مقدمه

به‌صورت پیش‌فرض، اگر یک کاربر محلی روی سرور لینوکسی وجود داشته باشد و مجوز ورود (Login Shell) نیز برای او فعال باشد، معمولاً می‌تواند از طریق SSH به سرور متصل شود.

در بسیاری از سرورها این رفتار مشکلی ایجاد نمی‌کند، اما در محیط‌های عملیاتی (Production)، معمولاً تنها تعداد محدودی از کاربران باید اجازه ورود از طریق SSH را داشته باشند.

به همین دلیل، یکی از اقدامات مهم در سخت‌سازی (Hardening) سرویس SSH، محدود کردن کاربران یا گروه‌های مجاز برای ورود است.

در این مقاله با روش‌های مختلف محدود کردن دسترسی کاربران به SSH و نحوه پیاده‌سازی آن آشنا خواهیم شد.

چرا باید ورود کاربران را محدود کنیم؟

فرض کنید روی یک سرور کاربران زیر وجود دارند:

• maraladmin
• developer
• backup
• nginx
• mysql
• postgres
• ftpuser

آیا همه این کاربران باید بتوانند از طریق SSH وارد شوند؟

قطعاً خیر.

در بسیاری از سرورها فقط مدیران سیستم نیاز به دسترسی SSH دارند.

هر کاربر اضافی که امکان ورود داشته باشد، سطح حمله (Attack Surface) را افزایش می‌دهد.

روش‌های محدود کردن کاربران

OpenSSH چندین روش برای کنترل دسترسی کاربران دارد.

مهم‌ترین آن‌ها عبارت‌اند از:

• AllowUsers
• DenyUsers
• AllowGroups
• DenyGroups

در بیشتر سناریوها، استفاده از AllowUsers یا AllowGroups توصیه می‌شود.

فایل تنظیمات SSH

تمام تنظیمات در فایل زیر قرار دارد:

/etc/ssh/sshd_config

برای ویرایش:

sudo nano /etc/ssh/sshd_config

استفاده از AllowUsers

ساده‌ترین روش، مشخص کردن کاربران مجاز است.

نمونه:

AllowUsers maraladmin

در این حالت فقط کاربر maraladmin اجازه ورود خواهد داشت.

چند کاربر مجاز

اگر چند مدیر سیستم دارید:

AllowUsers maraladmin admin developer

فقط همین کاربران قادر به ورود خواهند بود.

استفاده از AllowGroups

در محیط‌های سازمانی، معمولاً مدیریت گروه‌ها ساده‌تر از مدیریت تک‌تک کاربران است.

ابتدا یک گروه ایجاد کنید.

sudo groupadd sshusers

کاربران مجاز را عضو آن کنید.

sudo usermod -aG sshusers maraladmin

sudo usermod -aG sshusers admin

سپس در فایل تنظیمات SSH بنویسید:

AllowGroups sshusers

اکنون فقط اعضای این گروه اجازه ورود خواهند داشت.

تفاوت AllowUsers و AllowGroups

در محیط‌های حرفه‌ای، معمولاً استفاده از AllowGroups انعطاف‌پذیرتر است.

DenyUsers

اگر بخواهید فقط چند کاربر خاص اجازه ورود نداشته باشند:

DenyUsers ftpuser backup

DenyGroups

همچنین می‌توانید کل یک گروه را از ورود منع کنید.

DenyGroups guests

ترتیب پردازش قوانین

OpenSSH این قوانین را به ترتیب مشخصی بررسی می‌کند.

به همین دلیل، بهتر است از ترکیب پیچیده Allow و Deny خودداری کنید.

در بیشتر سرورها، یکی از دو روش زیر کافی است:

• AllowUsers
• AllowGroups

بررسی کاربران دارای Login Shell

قبل از اعمال محدودیت، بهتر است کاربران دارای Login Shell را بررسی کنید.

cat /etc/passwd

کاربرانی که Shell آن‌ها چیزی مانند زیر است:

/bin/bash

یا

/bin/sh

معمولاً امکان ورود دارند.

