как настроить SSH без пароля по ключу и закрыть брутфорс

[seniorwarlock]

Поднял VPS, сразу в auth.log увидел тысячи попыток брутфорса на root по SSH. Хочу нормально закрыть: настроить вход только по ключу, отключить root login и вообще заблокировать левые IP. Знаю что это базовые вещи, но хочу сделать правильно и не отрезать себя от сервера в процессе. Подскажите последовательность действий.

[middleoverflow]

Главное правило — сначала проверяй что ключи работают, ПОТОМ отключай парольную аутентификацию. Порядок такой: 1) генеришь ключ на локалке (ssh-keygen -t ed25519), 2) копируешь на сервер (ssh-copy-id user@server), 3) проверяешь что заходишь по ключу в отдельном терминале НЕ закрывая текущую сессию, 4) только после этого меняешь sshd_config.

[asyncmonk]

Вот что менять в /etc/ssh/sshd_config:
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
AuthorizationKeysFile .ssh/authorized_keys
Port 2222

Смену порта со стандартного 22 на что-то нестандартное резко снижает шум в логах — не безопасность сама по себе, но жить приятнее. После изменений: systemctl reload sshd, и обязательно проверь в новом терминале перед тем как закрыть старый.

[svelte88]

Для блокировки брутфорса ставь fail2ban — это стандарт де-факто. Устанавливается из пакетов, конфиг минимальный:

apt install fail2ban

Создай /etc/fail2ban/jail.local:
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600
findtime = 600

Это будет банить на час любой IP с 3 неудачными попытками за 10 минут. Проверить статус: fail2ban-client status sshd — увидишь счётчики и забаненные IP.

[Omoto]

Дополнительно стоит настроить ufw если ещё не сделал:
ufw default deny incoming
ufw default allow outgoing
ufw allow 2222/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable

Если знаешь свой домашний IP — можно разрешить SSH только с него: ufw allow from 1.2.3.4 to any port 2222. Но тогда при смене IP сам себя заблокируешь — держи в уме.

[mitkof]

Ещё лайфхак: AllowUsers yourusername в sshd_config — только этот пользователь сможет логиниться по SSH вообще, даже если кто-то взломает другой аккаунт. Плюс настрой ClientAliveInterval 300 и ClientAliveCountMax 2 — будет отключать зависшие сессии через 10 минут.

[ralph42]

Про ed25519 vs RSA: ed25519 — современный стандарт, короче, быстрее, безопаснее. Если по какой-то причине нужен RSA — минимум 4096 бит. Старые ключи на 1024/2048 RSA пора выбрасывать.

[rupaniii]

Добавлю грабли, на которые сам недавно наступил: на свежих Ubuntu sshd запускается через systemd socket activation, и Port в sshd_config просто игнорируется. Менял порт, делал reload — а он упорно слушает 22. Лечится либо через systemctl edit ssh.socket, либо отключением сокета и включением классического сервиса. Полчаса жизни ушло, пока понял, что конфиг тут вообще ни при чём.

[archmaster]

@asyncmonk, со сменой порта на 2222 есть нюанс: это непривилегированный порт, и если sshd вдруг упадёт, его сможет занять любой локальный процесс без рута. Если уж переносить — лучше в диапазон до 1024. И второе: после смены порта надо не забыть поправить port в fail2ban-джейле, иначе он будет старательно охранять 22, а весь брут пойдёт на 2222 мимо него.

[jennifer26]

@svelte88, конфиг рабочий, но на Debian 12 без rsyslog файла /var/log/auth.log вообще нет — всё уходит в journald, и fail2ban с таким logpath молча сидит с нулевыми счётчиками. Нужно добавить в jail.local строку backend = systemd, тогда он читает журнал напрямую. Сам однажды неделю жил с «настроенным» fail2ban, который не забанил ни одного IP.