sicherheit eines SSH zugangs von aussen

#1 hallo leute....

folgende aufgabe im blickwinkel sicherheit überprüfen

ssh zugang von aussen auf router erlauben, auf dem router (fli4l) läuft kein ssh, deshalb port_fw an firewall

mein rechner im internet (SSH) -> Fli4L router:50000 (hab mal port 50000 für SSH genommen)

da auf dem router kein SSH dienst läuft, lasse ich alle tcp pakete, die von aussen auf port 50000 des routers auflaufen an die firewall weiterleiten (netzaufbau siehe oben)

also in etwa so

internet SSH -> Fli:50000 port_fw_ssh -> Firewall:22

so
die fw ist ja nun per passwd. geschützt
leider ist somit aber schonmal ein hacker im sys, was sich aber nicht umgehen lässt für die anfangszeit, denn ich brauch den ssh zugang von aussen

ich will aber passwd. zugang von aussen deaktivieren bei SSH und nur public/private key authentifizierung zulassen

bringt evtl. ein kleines plus an mehr sicherheit

haltet ihr die lösung für vertretbar (für die anfangszeit)?
der router ist nur sporadisch online, also nicht permanent im netz

thx&greez

#2 Ist Ausreichend
Wobei ... wie hast du germerkt das du einen Hacker im Sys hast?
__________
http://linux.regionnet.de/ - http://www.pf-lug.de/ - http://www.4logistic.de/ - http://www.pfenz.de

#3 oh sorry

hatte mich falsch ausgedrückt

ich meinte, er ist somit schon auf der fw, wenn ich das port_fw modul auf dem router lade....

es kann ja jeder rein, erst ab der firewall wird er dann gekickt, weil er keinen gültigen key hat

ich hoffe nun ist es bissl verständlicher
greez

#4

Zitat

Emba postete
ich will aber passwd. zugang von aussen deaktivieren bei SSH und nur public/private key authentifizierung zulassen

Ich greife schon seit langem auf mein System via SSH zu, allerdings mit PW. Hast Du einen Link wie ich es ohne PW anstellen kann?

Thx.
__________
"Really, I'm not out to destroy Microsoft. That will just be a completely unintentional side effect." Linus Benedict Torvalds

#5 öhm greifst aus dem internen netz oder von aussen zu?

nen link?
nur google oder meine kurzanleitung incl. man (8)

sshkeygen
...

es werden 2 keys erzeugt
(default: id_rsa und id_rsa.pub wenn ich mich recht erinner)

id_rsa darf nur von dem user (=besitzer) gelesen werden (=>chmod 400 id_rsa)

id_rsa.pub wird auf den server in /"user"/.ssh kopiert ("user" = der user, der von fern zugreifen will mittels ssh -l kommando)

in diesem verzeichnis
touch authorized_keys
cat id_rsa.pub >> authorzied_keys
rm id_rsa.pub

evtl. noch sshd.conf anpassen (passw. login deaktivieren,...siehe manpages)

greez

#6 Greife aus meinem Office von Zeit zu Zeit ueber das Internet auf meinen HomeRechner zu um verschiedene Dinge zu kontrollieren. Muss der Client da noch was haben? Ich habe bislang nichts gefunden was mir die Funktionsweise im Detail erklaert. Es ist schon suspect ohne PW auf ein System zugreifen zu koennen

Client: Putty (XP), Server SUSE LInux
__________
"Really, I'm not out to destroy Microsoft. That will just be a completely unintentional side effect." Linus Benedict Torvalds

#7 ach putty
da musst die keys, die du auf dem putty client via putty-gen krierst noch importieren und anpassen

bei mir hatte das damals nicht richtig geklappt, ich habs auch nicht nochmal versucht

es gibt jedenfalls eine option, dem ssh server den puttykey "koform" zu machen (man(8))

greez

#8 Ok. RtF

Anyhow: Hast Du einen Link auf eine Funtionsprinzipseite? So wie ich ueberall gelesen habe ist SSH sicher - nur moechte ich einfach verstehen was da abgeht...
__________
"Really, I'm not out to destroy Microsoft. That will just be a completely unintentional side effect." Linus Benedict Torvalds

#9 http://www.systems.uni-konstanz.de/SSH.php3
http://www.ap.univie.ac.at/security/soft_ssh_funktion.html

sollte erstmal reichen oder?

#10 Emba, besten Dank.

Die Suchmaschinen sind zwar nuetzlich - doch bei sehr verbreiteten Themen ist es schon eine Kunst die richtigen Queries zu finden

Jetz haben wir endlich wieder was zum Lesen
__________
"Really, I'm not out to destroy Microsoft. That will just be a completely unintentional side effect." Linus Benedict Torvalds

#11 hallo zusammen,

wer sehr tief in ssh einsteigen will, möchte, muss, sollte sich das
buch von oreilly "ssh secure shell" besorgen. dies kann ich uneinge-
schränkt empfehlen.
hab bis dato kein besseres buch zu desem thema in den händen gehabt.


so looooooooooooong .............

markus rath
__________
Das Leben ist zwar bloß ein Adventure-Game, aber die Grafik ist verdammt gut.

#12 /etc/ssh/sshd_*

SKeyAuthenication no
PermitEmptyPassword yes

mfg p2k
__________
http://linux.regionnet.de/ - http://www.pf-lug.de/ - http://www.4logistic.de/ - http://www.pfenz.de