تأمين SSH

SSH هو الباب الأمامي لخادمك، وتبدأ البرامج الآلية بمحاولة اختراقه خلال دقائق من اتصال الخادم بالإنترنت.

الإعدادات الموصى بها

في الملف /etc/ssh/sshd_config:

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
AllowUsers deploy

تحقق من صحة الإعدادات بـ sudo sshd -t، ثم نفّذ sudo systemctl reload ssh. أبقِ جلستك الحالية مفتوحة حتى ينجح تسجيل دخول جديد.

استخدم مفاتيح قوية

أنشئ مفاتيح Ed25519 واحمها بعبارة مرور:

ssh-keygen -t ed25519 -C "you@yourcompany.com"

واحذف مفاتيح من غادروا الشركة من الملف ~/.ssh/authorized_keys على كل خادم.

امنع محاولات التخمين

sudo apt install fail2ban

يحظر إعداده الافتراضي لـ SSH أي عنوان IP بعد محاولات فاشلة متكررة، ويمكنك متابعته بالأمر sudo fail2ban-client status sshd.

خطوات إضافية

• اشترط التحقق بخطوتين لـ SSH باستخدام وحدة TOTP.
• ضع SSH خلف شبكة VPN أو خادم وسيط، حتى لا يكون متاحًا للعامة أصلًا.