Entwicklungsumgebung/SSH Server: Unterschied zwischen den Versionen

Aus Delixs
Zur Navigation springen Zur Suche springen
(Installation)
(fertig)
Zeile 3: Zeile 3:




=== SSH-Server ===
== SSH-Server ==


=== Installation von SSH ===
=== Installation von SSH ===


Haben Sie später einmal keinen ständigen direkten Zugang zu Ihrem Server, müssen Sie diesen sinnvoller Weise fernwarten können. SSH - '''Secure SHell''' - ist das Mittel dafür. Wir werden den freien OpenSSH installieren und verwenden.
Haben Sie später einmal keinen ständigen direkten Zugang zu Ihrem Server, müssen Sie diesen sinnvoller Weise fernwarten können. Solche Verbindungen aus der Ferne sollten aber grundsätzlich verschlüsselt werden. SSH - die '''Secure SHell''' - ist das Mittel dafür. Wir werden den freien OpenSSH installieren und verwenden.


Installieren Sie das Metapakt, bestehend aus '''openssh-server''', '''openssh-client''' und '''openssh-blacklist''' mit dem Befehl:
Installieren Sie das Metapakt, bestehend aus '''openssh-server''', '''openssh-client''' und '''openssh-blacklist''' mit dem Befehl:
Zeile 13: Zeile 13:
  aptitude install ssh
  aptitude install ssh


Testen Sie nun, indem Sie sich als Nutzer direkt am SSH-Server anmelden.
:[[Bild:SSH-client1.PNG|ssh-Anmeldung]]
:''Abbildung: ssh-Anmeldung''
Die ssh-Anmeldung passiert als Nutzer "sysadm" direkt am eigenen Rechner "localhost" mittels:
  ssh sysadm@localhost
wobei Sie bei der allerersten Anmeldung gefragt werden, ob der key akzeptiert werden soll. Beantworten Sie diese Frage mit "yes" (ausgeschrieben) und dem vergebenen Passwort. Abmelden können Sie sich mittels "exit" später wieder.
Ist diese Anmeldung erfolgreich verlaufen, arbeiten sowohl ssh-client als auch ssh-Server wie gewünscht.


Oft finden Sie noch 3-DES als Standardalgorithmus vor, der zwar sicher aber auch sehr langsam ist. Schnellere Algorithmen, wie AES oder Blowfish sind daher vorzuziehen.
Oft finden Sie noch 3-DES als Standardalgorithmus vor, der zwar sicher aber auch sehr langsam ist. Schnellere Algorithmen, wie AES oder Blowfish sind daher vorzuziehen.
Zeile 19: Zeile 32:




=== Konfiguration von SSH ===
== Konfiguration von SSH ==


Es gibt mehrere Dateien zur Konfiguration von SSH:
Es gibt mehrere Dateien zur Konfiguration von SSH:
Zeile 26: Zeile 39:
* '''/etc/ssh/ssh_config''' - die globale Konfiguration des SSH-Clients
* '''/etc/ssh/ssh_config''' - die globale Konfiguration des SSH-Clients
* '''~/.ssh/config''' - die lokale Konfiguration des SSH-Clients
* '''~/.ssh/config''' - die lokale Konfiguration des SSH-Clients
* '''~/.ssh/known_hosts''' - die akzeptierten public-Keys des SSH-Clients
=== SSH-Client ===
Das Verzeichnis ".ssh" wird durch den ssh-Client automatisch bei der ersten Anmeldung mittels ssh erstellt. Darin befindet sich die Datei "known_hosts", in die auch automatisch alle von Ihnen akzeptierten public-Keys gespeichert werden.
Solange keine Datei "config" im Verzeichnis ".ssh" eines Nutzers existiert, wird automatisch die globale Konfiguration verwendet. Eine angepasste eigene Konfiguration für einen Nutzer können Sie ganz einfach durch kopieren der Datei "/etc/ssh/ssh_config" als "~/.ssh/config" erzeugen und diese dann nach eigenen Wünschen verändern.
'''Hinweis:''' Diese Clienteinstellungen werden Sie später brauchen, um sich vom delixs-Server aus auf anderen Server anmelden zu können.
=== SSH-Server ===
Die Einstellungen für den SSH-Server finden Sie in der Datei "/etc/ssh/sshd_config". Einige ausgewählte Einstellungen für den SSH-Server sind:
* Port 22 - der Port, auf dem der Server hört,
* Protocol 2 - Das Protokoll SSH-Version-2 kurz SSHv2, nutzen Sie keinesfalls mehr SSHv1,
* LoginGraceTime 30 - Die Zeit in Sekunden, in der ein Anmeldeversuch abgeschlossen werden muss,
* PermitRootLogin no - der Nutzer root darf sich nicht direkt anmelden,
* PermitEmptyPasswords no - Nutzer ohne Passwort dürfen sich nicht anmelden
* UsePAM yes - Die Authentifizierung erfolgt über PAM


In die Datei "/etc/ssh/sshd_config" kommen noch 2 Einträge zum sperren von massenhaften Anmeldeversuchen und das Verbot einer direkten "root"-Anmeldung:
In die Datei "/etc/ssh/sshd_config" kommen noch 2 Einträge zum sperren von massenhaften Anmeldeversuchen und das Verbot einer direkten "root"-Anmeldung:
Zeile 40: Zeile 73:
   /etc/init.d/ssh restart
   /etc/init.d/ssh restart


 
'''Zusatz:''' Den Anmeldetext können Sie auch frei verändern. Er ist in der Datei "/etc/motd" abgelegt.





