ログイン確認

良からぬログイン試行されてない？

$ sudo lastb
username ssh:notty    hogehogehogeho.a Sun Sep 18 19:44 - 09:44  (00:00)
username ssh:notty    hogehogehogeho.a Sun Sep 18 19:39 - 09:39  (00:00)

某大陸あたりから手当たり次第に大量のログイン試行されてて鬱陶しいことがあります。
どうやらとりあえずストレートにport22を狙ってきてる様子。

Port変更とroot無効化

とりあえず手取り早い対策としてrootでのログイン無効化とSSHのPortを換えてしまいましょう。

$ sudo vi /etc/ssh/sshd_config

/etc/ssh/sshd_config

# ポート2222に変更する場合
Port 2222

...中略...

PermitRootLogin no

SE Linux対策

必要な人のみ。

$ getenforce
Enforcing

となってる場合は以下の実施が必要。でないと設定したポート番号でdaemonがlistenできず、起動しなくなります。

semanageコマンドが使えない場合は予めインストールしておきます。

 sudo yum install -y policycoreutils-python

TCPポート2222をオブジェクトタイプssh_port_tに

 sudo semanage port -a -t ssh_port_t -p tcp 2222

Deaemon再起動

daemon再起動して、2222/tcpがListenしていることを確認します。

$ sudo systemctl restart sshd
$ ss -ltn
State      Recv-Q Send-Q Local Address:Port               Peer Address:Port     
LISTEN     0      100    127.0.0.1:25                       *:*                 
LISTEN     0      128          *:2222                     *:*
LISTEN     0      100        ::1:25                      :::*
LISTEN     0      128         :::2222                    :::*

firewall

$ sudo firewall-cmd --add-port=2222/tcp --permanent
$ sudo firewall-cmd --remove-service=ssh --permanent
$ sudo firewall-cmd --reload
$ sudo firewall-cmd --list-all
public (default, active)
  interfaces: eth0
  sources:
  services: dhcpv6-client
  ports: 2222/tcp
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

sshdのポート変更せずにfirewalldでポート転送する（お手軽）

2016/11/23追記

sshdのポートは22のままで、2222/tcpなどのアクセスを22/tcpに転送します。
外からみれば22は塞がれているので、ポート変更と同じ効果がありますが、sshdがlistenするポートは変わらないので、SELinux対策も不要。

また、publicでないzoneからはそのまま22/tcpを利用することも可能で、柔軟に対応できるのでこっちのほうがオススメかも。

firewalldを設定

$ sudo firewall-cmd --add-forward-port=port=2222:proto=tcp:toport=22 --permanent
$ sudo firewall-cmd --remove-service=ssh --permanent
$ sudo firewall-cmd --reload
$ sudo firewall-cmd --list-all
public (default, active)
  interfaces: eth0
  sources:
  services: dhcpv6-client
  ports:
  masquerade: no
  forward-ports: port=2222:proto=tcp:toport=22:toaddr=
  icmp-blocks:
  rich rules:

これで多少は。。。　なにもしないよりだいぶいいです。