Hoe om SSH brute-force aanvalle te voorkom? 'n Praktiese tutoriaal oor die konfigurasie van VPS-sleutelverifikasie met HestiaCP.

Meer as 90% van VPS-aanvalle is te wyte aan... SSH swak wagwoord brute-force aanvalAs jy steeds met 'n wagwoord by die bediener aanmeld, is dit net so gevaarlik soos om jou huissleutel aan die deur te laat hang.

In hierdie artikel sal ek jou stap vir stap lei om heeltemal te ontsnap aan die nagmerrie van brute-force wagwoordaanvalle. Ons sal kombineer... VPS versus PuTTY软件Hierdie tutoriaal gebruik die mees praktiese opdragreëlgereedskap om jou te help om jou SSH-sekuriteit na die hoogste vlak te verhef.

Waarom 'n sleutel in plaas van 'n wagwoord gebruik?

Maak nie saak hoe kompleks 'n wagwoord is nie, dit kan steeds met brute krag gekraak word. Hackers kan gereedskap gebruik om tienduisende wagwoordkombinasies per sekonde te probeer.

en 4096-bis RSA-sleutelIn teorie sou dit miljarde jare neem om te kraak. In vergelyking is 'n wagwoord soos 'n papierdeur, terwyl 'n sleutel 'n staalhek is.

Stap 1: Genereer SSH-sleutel

在 Linux Alternatiewelik, op macOS, kan jy direk 'n 4096-bis RSA-sleutelpaar genereer:

ssh-keygen -t rsa -b 4096

Druk Enter om die standaardpad te stoor. /root/.ssh/id_rsa.

Voer 'n wagwoord in (opsioneel), of druk eenvoudig Enter en los dit leeg.

Die stelsel sal twee lêers genereer:

• Privaat sleutel:id_rsa
• Publieke sleutel:id_rsa.pub

Dit is jou "slot" en "sleutel".

Stap 2: Konfigureer die publieke sleutel op die bediener

Plaas die publieke sleutel in die VPS se gelisensieerde gids:

cp ~/.ssh/id_rsa.pub ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

Maak seker die gids /root/.ssh/ 存在.

Op hierdie manier sal die bediener slegs jou publieke sleutel herken en nie meer op die wagwoord staatmaak nie.

Stap 3: Wysig die SSH-konfigurasielêer

Wysig die konfigurasielêer:

nano /etc/ssh/sshd_config

Verander die volgende parameters:

RSAAuthentication yes #RSA认证
PubkeyAuthentication yes #开启公钥验证
AuthorizedKeysFile .ssh/authorized_keys #验证文件路径
PasswordAuthentication no #禁止密码认证
PermitEmptyPasswords no #禁止空密码

Hierdie stap is van kardinale belang: deaktiveer wagwoordaanmelding heeltemal.

Stap 4: Herbegin die SSH-diens

Laat die konfigurasie onmiddellik in werking tree:

• CentOS7:

systemctl restart sshd

• Ubuntu / Debian:

systemctl restart ssh

Diens is bevestig om aan die gang te wees:

systemctl status sshd

Stap 5: Windows-gebruikers skakel die sleutel om met behulp van PuTTYGen.

As jy Windows gebruik, moet jy die privaat sleutel na PuTTY-formaat omskakel:

1. oop PuTTYGen
2. 点击 vrag laai id_rsa
3. 点击 Stoor privaat sleutel Stoor as .ppk
4. 在 PuTTY → Verbinding → SSH → Magtiging Kies hierdie .ppk 文件

Op hierdie manier kan jy veilig by jou VPS aanmeld met behulp van PuTTY.

Stap 6: Verifieer en verdedig teen brute-force-aanvalle

Bevestig dat die konfigurasie van krag is:

grep "Failed password" /var/log/auth.log

Die logboeke sal slegs die aanvaller se mislukte pogings wys, nie suksesvolle aanmeldings nie.

Verdere verdediging:

• saam Fail2Ban Blokkeer outomaties aanvallende IP's
• Verander die standaardpoort (bv. verander dit na 2222).
• Firewall laat slegs vertroude IP's toe

Hierdie drie tegnieke kan 'n hacker se pogings heeltemal dwarsboom.

opsomming

deur Genereer sleutel → Konfigureer publieke sleutel → Wysig sshd_config → Herbegin diens → PuTTY om sleutel om te skakel Hierdie stappe, jou HestiaCP ’n VPS kan die risiko van wagwoord-brute-force-aanvalle heeltemal uitskakel.

Die "Mislukte wagwoord"-inskrywings in daardie logboeke is bloot vergeefse pogings deur aanvallers en dui nie aan dat wagwoordverifikasie steeds geaktiveer is nie.

Gevolgtrekking: Sekuriteit is die lewenslyn van 'n bediener.

In die wêreld van inligtingsekuriteit is wagwoorde die kwesbaarste skakel. Die vervanging van wagwoorde met sleutels is nie net 'n tegnologiese keuse nie, maar ook 'n weerspieëling van verantwoordelikheid en wysheid.

Soos in die "Inligtingsekuriteitswitskrif" gesê: "Sekuriteit is nie 'n koste nie, maar 'n waarde."

So, neem aksie. Bevry jou VPS van die boeie van wagwoorde, en laat hackers se brute-force aanvalle vir ewig in die mislukte logboeke bly.