Защита SSH: fail2ban и смена порта

Любой сервер с публичным IP постоянно сканируется ботами, которые перебирают пароли SSH. Три простых меры резко снижают риск: автоматическая блокировка перебором (fail2ban), смена стандартного порта и вход по ключу вместо пароля.

fail2ban

fail2ban следит за логами и временно банит IP, с которых идут неудачные попытки входа.

apt update && apt install -y fail2ban

Создайте локальный конфиг /etc/fail2ban/jail.local (файл jail.conf не редактируют напрямую):

[sshd]
enabled = true
port = ssh
maxretry = 5
bantime = 1h
findtime = 10m

Перезапустите службу и проверьте статус:

systemctl restart fail2ban
fail2ban-client status sshd

В выводе будут видны текущие забаненные адреса и число неудачных попыток.

Смена порта SSH

Перенос SSH с порта 22 на нестандартный резко уменьшает поток автоматических атак. Откройте /etc/ssh/sshd_config и задайте новый порт:

Port 2222

Не закройте себе доступ

Прежде чем перезапускать sshd, обязательно откройте новый порт в firewall и разрешите его в панели. Иначе после рестарта вы потеряете доступ к серверу.

ufw allow 2222/tcp

Только после этого перезапускайте SSH:

systemctl restart ssh

Проверьте новый порт из ОТДЕЛЬНОГО терминала, не закрывая текущую сессию:

ssh -p 2222 root@IP

После успешной проверки можно удалить старое правило для порта 22.

Вход по ключу и отключение пароля

Самая надёжная защита — вход по SSH-ключу с полным отключением парольной аутентификации. Сначала настройте ключ по инструкции Подключение по SSH, затем в /etc/ssh/sshd_config:

PasswordAuthentication no
PermitRootLogin prohibit-password

Перезапустите SSH:

systemctl restart ssh

Осторожно

Отключайте пароль только после того, как убедились, что вход по ключу работает. Если доступ всё же потерян, сбросьте пароль root через веб-консоль в панели vm.pg19.su — см. Сброс пароля и Проблемы с SSH.

Что дальше

• Ограничить открытые порты — Firewall UFW
• Вопросы — поддержка PG19