SSH sıkılaştırma: Ubuntu ve Debian'da OpenSSH'yi kilitleyin

Yeni bir sunucuyu güvenli hale getirmek root ve şifre girişlerini zaten kapatır. Bu rehber daha ileri gider: kimlerin giriş yapabileceğini, kaç deneme hakkı olduğunu, boştaki oturumların ne kadar yaşayacağını sınırlar, SSH'yi güvenle başka bir porta taşır ve isteğe bağlı iki aşamalı doğrulama ekler. Komutlar Ubuntu 24.04/26.04 ve Debian 12/13 içindir.

1. adım: Bir ek yapılandırma dosyası yazın

OpenSSH her seçenek için okuduğu ilk değeri kullanır ve Ubuntu ile Debian, /etc/ssh/sshd_config.d/*.conf dosyalarını ana dosyanın geri kalanından önce okur. Tüm ayarlarınızı alfabede önce gelen tek bir dosyaya koyun:

sudo nano /etc/ssh/sshd_config.d/00-hardening.conf

# Kimler, nasıl giriş yapabilir
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
AllowUsers alex

# Daha az deneme, daha kısa bekleme
MaxAuthTries 3
LoginGraceTime 30

# Boştaki veya kopmuş oturumları kapat
ClientAliveInterval 300
ClientAliveCountMax 2

# Çoğu sunucunun ihtiyaç duymadığı özellikler
X11Forwarding no
AllowAgentForwarding no

AllowUsers, giriş yapabilecek hesapları listeler; birden fazlasını boşlukla ayırın ya da sshusers gibi bir grupla AllowGroups kullanın. Agent yönlendirmeyi bilerek kullanıyorsanız AllowAgentForwarding no satırını eklemeyin.

2. adım: Kontrol edin ve uygulayın

sudo sshd -t
sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication|allowusers|maxauthtries'
sudo systemctl restart ssh

sshd -t hiçbir şey yazdırmamalıdır. sshd -T geçerli değerleri gösterir; biri yazdığınız gibi değilse başka bir dosya onu önce ayarlıyordur.

Doğrulama: alex olarak yeni bir giriş çalışır; başka herhangi bir kullanıcıyla giriş Permission denied ile reddedilir.

3. adım: Portu güvenle değiştirin (isteğe bağlı)

Farklı bir port yalnızca kayıt gürültüsünü azaltır; yine de istiyorsanız bu sırayla yapın. SSH taşınmadan önce yeni porta güvenlik duvarında izin verin:

sudo ufw allow 2222/tcp

Portu ek dosyanıza ekleyin:

Port 2222

Uygulayın:

sudo sshd -t
sudo systemctl daemon-reload
sudo systemctl restart ssh.socket

sudo sshd -t
sudo systemctl restart ssh

Doğrulama: sudo ss -tlnp | grep 2222 dinleyiciyi gösterir ve yeni bir terminalden ssh -p 2222 [email protected] çalışır. Ancak bundan sonra eski kuralı kaldırın: sudo ufw delete allow OpenSSH.

4. adım: Donanım destekli bir anahtar kullanın (isteğe bağlı)

Bir FIDO2 güvenlik anahtarıyla, cihazı ve dokunmayı, verify-required ile de PIN'ini gerektiren bir anahtar oluşturun:

ssh-keygen -t ed25519-sk -O verify-required

Açık anahtarı her zamanki gibi authorized_keys dosyasına ekleyin. Cihaz kaybolursa diye ikinci bir anahtar veya bir konsol bulundurun.

5. adım: Tek kullanımlık kod ekleyin (isteğe bağlı)

Zamana dayalı kodlar anahtarın üzerine ikinci bir faktör ekler. PAM modülünü kurun ve kendi kullanıcınızla (root değil) ayarlayın:

sudo apt install libpam-google-authenticator
google-authenticator

Soruları yanıtlayın, QR kodu doğrulama uygulamanızla okutun ve acil durum kodlarını güvenle saklayın. Ardından /etc/pam.d/sshd dosyasına şu satırı ekleyin:

auth required pam_google_authenticator.so

Ek dosyanızda KbdInteractiveAuthentication no değerini yes yapın ve iki faktörü birden zorunlu kılın:

KbdInteractiveAuthentication yes
AuthenticationMethods publickey,keyboard-interactive

SSH'nin hesap şifresini değil yalnızca kodu sormasını istiyorsanız /etc/pam.d/sshd içindeki @include common-auth satırını yorum satırı yapın. sudo sshd -t ile kontrol edin ve SSH'yi yeniden başlatın.

Doğrulama: yeni bir giriş önce anahtar parolasını, ardından bir Verification code sorar. Diğer oturumunuzu kapatmadan önce test edin.

6. adım: Kayıtları izleyin

sudo journalctl -u ssh --since today | grep -E 'Accepted|Failed|Invalid'

Accepted publickey for alex satırları sizin girişlerinizdir; her kaynak adresi tanıdığınızı kontrol edin. Rastgele adreslerden gelen çok sayıda Invalid user satırı olağan arka plan taramasıdır ve bu ayarlarla zararsızdır. Tekrarlayan denemeleri otomatik engellemek için Fail2ban ve CrowdSec rehberine bakın.

Sorun giderme

2. adımdan sonra kendi kullanıcınıza Permission denied. AllowUsers içindeki ad eşleşmiyor ya da kullanıcı farklı bir adla giriş yapıyor. Dosyayı açık oturumunuzdan düzeltin.

Yeni port Ubuntu'da yanıt vermiyor. Oluşturucuyu ve soketi yeniden yüklemek yerine ssh'yi yeniden başlattınız. sudo systemctl daemon-reload ve sudo systemctl restart ssh.socket çalıştırın.

İki aşamalı doğrulama istemi hiç görünmüyor. KbdInteractiveAuthentication önceki bir dosyada hâlâ no ya da UsePAM kapalı. sudo sshd -T | grep -E 'kbdinteractive|usepam|authenticationmethods' ile kontrol edin.

Erişiminiz kesildi. Konsolu kullanın ve güvenlik duvarı değişikliğinden sonra erişimi kaybetmek rehberini izleyin.

Sonraki adımlar

• Tekrarlanan denemeleri engelleyin: Fail2ban ve CrowdSec.
• Bağlantı hatalarını çözün: SSH bağlantı sorunları.