escripción de los archivos de configuración de SSH
Archivo Parámetros más importantes
/etc/ssh/sshd_config
· Port: indica el puerto de escucha del servicio SSH (por defecto, se
trata del 22).
· Protocol: indica la versión de protocolo que se utiliza (por lo general,
la 2).
· X11Forwading: este parámetro permite ejecutar aplicaciones gráficas
en el servidor (X11Forwading yes).
· PermitRootLogin: este parámetro indica si el administrador (root)
puede conectarse al servidor SSH. Por motivos de seguridad, no debe
permitirse (PermitRootLogin no).
· AllowUsers: con este parámetro se indican los usuarios que podrán
conectarse al servidor. El resto tendrá vetado el acceso. La lista de
usuarios debe aparecer en la misma línea, con los nombres
separados por espacios (AllowUsers user1 user2).
· LoginGraceTime: número de segundos que tiene un usuario remoto
para hacer login en el servidor SSH.
· MaxAuthTries: número de intentos de que dispone el usuario remoto
para hacer login.
· MaxStartups: define el número máximo de usuarios que pueden
estar conectados simultáneamente al servidor SSH.
· AllowGroups: permitir a ciertos grupos (/etc/group) hacer login
utilizando SSH.
· DenyGroups: deshabilita la opción que permite que los grupos hagan
login (/etc/groups).
· DenyUsers: impide que los usuarios hagan login.
· AllowHosts: permite ciertos hosts; al resto, se les denegará el
acceso.
· DenyHosts: bloquea ciertos hosts; al resto, se les permitirá el
acceso.
· IdleTimeout time: tiempo en minutos/horas/días/etcétera que fuerza
un logout al hacer un SIGHUP del proceso.
PermitRootLogin no
AllowUsers user101 user102
AllowUsers fulano@10.1.1.1 mengano@10.1.1.1 fulano@10.2.2.1 mengano@10.2.2.1
DenyUsers user114 user115
/etc/hosts.deny$ cat /etc/hosts.deny## hosts.deny This file describes the names of the hosts which are# *not* allowed to use the local INET services, as decided# by the '/usr/sbin/tcpd' server.## The portmap line is redundant, but it is left to remind you that# the new secure portmap uses hosts.deny and hosts.allow. In particular# you should know that NFS uses portmap!
sshd: all
Archivo Parámetros más importantes
/etc/ssh/ssh_config
1. Port 22: se ejecuta en el puerto 22.
2. ListenAddress 0.0.0.0: escucha en todos los interfaces.
3. HostKey /etc/ssh/ssh_host_key: dónde se encuentra la llave del host.
4. RandomSeed /etc/ssh/ssh_random_seed: dónde se encuentra la
simiente aleatoria.
5. ServerKeyBits 768: cuánto tiempo se mantiene la clave del servidor.
6. LoginGraceTime 300: cuánto tiempo se dispone para registrarse.
7. KeyRegenerationInterval 3600: cada cuánto tiempo se regeneran las
claves del servidor.
8. PermitRootLogin no: permitir que root haga login.
9. IgnoreRhosts yes: ignorar los ficheros .rhosts de los usuarios.
10. StrictModes yes: para asegurarse de que los usuarios no se exceden.
11. QuietMode no: si se indica yes, no hace log de nada. Si queremos
hacer log debemos indicar no.
12. XX11Forwarding no: Reenvio X11 desactivado.
13. PrintMotd yes: si se quiere mostrar el mensaje del día
14. KeepAlive yes: se asegura de que las sesiones se desconectan
correctamente.
15. SyslogFacility DAEMON: indica quién está haciendo el logging.
16. RhostsAuthentication no: la autenticación está usando rhosts o
/etc/hosts.equiv. No debe utilizarse este tipo de autenticación.
17. RSAAuthentication yes: permite autentificación RSA pura.
18. PasswordAuthentication yes: permite a los usuarios que utilicen su
login/contraseña habitual.
19. PermitEmptyPasswords no: no permite cuentas con contraseñas
vacías.
Debemos ir al archivo /etc/hosts.deny donde comprobaremos la configuracion y debemos editarlo para configurar un parametro :
$ cat /etc/hosts.deny
#
# hosts.deny This file describes the names of the hosts which are
# *not* allowed to use the local INET services, as decided
# by the '/usr/sbin/tcpd' server.
#
# The portmap line is redundant, but it is left to remind you that
# the new secure portmap uses hosts.deny and hosts.allow. In particular
# you should know that NFS uses portmap!
sshd: all (ALL:ALL)
sudo gedit /etc/hosts.deny
Debemos comprobar que este parámetro queda así activado para que ningun usuario pueda acceder con ssh:
ALL: ALL
En esta secion listamos el archivo para ver su configuración de el archivo /etc/hosts.allow y deberemos editarlo para poder introducir una ip de equipo que peuda conectarse a un rango de IPS:
/etc/hosts.allow$ cat /etc/hosts.allow
#
# hosts.allow This file describes the names of the hosts which are
# allowed to use the local INET services, as decided
# by the '/usr/sbin/tcpd' server.
#
sshd: 93.42.132.43 86.34.22.122
sudo gedit /etc/hosts.allow
Escribiendo estos parámetros en el fichero depende de lo que los administradores queramos hacer:
sshd: 192.168.0.10 # Permitir una dirección.
sshd: 192.168.0.* # Permitir todo el rango de la IP 192.168.0.1 a 192.168.0.255.
Esto se hace por que al modificar el archivo /etc/hosts.deny denegamos el permiso a todos los usuarios y en el fichero hosts.allow introducimos unas ips para que solo estos terminales puedan conectarse a nuestro servidor.
Para comprobar que esta bien hecho debemos ir a otro terminal y conectarnos por consola a ssh con un usuario agregado en el fichero hosts.allow del servidor.
Si esta bien se conecta y haciendo ls podremos movernos en el servidor.
Probamos con una direcion que no esta en el fichero hosts.allow y no podremos entrar.
No hay comentarios:
Publicar un comentario