ubuntuusers.de

Hallo!

Ich möchte meine online Server besser absichern und möchte SSH nur von meiner IP zulassen. Damit ich mich aber nicht selber einmal aussperre, sollte nach einem Neustart SSH für alle IPs x Minuten möglich sein.

Wie würdet ihr das umsetzen?

Cronjob bei Serverstart startet ein Script, welches ich nach einem schnellen Login noch abbrechen kann? Das Script ermöglicht SSH für alle IPs nach dem Start und nach X Minuten sperrt er es wieder nur auf meine?

Danke!

Die erste Frage die mir dazu in den Sinn kommt. Hast du an deinem WAN eine Statische IP?

micneu schrieb:

Die erste Frage die mir dazu in den Sinn kommt. Hast du an deinem WAN eine Statische IP?

Ja natürlich. Sonst würde das nicht klappen ☺ Aber wenn sich nach Jahren die einmal ändert und ich "behirne" nicht das ich die Server auf die IP gesperrt habe, habe ich keinen Zugriff mehr.

Ich würde es "klassisch" lösen. ssh-Login nicht per Passwort sondern nur per passwortgesicherter Schlüsseldatei. Dann noch Root-Login verbieten. Das sollte reichen und keinen IP-Filter mehr benötigen.

Ansonsten Konfigurationsdatei per Cron-Job tauschen und ssh-Dienst neu laden. Ist aber mehr Security through obscurity.

Thomas_Do schrieb:

Ich würde es "klassisch" lösen. ssh-Login nicht per Passwort sondern nur per passwortgesicherter Schlüsseldatei. Dann noch Root-Login verbieten. Das sollte reichen und keinen IP-Filter mehr benötigen.

Ansonsten Konfigurationsdatei per Cron-Job tauschen und ssh-Dienst neu laden. Ist aber mehr Security through obscurity.

Danke. Aber bei Verlust der Datei würde ich mich auch aussperren. Das ist mir unsicher.

Systemd Timer Units. Die können beispielsweise OnBootSec als Auslöser nutzen. Oder auch die relative Zeit bezogen auf den Zeitpunkt, als die Service Unit zuletzt aktiviert wurde. Im Wiki:

• systemd/Timer Units

Die jeweils dazu gehörige Service Unit lässt sich dann so beschalten wie man selbst will. Der Fantasie sind da kaum Grenzen gesetzt.

Fohnbit schrieb:

Danke. Aber bei Verlust der Datei würde ich mich auch aussperren. Das ist mir unsicher.

Passwörter sind unsicher, Absicherung über Schlüsselpaare ist Standard für sichere SSH-Verbindungen. Hat man physikalischen Zugriff auf den Server oder kann ein "Rescue-System" starten sperrt man sich auch nicht aus.

Fohnbit schrieb:

Cronjob bei Serverstart startet ein Script, welches ich nach einem schnellen Login noch abbrechen kann? Das Script ermöglicht SSH für alle IPs nach dem Start und nach X Minuten sperrt er es wieder nur auf meine?

Du könntest mit dem cronjob oder besser mit einer timer-unit, X Minuten nach dem booten (oder nach aktiv werden der timer-unit) ein Script starten, dass eine iptables-Regel setzt die Zugriff auf dem lauschenden Port des sshd nur mit einer bestimmten source-IP-Adresse erlaubt.

Gleiches Problem habe ich derzeit mit dem VPN-Zugang ...

Gelöst habe ich das so ... Beispiel:

iptables -I WAN 1 -p udp --dport 1194 -m time --timestart 21:00 --timestop 8:00 -j DROP

iptables -I WAN 1 -m mac --mac-source 00:00:00:00:00:00 -j ACCEPT

Alternativ / zusätzlich kannst du den SSH-Zugang nur über VPN zulassen und den Port anders konfigurieren.

Das Ganze dann per crontab mit @reboot sleep 60, falls der Rechner mal einen Neustart macht.

🙄

EDIT

Alternativ zu der MAC kannst du einen DynDNS Account nutzen und diese IP freigeben oder zusätzlich mit der MAC nutzen.

Allerdings muss hier noch ein zusätzliches Script den DynDNS Account abfragen, die aktuelle IP ermitteln und die Regel dann entsprechend ändern.