Hvordan forhindrer man SSH brute-force-angreb? En praktisk vejledning i konfiguration af VPS-nøglegodkendelse med HestiaCP.

Over 90% af VPS-angreb skyldes brute-force-angreb på svage SSH-adgangskoder . Hvis du stadig bruger en adgangskode til at logge ind på din server, er det lige så farligt som at lade din husnøgle hænge på døren.

Denne artikel vil guide dig trin for trin til helt at slippe af med mareridtet med brute-force adgangskodeangreb. Vi kombinerer en VPS med PuTTY -software ved hjælp af de mest praktiske kommandolinjevejledninger, der hjælper dig med at løfte din SSH-sikkerhed til det højeste niveau.

Hvorfor bruge en nøgle i stedet for en adgangskode?

Uanset hvor kompleks en adgangskode er, kan den stadig knækkes med brute force. Hackere kan bruge værktøjer til at afprøve titusindvis af adgangskodekombinationer i sekundet.

En 4096-bit RSA-nøgle ville teoretisk set tage milliarder af år at knække. Til sammenligning er en kryptering som en papirdør, mens en nøgle er en stålport.

Trin 1: Generer SSH-nøgle

Generer 4096-bit RSA-nøglepar direkte på Linux eller macOS:

ssh-keygen -t rsa -b 4096

Tryk på Enter for at gemme standardstien. /root/.ssh/id_rsa.

Indtast en adgangskode (valgfrit), eller tryk blot på Enter og lad feltet stå tomt.

Systemet vil generere to filer:

• Privat nøgle:id_rsa
• Offentlig nøgle:id_rsa.pub

Dette er din "lås" og "nøgle".

Trin 2: Konfigurer den offentlige nøgle på serveren

Placer den offentlige nøgle i VPS'ens licenserede mappe:

cp ~/.ssh/id_rsa.pub ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

Sørg for mappen /root/.ssh/ eksisterer.

På denne måde vil serveren kun genkende din offentlige nøgle og vil ikke længere være afhængig af adgangskoden.

Trin 3: Rediger SSH-konfigurationsfilen

Rediger konfigurationsfilen:

nano /etc/ssh/sshd_config

Rediger følgende parametre:

RSAAuthentication yes #RSA认证
PubkeyAuthentication yes #开启公钥验证
AuthorizedKeysFile .ssh/authorized_keys #验证文件路径
PasswordAuthentication no #禁止密码认证
PermitEmptyPasswords no #禁止空密码

Dette trin er afgørende: deaktiver login med adgangskode helt.

Trin 4: Genstart SSH-tjenesten

Få konfigurationen til at træde i kraft med det samme:

• CentOS7:

systemctl restart sshd

• Ubuntu / Debian:

systemctl restart ssh

Det er bekræftet, at tjenesten kører:

systemctl status sshd

Trin 5: Windows-brugere konverterer nøglen ved hjælp af PuTTYGen.

Hvis du bruger Windows, skal du konvertere den private nøgle til PuTTY-format:

1. 打开 PuTTYGen
2. 点击 Load belastning id_rsa
3. 点击 Gem privat nøgle Gem som .ppk
4. 在 PuTTY → Forbindelse → SSH → Godkendelse Vælg dette .ppk 文件

På denne måde kan du sikkert logge ind på din VPS ved hjælp af PuTTY.

Trin 6: Bekræft og forsvar dig mod brute-force-angreb

Bekræft at konfigurationen er aktiv:

grep "Failed password" /var/log/auth.log

Loggene viser kun angriberens mislykkede forsøg, ikke vellykkede logins.

Yderligere forsvar:

• Samarbejde Fail2Ban Bloker automatisk angribende IP-adresser
• Skift standardporten (f.eks. til 2222).
• Firewall tillader kun betroede IP-adresser

Disse tre teknikker kan fuldstændigt forpurre en hackers indsats.

for at opsummere

Ved at følge disse trin – generere en offentlig nøgle, konfigurere en offentlig nøgle, ændre sshd_config, genstarte tjenesten og konvertere nøglen ved hjælp af PuTTY – kan du fuldstændigt eliminere risikoen for brute-force adgangskodeangreb på din HestiaCP VPS.

Posterne "Mislykket adgangskode" i disse logfiler er blot forgæves forsøg fra angribere og indikerer ikke, at adgangskodegodkendelse stadig er aktiveret.

Konklusion: Sikkerhed er en servers livline.

I informationssikkerhedens verden er adgangskoder det mest sårbare led. At erstatte adgangskoder med nøgler er ikke blot et teknologisk valg, men også et udtryk for ansvarlighed og visdom.

Som det fremgår af "Hvidbogen om informationssikkerhed": "Sikkerhed er ikke en omkostning, men en værdi."

Så tag affære. Befri din VPS fra adgangskodernes lænker, og lad hackernes brute-force-angreb forblive for evigt i de mislykkede logfiler.