Version vom 10. Dezember 2008, 23:24 Uhr

ZumTest Nach Meinung des Autors ist diese Seite fertig. Es wäre schön, wenn ausgiebige Tests durch viele Nutzer eventuell noch vorhandene Fehler beseitigen helfen.


SSH-Server

Installation von SSH

Haben Sie später einmal keinen ständigen direkten Zugang zu Ihrem Server, müssen Sie diesen sinnvoller Weise fernwarten können. Solche Verbindungen aus der Ferne sollten aber grundsätzlich verschlüsselt werden. SSH - die Secure SHell - ist das Mittel dafür. Wir werden den freien OpenSSH installieren und verwenden.

Installieren Sie das Metapakt, bestehend aus openssh-server, openssh-client und openssh-blacklist mit dem Befehl:

aptitude install ssh

Testen Sie nun, indem Sie sich als Nutzer direkt am SSH-Server anmelden.

ssh-Anmeldung
Abbildung: ssh-Anmeldung


Die ssh-Anmeldung passiert als Nutzer "sysadm" direkt am eigenen Rechner "localhost" mittels:

 ssh sysadm@localhost

wobei Sie bei der allerersten Anmeldung gefragt werden, ob der key akzeptiert werden soll. Beantworten Sie diese Frage mit "yes" (ausgeschrieben) und dem vergebenen Passwort. Abmelden können Sie sich mittels "exit" später wieder.

Ist diese Anmeldung erfolgreich verlaufen, arbeiten sowohl ssh-client als auch ssh-Server wie gewünscht.

Oft finden Sie noch 3-DES als Standardalgorithmus vor, der zwar sicher aber auch sehr langsam ist. Schnellere Algorithmen, wie AES oder Blowfish sind daher vorzuziehen.

Von DES ist abzuraten, weil er inzwischen innerhalb weniger Sekunden geknackt werden kann. Unser SSH muss also noch konfiguriert werden.


Konfiguration von SSH

Es gibt mehrere Dateien zur Konfiguration von SSH:

  • /etc/ssh/sshd_config - die Konfiguration des SSH-Servers
  • /etc/ssh/ssh_config - die globale Konfiguration des SSH-Clients
  • ~/.ssh/config - die lokale Konfiguration des SSH-Clients
  • ~/.ssh/known_hosts - die akzeptierten public-Keys des SSH-Clients

SSH-Client

Das Verzeichnis ".ssh" wird durch den ssh-Client automatisch bei der ersten Anmeldung mittels ssh erstellt. Darin befindet sich die Datei "known_hosts", in die auch automatisch alle von Ihnen akzeptierten public-Keys gespeichert werden.

Solange keine Datei "config" im Verzeichnis ".ssh" eines Nutzers existiert, wird automatisch die globale Konfiguration verwendet. Eine angepasste eigene Konfiguration für einen Nutzer können Sie ganz einfach durch kopieren der Datei "/etc/ssh/ssh_config" als "~/.ssh/config" erzeugen und diese dann nach eigenen Wünschen verändern.

Hinweis: Diese Clienteinstellungen werden Sie später brauchen, um sich vom delixs-Server aus auf anderen Server anmelden zu können.

SSH-Server

Die Einstellungen für den SSH-Server finden Sie in der Datei "/etc/ssh/sshd_config". Einige ausgewählte Einstellungen für den SSH-Server sind:

  • Port 22 - der Port, auf dem der Server hört,
  • Protocol 2 - Das Protokoll SSH-Version-2 kurz SSHv2, nutzen Sie keinesfalls mehr SSHv1,
  • LoginGraceTime 30 - Die Zeit in Sekunden, in der ein Anmeldeversuch abgeschlossen werden muss,
  • PermitRootLogin no - der Nutzer root darf sich nicht direkt anmelden,
  • PermitEmptyPasswords no - Nutzer ohne Passwort dürfen sich nicht anmelden
  • UsePAM yes - Die Authentifizierung erfolgt über PAM

In die Datei "/etc/ssh/sshd_config" kommen noch 2 Einträge zum sperren von massenhaften Anmeldeversuchen und das Verbot einer direkten "root"-Anmeldung:

 MaxAuthTries 4
 LoginGraceTime 30
 PermitRootLogin no

Um dennoch als "root" aus der Ferne arbeiten zu können, melden Sie sich mit einer anderen Nutzerkennung an und werden danach mittels Befehl su - zum root.


Damit alle geänderten Einstellungen übernommen werden, starten Sie noch den SSH-Server neu:

 /etc/init.d/ssh restart

Zusatz: Den Anmeldetext können Sie auch frei verändern. Er ist in der Datei "/etc/motd" abgelegt.


Weblinks



zurück | Hauptseite