فعال:

sudo ufw status numbered

محدود کردن SSH با Firewalld

در AlmaLinux و Rocky Linux:

sudo firewall-cmd \
--permanent \
--add-rich-rule='rule family="ipv4" source address="203.0.113.10" port protocol="tcp" port="22" accept'

سپس:

sudo firewall-cmd --reload

اگر IP شما تغییر می‌کند چه باید کرد؟

بسیاری از کاربران خانگی IP ثابتی ندارند.

در این شرایط می‌توانید از یکی از روش‌های زیر استفاده کنید:

• استفاده از VPN با IP ثابت
• استفاده از Bastion Host
• استفاده از سرویس‌های Dynamic DNS
• به‌روزرسانی قوانین فایروال هنگام تغییر IP

محدود کردن SSH در Cloud

اگر سرور شما روی پلتفرم‌های ابری قرار دارد، بهتر است این محدودیت را در سطح Security Group یا Firewall Provider نیز اعمال کنید.

این کار باعث می‌شود درخواست‌های غیرمجاز حتی قبل از رسیدن به سیستم‌عامل مسدود شوند.

تست تنظیمات

قبل از خروج از نشست فعلی SSH، حتماً تنظیمات را آزمایش کنید.

ابتدا از IP مجاز اتصال جدید برقرار کنید.

سپس از یک IP دیگر تست کنید.

اتصال از IP غیرمجاز باید رد شود.

اگر اشتباه تنظیم کنیم چه می‌شود؟

اگر IP اشتباهی را مجاز کنید یا IP خود را فراموش کنید، دیگر امکان اتصال SSH نخواهید داشت.

در این شرایط باید از یکی از روش‌های زیر استفاده کنید:

• کنسول مدیریتی VPS
• KVM
• Rescue Mode

به همین دلیل، همیشه قبل از اعمال محدودیت، IP فعلی خود را بررسی کنید.

آیا این روش کافی است؟

خیر.

محدود کردن SSH بر اساس IP یکی از لایه‌های امنیتی است، اما جایگزین سایر اقدامات نمی‌شود.

بهترین نتیجه زمانی حاصل می‌شود که این روش همراه با موارد زیر استفاده شود:

• SSH Key Authentication
• غیرفعال کردن Root Login
• غیرفعال کردن Password Authentication
• Fail2Ban
• فایروال
• بروزرسانی منظم سیستم‌عامل

اشتباهات رایج

برخی از خطاهای متداول عبارت‌اند از:

• فراموش کردن IP خود
• اعمال قوانین قبل از تست
• بستن نشست فعلی SSH
• باز گذاشتن SSH برای تمام اینترنت در سرورهای سازمانی
• استفاده از IPهای پویا بدون برنامه‌ریزی

بهترین روش‌ها

برای افزایش امنیت:

• اگر IP ثابت دارید، فقط همان IP را مجاز کنید.
• اگر چند مدیر سیستم دارید، برای هر IP قانون جداگانه ایجاد کنید.
• از VPN سازمانی استفاده کنید.
• دسترسی SSH را به‌صورت دوره‌ای بازبینی کنید.
• تغییرات فایروال را مستندسازی کنید.

چک‌لیست

پس از محدود کردن SSH بر اساس IP، موارد زیر را بررسی کنید:

• فقط IPهای مجاز امکان اتصال دارند.
• قوانین فایروال بدون خطا اعمال شده‌اند.
• اتصال از IP مجاز با موفقیت انجام می‌شود.
• اتصال از IP غیرمجاز رد می‌شود.
• نشست فعلی تا پایان تست باز نگه داشته شده است.
• در صورت تغییر IP، برنامه‌ای برای به‌روزرسانی قوانین وجود دارد.

جمع‌بندی

محدود کردن دسترسی SSH بر اساس آدرس IP یکی از مؤثرترین روش‌ها برای کاهش سطح حمله سرور است. این کار باعث می‌شود تنها کاربران یا شبکه‌های مورد اعتماد بتوانند به سرویس SSH دسترسی داشته باشند و بسیاری از حملات خودکار حتی فرصت برقراری اتصال را پیدا نکنند.

در محیط‌های سازمانی، استفاده از این روش در کنار SSH Key Authentication، غیرفعال کردن ورود Root، غیرفعال کردن ورود با رمز عبور و Fail2Ban یک لایه دفاعی بسیار قدرتمند ایجاد می‌کند و امنیت دسترسی از راه دور به سرور را به شکل قابل توجهی افزایش می‌دهد.

کیان پور