Ubuntu 22.10 Server einrichten

Hier wird es um die Basics gehen, um einen Ubuntu Server einzurichten. Die Themen sind folgende:

• SSH Tools
• Login & Server update
• SSH Port ändern
• Firewall Profil erstellen
• Firewall einrichten
• Root Passwort ändern
• Login User erstellen
• SSH Key Login //todo
• Fail2Ban einrichten //todo

SSH Tools

Also zuerst müssen wir uns mit dem Server ja verbinden. Der Klassiker dazu ist die Software Putty.
Eine größere Liste gibt es hier auf Wikipedia.
Aber Windows 10 hat inzwischen auch eine OpenSSH Implementation, die ich hier auch nutzen werde.

Login & Server update

Bei SERVERADRESSE die dementsprechende IP Adresse oder Domain eintragen.

ssh root@SERVERADRESSE

Mit dem folgenden Befehl, werden wir dann das System updaten

apt update && apt install

SSH Port ändern

Es handelt sich hier um den OpenSSH Server. Mehr Informationen dazu gibt es hier auf ubuntuusers.de.
Um die Config Datei zu berarbeiten, geben wir folgenden Befehl ein

nano /etc/ssh/sshd_config

Bei der Option Port den # entfernen und eine Zahl zwischen 5000 und 65535 auswählen (die 22 damit ersetzen).

Ich werde in allen Beispielen den Port 13337 benutzen. Also wo dieser in den Beispielen vorkommt, mit eurem Port austauschen.

Um die Änderungen zu laden, wird der Dienst neu gestartet

systemctl restart sshd.service

Nun ist der SSH Server nur noch über den neuen Port erreichbar

ssh root@SERVERADRESSE -p 13337

Firewall Profil erstellen

Mehr Informationen zur Firewall (hier werden wir ufw nutzen) gibt es hier. Ich werde hier nur die wichtigen Sachen kurz durch gehen.

Wir werden für jede Applikation in der Firewall ein Profil in ufw erstellen (Hier gibt es eine detailreichere Anleitung zu ufw Applikationen). Hier werden wir aber das vorhandene Profil vom OpenSSH Server bearbeiten. Um ein neues Profil zu erstellen, einfach das OpenSSH Profil im gleichem Ordner kopieren und für den neuen Dienst anpassen.

nano /etc/ufw/applications.d/openssh-server

Dort werden wir folgenden Code eingeben

[OpenSSH]
title=Secure shell server, an rshd replacement
description=OpenSSH is a free implementation of the Secure Shell protocol.
ports=13337/tcp

Nach dem bearbeiten oder erstellen eines Profil muss folgender Befehl zum laden ausgeführt werden

ufw app update OpenSSH

Mit folgendem Befehl kann man überprüfen, ob die Änderungen angewendet wurden

ufw app info OpenSSH

Firewall einrichten

Nun müssen wir das im oberen Schritt erstelltes Profil in der Firewall freischalten

ufw allow OpenSSH

Alternativ könnte man das gleiche auch ohne ein Profil mit dem folgenden Befehl erhalten

ufw allow 13337/tcp 

So würde man den Port 13337 über TCP aktivieren. Um ein UDP Port zu erlauben das tcp am Ende mit udp ersetzen.
Wenn man allow mit deny austauscht, kann man so Profile oder auch direkt Ports wieder schließen.

Und um die Firewall letztendlich zu aktivieren

ufw enable

Root Passwort ändern

Mit den folgenden Befehl kann man das Passwort vom root User wechseln

passwd root

Login User erstellen

Die meisten Login Versuche von Bots werden mit dem User root durchgeführt. Deshalb werden wir den Login über root deaktivieren und einen anderen User zum verbinden mit dem SSH Server verwenden. Aus diesem User heraus können wir uns mit dem root User verbinden.

Erstellen wir zuerst einen User (Hier mehr zum adduser Befehl). Ich werde für diese Beispiele den Namen newuser benutzen. Ich würde empfehlen einen Namen aus 6-16 Buchstaben zu nehmen.

adduser newuser --gecos ""

Nun deaktivieren wir noch den Login auf den root User über SSH. Dazu öffnen wir folgende Datei

nano /etc/ssh/sshd_config

Und ändert den Wert der Option von PermitRootLogin von yes auf no. Die Option sollte ganz unten in der Datei sein.
Nun restarten wir noch mal den SSH Dienst

/etc/init.d/ssh restart

So versuchen wir uns jetzt mit dem Server zu verbinden, nach dem der Port verändert wurde und mit dem neuen Benutzer.

ssh newuser@SERVERADRESSE -p 13337

Nun sind wir als newuser eingeloggt

SSH Key Login

Eine genauere Anleitung gibt es hier.
Zuerst generieren wir ein SSH Key, folgender Befehl generiert es im aktuellen Ordner. Daher im besten Falle in den Ordner ~.ssh wechseln.

ssh-keygen -t rsa -b 4096

Nach dem Befehl werden 2 Datein generiert, wenn man beim letzten Befehl keinen Namen definiert hat, ist es id_rsa und id_rsa.pub.
Der Inhalt der Datei .pub (Public Key) muss nun auf den Server kopiert werden in die Daten /root/.ssh/authorized_keys .
Wenn ein neuer Key hinzugefügt werden soll, einfach eine neue Zeile mit dem Key in die Datei hinein.

Fail2Ban einrichten

//todo