امنیت

آموزش غیرفعال کردن ورود مستقیم Root از طریق SSH

آموزش غیرفعال کردن ورود مستقیم Root از طریق SSH

مقدمه

یکی از اولین اقداماتی که پس از راه‌اندازی یک سرور لینوکسی باید انجام دهید، غیرفعال کردن ورود مستقیم کاربر Root از طریق SSH است.

تقریباً تمام ربات‌هایی که اینترنت را اسکن می‌کنند، ابتدا تلاش می‌کنند با نام کاربری root به سرور متصل شوند. اگر رمز عبور ضعیف باشد یا اطلاعات ورود افشا شده باشد، مهاجم می‌تواند در همان مرحله اول کنترل کامل سرور را در اختیار بگیرد.

به همین دلیل، تقریباً تمام راهنماهای امنیتی معتبر مانند CIS Benchmarks، OWASP و بسیاری از ارائه‌دهندگان سرویس ابری توصیه می‌کنند که ورود مستقیم Root از طریق SSH غیرفعال شود.

در این مقاله با دلیل این کار، نحوه انجام آن و نکات مهم قبل از اعمال تنظیمات آشنا خواهیم شد.

چرا نباید با Root وارد SSH شویم؟

کاربر Root دارای بالاترین سطح دسترسی در لینوکس است.

اگر مهاجم بتواند با این حساب وارد سیستم شود:

  • تمام فایل‌های سیستم را مشاهده کند.
  • کاربران جدید ایجاد کند.
  • نرم‌افزارهای مخرب نصب کند.
  • اطلاعات را حذف یا رمزگذاری کند.
  • تنظیمات امنیتی را تغییر دهد.
  • کنترل کامل سرور را در اختیار بگیرد.

به همین دلیل بهتر است Root هیچ‌گاه مستقیماً از طریق SSH قابل ورود نباشد.

آموزش غیرفعال کردن ورود مستقیم Root از طریق SSH

روش استاندارد چیست؟

بهترین روش به این صورت است:

  1. ایجاد یک کاربر معمولی
  2. اعطای دسترسی sudo به آن
  3. ورود به سرور با همان کاربر
  4. اجرای دستورات مدیریتی با sudo
  5. غیرفعال کردن ورود مستقیم Root

این روش هم امنیت بیشتری دارد و هم تمام فعالیت‌های مدیریتی در لاگ‌ها ثبت می‌شوند.

قبل از غیرفعال کردن Root

مهم‌ترین نکته این مقاله همین بخش است.

قبل از انجام هر تغییری مطمئن شوید که:

  • یک کاربر جدید ایجاد کرده‌اید.
  • کاربر عضو گروه sudo یا wheel است.
  • ورود با آن کاربر را تست کرده‌اید.
  • دستور زیر بدون مشکل اجرا می‌شود:
sudo whoami

خروجی باید به شکل زیر باشد:

root

اگر این مرحله را انجام نداده‌اید، فعلاً Root را غیرفعال نکنید.

بررسی تنظیمات SSH

فایل تنظیمات SSH:

/etc/ssh/sshd_config

برای ویرایش:

sudo nano /etc/ssh/sshd_config

پیدا کردن گزینه PermitRootLogin

در فایل، گزینه زیر را پیدا کنید:

PermitRootLogin

ممکن است به یکی از شکل‌های زیر باشد:

#PermitRootLogin yes

یا

PermitRootLogin yes

غیرفعال کردن ورود Root

مقدار آن را به شکل زیر تغییر دهید:

PermitRootLogin no

اگر این گزینه وجود نداشت، آن را در انتهای فایل اضافه کنید.

تفاوت گزینه‌های PermitRootLogin

این گزینه چند مقدار مختلف دارد.

مقدارتوضیح
yesورود Root مجاز است.
noورود مستقیم Root کاملاً غیرفعال می‌شود.
prohibit-passwordورود با رمز عبور غیرفعال است، اما ورود با SSH Key مجاز است.
forced-commands-onlyفقط برای اجرای دستورات مشخص استفاده می‌شود.

کدام گزینه بهتر است؟

اگر از SSH Key Authentication استفاده می‌کنید، دو انتخاب رایج وجود دارد.

امنیت حداکثری

PermitRootLogin no

در این حالت Root به هیچ روشی اجازه ورود نخواهد داشت(به جز کنسول).

در برخی سناریوهای خاص

PermitRootLogin prohibit-password

در این حالت:

  • ورود با رمز عبور ممنوع است.
  • ورود با SSH Key همچنان امکان‌پذیر است.