در مقابل، کاربران سیستمی معمولاً از Shellهایی مانند موارد زیر استفاده می‌کنند:

/usr/sbin/nologin

یا

/bin/false

که اجازه ورود تعاملی به سیستم را نمی‌دهند.

بررسی صحت تنظیمات

قبل از اعمال تغییرات:

sudo sshd -t

اگر خروجی نمایش داده نشود، یعنی فایل تنظیمات صحیح است.

راه‌اندازی مجدد SSH

در Ubuntu و Debian:

sudo systemctl restart ssh

در AlmaLinux و Rocky Linux:

sudo systemctl restart sshd

تست تنظیمات

قبل از بستن نشست فعلی، حتماً یک اتصال جدید آزمایش کنید.

ابتدا با یکی از کاربران مجاز وارد شوید.

اگر اتصال برقرار شد، سپس با یک کاربر غیرمجاز تست کنید.

کاربر غیرمجاز باید با پیغام مشابه زیر مواجه شود:

Permission denied

اگر دسترسی خود را از دست دادیم

اگر نام کاربر خود را در AllowUsers فراموش کنید یا عضو گروه مجاز نباشید، دیگر امکان ورود از طریق SSH را نخواهید داشت.

در این شرایط باید از یکی از روش‌های زیر استفاده کنید:

• کنسول VPS
• KVM
• Rescue Mode

به همین دلیل، همیشه قبل از بستن نشست فعلی، تنظیمات را آزمایش کنید.

ارتباط با سایر تنظیمات امنیتی

محدود کردن کاربران SSH زمانی بیشترین اثربخشی را دارد که همراه با اقدامات زیر انجام شود:

• SSH Key Authentication
• غیرفعال کردن Root Login
• غیرفعال کردن Password Authentication
• تغییر پورت SSH (در صورت نیاز)
• Fail2Ban
• محدود کردن دسترسی بر اساس IP

اشتباهات رایج

برخی از خطاهای متداول عبارت‌اند از:

• فراموش کردن افزودن مدیر سیستم به AllowUsers
• حذف ناخواسته دسترسی خود
• استفاده هم‌زمان از AllowUsers و DenyUsers بدون برنامه
• راه‌اندازی مجدد SSH بدون بررسی فایل تنظیمات
• بستن نشست فعلی قبل از تست اتصال جدید

بهترین روش‌ها

برای افزایش امنیت:

• فقط مدیران سیستم را مجاز به ورود کنید.
• کاربران سیستمی را از SSH دور نگه دارید.
• در سازمان‌ها از AllowGroups استفاده کنید.
• برای هر مدیر سیستم حساب کاربری جداگانه ایجاد کنید.
• دسترسی کاربران را به‌صورت دوره‌ای بازبینی کنید.

چک‌لیست

پس از محدود کردن کاربران SSH، موارد زیر را بررسی کنید:

• فقط کاربران مجاز امکان ورود دارند.
• کاربران غیرضروری حذف یا محدود شده‌اند.
• تنظیمات SSH بدون خطا هستند.
• ورود کاربران مجاز آزمایش شده است.
• کاربران غیرمجاز امکان اتصال ندارند.
• نشست فعلی تا پایان تست باز نگه داشته شده است.

جمع‌بندی

محدود کردن کاربران مجاز SSH یکی از ساده‌ترین و در عین حال مؤثرترین روش‌های کاهش سطح حمله سرور است. هرچه تعداد حساب‌هایی که امکان ورود از طریق SSH دارند کمتر باشد، احتمال سوءاستفاده از حساب‌های کاربری نیز کاهش پیدا می‌کند.

در محیط‌های کوچک، استفاده از AllowUsers معمولاً کافی است؛ اما در زیرساخت‌های سازمانی، مدیریت دسترسی از طریق AllowGroups انعطاف‌پذیرتر و ساده‌تر خواهد بود. این تنظیم را در کنار SSH Key Authentication، غیرفعال کردن Root Login و Fail2Ban پیاده‌سازی کنید تا امنیت سرویس SSH به شکل قابل توجهی افزایش یابد.

کیان پور