SSH-Zugriffe für unberechtigte sperren

a) Lesen Sie den Header - Bereich folgender Datei:

/etc/hosts.deny

b) Lesen Sie das gesammten Artikel, bevor Sie etwas falsch machen und sich selber aussperren!

c) Ermitteln Sie Ihre eigene IP-Adresse, sofern statisch - oder ermitteln Sie die IP-Areas, die Sie bei dynamischen DSL-Anschlüssen zugewiesen bekommen ---> weitere Doku hier

d) Beachten Sie, ein Ausloggen aus Ihrer SSH-Sitzung oder das Rebooten Ihres Servers - vor dem Finale-Test kann zur gänzlichen Aussperrung führen!

e) Editieren Sie zuerst Ihre Datei /etc/hosts.allow

Tragen Sie hier die von Ihnen erlaubten IPs (ggf. sogar ein Neben-Server) ein, der generell via SSH auf Ihren Server zugreifen darf:

Eintrag sieht wie folgt aus:
SSH: [Ihre TCP-IP]/[Segementierung]

Beispiele:
SSH: ALL
alle dürfen zugreifen
SSH: 175.120.123.1
nur der Computer mit der TCP/IP darf zugreifen
SSH: 175.120.0.0/255.255.0.0
alle Computer, deren IP mit 175.120 beginnt, dürfen zugreifen
SSH: 175.120.1.0/255.255.255.0 173.130.0.0/255.255.0.0
alle Computer, deren IP mit 175.120.1 ODER mit 173.130 beginnen, dürfen via SSH zugreifen

f) Ändern Sie nun Ihre hosts.deny ab (Sicherheitstest nicht vergessen - nun wirds spannend)

SSH: ALL
alle Computer, die via SSH zugreifen wollen, werden abgewiesen, es sei denn, sie sind expleziet in hosts.allow eingetragen.

g) Sicherheitstest durchführen:

Sie starten nun in einem neuen Fenster eine neue Sitzung zu Ihrem Server via SSH und prüfen aus, ob Sie sich erneut via SSH einloggen können. War dies ok, empfehlen wir Ihnen, den Test von einer gänzlich unabhängigen Verbindung z.B. durch einen Freund aus Deutschland testen zu lassen - aber vorsicht: er benötigt keine User-und Passwort-Informationen, sondern es reicht, wenn Sie die Aufforderung erhalten, Ihr User-Namen eingeben zu können und Ihr Freund erhält in ungefähr die Information: "connection by host refused" - Waren diese Tests einwandfrei, dann und nur dann dürfen Sie sich aus dem ersten Sitzungsfenster ausloggen oder Ihren Server neu starten! Es empfiehlt sich immer, ggf. eine weitere Hintertür z.B. einen anderen Server in die Liste mit aufzunehmen, unter der Sie noch Zugriff erhalten!