این گزینه در برخی زیرساخت‌های سازمانی یا محیط‌های خودکار استفاده می‌شود، اما برای بیشتر سرورهای عمومی، غیرفعال کردن کامل ورود Root انتخاب مناسب‌تری است.

بررسی صحت فایل تنظیمات

قبل از راه‌اندازی مجدد سرویس SSH، فایل تنظیمات را بررسی کنید.

sudo sshd -t

اگر خروجی نمایش داده نشود، یعنی فایل بدون خطا است.

آموزش غیرفعال کردن ورود مستقیم Root از طریق SSH

اعمال تنظیمات

در Ubuntu و Debian:

sudo systemctl restart ssh

در AlmaLinux و Rocky Linux:

sudo systemctl restart sshd

تست تنظیمات

جلسه فعلی SSH را نبندید.

ابتدا یک پنجره یا ترمینال جدید باز کنید و سعی کنید با Root وارد شوید.

ssh root@SERVER_IP

در صورت اعمال صحیح تنظیمات، اتصال باید رد شود.

سپس با کاربر جدید وارد شوید:

ssh maraladmin@SERVER_IP

اگر ورود موفق بود، تنظیمات به‌درستی انجام شده است.

اگر دسترسی را از دست دادیم چه کنیم؟

اگر بدون تست، ورود Root را غیرفعال کرده باشید و کاربر جدید نیز دسترسی مدیریتی نداشته باشد، ممکن است دیگر نتوانید وارد سرور شوید.

در این شرایط معمولاً باید از یکی از روش‌های زیر استفاده کنید:

  • کنسول مدیریتی VPS
  • KVM یا VNC ارائه‌دهنده
  • Rescue Mode
  • Single User Mode

به همین دلیل، همیشه قبل از بستن نشست فعلی، ورود با کاربر جدید را آزمایش کنید.

ارتباط با SSH Key Authentication

بهترین ترتیب انجام تنظیمات امنیتی SSH به این شکل است:

  1. ایجاد کاربر جدید
  2. تنظیم sudo
  3. راه‌اندازی SSH Key Authentication
  4. تست ورود با کلید
  5. غیرفعال کردن Password Authentication
  6. غیرفعال کردن ورود مستقیم Root
  7. نصب و تنظیم Fail2Ban

این ترتیب احتمال از دست دادن دسترسی به سرور را به حداقل می‌رساند.

اشتباهات رایج

برخی از خطاهای متداول عبارت‌اند از:

  • غیرفعال کردن Root قبل از ساخت کاربر جدید
  • ری‌استارت کردن SSH بدون بررسی فایل تنظیمات
  • بستن نشست فعلی قبل از تست ورود جدید
  • استفاده از حساب Root برای تمام فعالیت‌های روزمره
  • غیرفعال کردن هم‌زمان Root و Password Authentication بدون راه‌اندازی SSH Key

بهترین روش‌ها

برای افزایش امنیت:

  • از حساب Root برای ورود روزمره استفاده نکنید.
  • برای هر مدیر سیستم یک حساب اختصاصی ایجاد کنید.
  • از SSH Key به جای رمز عبور استفاده کنید.
  • دستورات مدیریتی را با sudo اجرا کنید.
  • برای SSH از Fail2Ban و فایروال نیز استفاده کنید.

چک‌لیست

قبل از غیرفعال کردن Root:

  • کاربر جدید ایجاد شده است.
  • کاربر دسترسی sudo دارد.
  • ورود با کاربر جدید تست شده است.
  • SSH Key Authentication راه‌اندازی شده است.

بعد از غیرفعال کردن Root:

  • تنظیمات SSH بدون خطا هستند.
  • ورود Root از طریق SSH امکان‌پذیر نیست.
  • ورود با کاربر جدید بدون مشکل انجام می‌شود.
  • نشست فعلی تا پایان تست باز نگه داشته شده است.

جمع‌بندی

غیرفعال کردن ورود مستقیم Root از طریق SSH یکی از مؤثرترین اقدامات برای کاهش حملات خودکار به سرورهای لینوکسی است. با حذف امکان ورود مستقیم به این حساب، مهاجمان دیگر نمی‌توانند به‌سادگی از رایج‌ترین نام کاربری هدف استفاده کنند و در صورت نفوذ به یک حساب عادی نیز همچنان برای انجام عملیات مدیریتی با محدودیت مواجه خواهند بود.

کیان پور

مقالات مرتبط

نظرات خود را بنویسید...

اشتراک گذاری این مقاله

آموزش غیرفعال کردن ورود مستقیم Root از طریق SSH

کپی کردن لینک

سلام