نحوه امن‌سازی SSH

نمای کلی

این مستند چند تغییر مفید را معرفی می‌کند که با انجام آن‌ها می‌توانید امنیت SSH سرور خود را بهبود دهید.
ما به شدت توصیه می‌کنیم که دسترسی Secure Shell (SSH) را محدود و به‌درستی پیکربندی کنید تا سرورتان ایمن بماند.

مراقب باشید چه کسی دسترسی SSH دارد

• اگر یک کاربر نیازی به SSH ندارد، هرگز به او دسترسی ندهید.
  برای حذف دسترسی SSH یک کاربر، از بخش زیر استفاده کنید:

WHM » Home » Account Functions » Manage Shell Access

• برخی کاربران ممکن است به SSH نیاز داشته باشند اما فقط برای دسترسی به فایل‌های داخل دایرکتوری خانگی‌شان.
• برای این نوع کاربران، توصیه می‌کنیم از محیط Jailed Shell استفاده کنید.

تنظیم پیام هشدار قانونی (Legal Message) برای SSH

سیستم می‌تواند هنگام ورود کاربران از طریق SSH، یک پیام هشدار قانونی (motd یا Message of the Day) نمایش دهد.

برای تنظیم این پیام:

• فایل /etc/motd را با ویرایشگر متن دلخواه باز کنید.
• پیام خود را در آن ذخیره کنید.

مثال:

ALERT! You have entered a secured area! The system has recorded
your IP and login information, and it has notified the administrator.

This system is restricted to authorized access only. All activities on
this system are recorded and logged. The system administrator will fully
investigate and report unauthorized activity to the appropriate law
enforcement agencies.

استفاده از کلیدهای SSH (SSH Keys)

می‌توانید ورود با رمز عبور را در SSH غیرفعال کنید و کاربران را مجبور کنید فقط با کلید SSH وارد شوند.

مراحل:

• در WHM به مسیر زیر بروید و یک کلید برای کاربر root بسازید یا دانلود کنید:

WHM » Home » Security Center » Manage root’s SSH Keys

• سپس در مسیر زیر، ورود با رمز عبور را غیرفعال کنید:

WHM » Home » Security Center » SSH Password Authorization Tweak

تقویت امنیت SSH

فایل پیکربندی SSH در مسیر زیر قرار دارد:

/etc/ssh/sshd_config

توصیه می‌کنیم تغییرات زیر را اعمال کنید:

• Port: پورتی که سرویس sshd روی آن گوش می‌دهد.
  • حداکثر مقدار قابل قبول: 49151
  • بهتر است از یک پورت معتبر در بازه 1–1023 استفاده کنید (که تنها root می‌تواند روی آن فعال باشد).
• Protocol: توصیه می‌کنیم مقدار آن روی 2 تنظیم شود.
• ListenAddress: آدرس IP که sshd روی آن گوش می‌دهد.
  • نباید از IP اصلی اشتراکی استفاده کنید.
  • می‌توانید یک رکورد DNS اختصاصی (مثل ssh.example.com) برای IP جدید بسازید.
• PermitRootLogin: توصیه می‌شود این مقدار روی no تنظیم شود تا ورود مستقیم root به SSH غیرفعال شود.

ویرایش فایل sshd_config

برای پیکربندی SSH:

• به عنوان root وارد سرور شوید (یا با یک کاربر wheel وارد شوید و سپس با su به root بروید).
• قبل از تغییرات، از فایل بکاپ بگیرید:

cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak`date +%F`

• فایل /etc/ssh/sshd_config را باز کنید و تنظیمات دلخواه را تغییر دهید.
• برای فعال‌سازی یک پارامتر، علامت # را حذف کنید.

مثال تغییر پورت: #Port 22 Port 456

• پس از تغییرات، سرویس SSH را ریستارت کنید:

/scripts/restart_sshd یا service sshd restart

• دوباره با IP، پورت و کاربر جدید وارد شوید تا مطمئن شوید تنظیمات درست اعمال شده‌اند.

⚠️ هشدار:
اگر به اشتباه فایل پیکربندی را خراب کردید، می‌توانید در مرورگر به آدرس زیر بروید (به جای example.com نام هاست یا IP اصلی سرور را وارد کنید):

https://example.com:2087/scripts2/doautofixer?autofix=safesshrestart

این اسکریپت موقتاً SSH را روی پورت 22 یا در صورت اشغال بودن، روی پورت 23 فعال می‌کند تا بتوانید فایل را اصلاح کنید.

مثال از یک فایل sshd_config

⚠️ توجه: این فایل فقط یک نمونه است. کپی و استفاده مستقیم از آن باعث از کار افتادن SSH خواهد شد.

Port 456
ListenAddress 192.168.69.187
Protocol 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key
SyslogFacility AUTHPRIV
AuthorizedKeysFile  .ssh/authorized_keys
PasswordAuthentication yes
ChallengeResponseAuthentication no
GSSAPIAuthentication yes
GSSAPICleanupCredentials no
UsePAM yes
X11Forwarding yes
UsePrivilegeSeparation sandbox
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
Subsystem   sftp    /usr/libexec/openssh/sftp-server

✅ با انجام این تنظیمات، می‌توانید امنیت SSH روی سرور خود را به شکل قابل توجهی افزایش دهید.

آموزش ویدئویی

می‌توانید با مطالعه مقالات بخش امنیت از آموزش‌های متفاوت مربوط به ایمن سازی بیشتر SSH نیز بهره‌مند شوید.

کیان پور