SSH auf anderem Port laufen lassen?
Kann man ssh auf einem anderen bzw. höheren Port als 22 laufen lassen, wenn ja wie und wäre es sinnvoll, da ja 22 der standart port ist und wenn der port höher wäre man nicht direkt denkt das man sich mit ssh einloggen kann.
5 Antworten
Klar geht das, es bringt aber nur was um Bot traffic zu reduzieren.
Jeder der deinen Server ernsthaft angreifen will wird einen offenen SSH Port finden, dauert dann halt nur minimal länger. Aber ist eventuell wegen weniger Müll Traffic dann angenehmer die Logs zu checken.
Grundsätzlich würde ich SSH Keys nutzen, keine Password auth. Solange du die nicht irgendwie ausversehen leakst oder dein Client Gerät infiziert wird ist das sicher.
Ich persönlich mach es so für Interne Sachen ist 22 offen und auf direkt aus dem Internet erreichbare Server / IPs wird dann halt n anderen Port genommen.
Funktioniert schon, wir haben zB bei einigen Servern den Port 2233 aber das ist natürlich keinerlei Sicherheit sondern sperrt quasi nur automatische Skripts aus.
Die Einstellungen dazu findest du in /etc/ssh/sshd_config
Jein. Wie gesagt gegen gezielte Angriffe bringts nichts nur eben gegen irgendwelche automatischen Skripts, die aber idR keine Bedrohung darstellen sofern du ein aktuelles System nutzt.
Du musst hald wenn du das machst immer explizit den Port dazu mitangeben, also es ist beim arbeiten mehr aufwand. Ob sich das für dich lohnt oder nicht musst du entscheiden.
Es erhöht wie gesagt die Gesamtsicherheit kaum.
In /etc/ssh/sshd_config kannst du die Port-Einstellung auskommentieren und die Portnummer ändern:
Danach speichern und den SSH-Server mit sudo systemctl restart sshd neu starten.
Es hat sicherlich einen Sinn, mittels Portscanning kann der Port aber natürlich trotzdem gefunden werden.
Sicher bist du wirklich nur, wenn du auch ein sicheres Passwort verwendest oder sogar 2FA eingerichtet hast.
Wie funktioniert ssh mit 2FA kenn es nur mit passwort oder mit public/private key sich einzuloggen.
Hier eine sehr gute und einfache Anleitung für Ubuntu Server. Wenn du etwas auf Debian-basiertes verwendest, sollte dies auch so funktionieren. https://ubuntu.com/tutorials/configure-ssh-2fa#1-overview
Über PAM kann man alles mögliche nutzen um sich zu authentifizieren, aber im Gegensatz zu der Antwort würde ich einfach zu ed25519 oder starken RSA keys raten und Password Auth deaktivieren.
Solange du deine Keys vernünftig verwaltest reicht das eigentlich aus. Man kann natürlich schon 2fa nutzen wenn man möchte, ist aber nur sinnvoll wenn die Secrets dafür wirklich auf einem anderen Gerät liegen.
RSA Keys sind natürlich auch eine gute Alternative. Da ist einfach das Problem, wenn diese irgendwie in die falsche Hand geraten. Theoretisch kann man ja auch 2FA in Kombination mit SSH Keys oder beliebigen anderen Methoden nutzen.
Bringt dir nicht viel. Man findet den Port dann vielleicht bei Standard-Portscans nicht, doch an sich ist der immernoch vorhanden. Verkompliziert im Regelfall die Nutzung, wenn du bei anderen Programmen immer erst den passenden Port angeben musst.
Die Idee ist gut und auch empfehlenswert. So geht's: https://www.cyberciti.biz/faq/howto-change-ssh-port-on-linux-or-unix-server/
Es ist aber auch keine Hürde, weitere Ports anzupingen. Das wird idR. auch gemacht. Den Port ändern alleine reicht mir nicht.
Wäre es trotzdem sinnvoll?