امن‌سازی اتصال SSH برای جلوگیری از حملات brute force

پورت پیش‌فرض SSH (22) اغلب هدف حملات خودکار brute force است. این راهنما به شما یاد می‌دهد پورت SSH را تغییر دهید و گزینه‌های امنیتی بیشتری برای محافظت از سرور خود پیکربندی کنید.

📋 پیش‌نیازها

یک سرور VPS با دسترسی root یا sudo
یک اتصال SSH فعال
UFW نصب و پیکربندی‌شده (آموزش نصب UFW را ببینید)

⚠️ مهم: یک نشست SSH را باز نگه دارید

مهم: پیش از شروع، یک نشست SSH فعال نگه دارید. اگر چیزی درست کار نکرد، همچنان می‌توانید وصل شوید و مشکل را برطرف کنید.

دو ترمینال SSH را به‌طور موازی باز کنید:

ترمینال 1: نشست کاری (برای انجام تغییرات)
ترمینال 2: نشست پشتیبان (برای مواقع اضطراری)

🔧 تغییر پورت SSH

مرحله 1: انتخاب پورت جدید

پورتی بین 1024 و 65535 انتخاب کنید. پورت‌های رایجی که باید از آن‌ها پرهیز کرد:

22 (پورت پیش‌فرض SSH، بسیار هدف حمله)
80 و 443 (HTTP/HTTPS)
3306 و 5432 (پایگاه‌های داده)

نمونه پورت‌های امن: 2222، 2200، 1022، 5000

مرحله 2: ویرایش پیکربندی SSH

Bash
1# Éditer le fichier de configuration SSH
2sudo nano /etc/ssh/sshd_config

مرحله 3: تغییر پورت

خط #Port 22 را پیدا کنید و آن را تغییر دهید:

# Avant
#Port 22

# Après (remplacez 2222 par votre port choisi)
Port 2222

نکته: در nano برای جستجوی "Port 22" از Ctrl + W استفاده کنید

مرحله 4: ذخیره و خروج

در nano:

Ctrl + X برای خروج
Y برای تأیید
Entrée برای ذخیره

مرحله 5: بررسی نحو (syntax)

Bash
1# Vérifier que la configuration est valide
2sudo sshd -t

اگر این دستور هیچ خطایی برنگرداند، پیکربندی شما درست است.

مرحله 6: مجاز کردن پورت جدید در UFW

Bash
1# Autoriser le nouveau port SSH (remplacez 2222 par votre port)
2sudo ufw allow 2222/tcp
3
4# Optionnel : Supprimer l'ancien port 22 si vous ne l'utilisez plus
5sudo ufw delete allow 22/tcp
6
7# Recharger UFW
8sudo ufw reload
9
10# Vérifier que la règle est active
11sudo ufw status | grep 2222

مرحله 7: ری‌استارت سرویس SSH

Bash
1# Redémarrer SSH avec la nouvelle configuration
2sudo systemctl restart sshd
3
4# Vérifier que SSH fonctionne toujours
5sudo systemctl status sshd

مرحله 8: آزمایش اتصال جدید

در یک ترمینال جدید، اتصال را با پورت جدید آزمایش کنید:

Bash
1# Remplacez 2222 par votre port et utilisateur@votre-ip par vos identifiants
2ssh -p 2222 utilisateur@votre-ip

اگر اتصال برقرار شد، می‌توانید نشست قدیمی روی پورت 22 را ببندید.

🔒 گزینه‌های امنیتی بیشتر

غیرفعال کردن ورود root

مهم: غیرفعال کردن ورود root از طریق SSH یک روش امنیتی عالی است. پیش از انجام این تغییر مطمئن شوید یک کاربر با sudo پیکربندی کرده‌اید.

Bash
1# Éditer la configuration SSH
2sudo nano /etc/ssh/sshd_config
3
4# Chercher et modifier cette ligne
5PermitRootLogin no
6
7# Sauvegarder et redémarrer
8sudo sshd -t
9sudo systemctl restart sshd

محدود کردن تلاش‌های اتصال

Bash
1sudo nano /etc/ssh/sshd_config
2
3# Ajouter ou modifier ces lignes
4MaxAuthTries 3              # Maximum 3 tentatives de connexion
5LoginGraceTime 30           # Délai de 30 secondes pour se connecter

غیرفعال کردن احراز هویت با رمز عبور (فقط استفاده از کلیدهای SSH)

Bash
1sudo nano /etc/ssh/sshd_config
2
3# Modifier cette ligne
4PasswordAuthentication no
5PubkeyAuthentication yes

توجه: این گزینه را فقط در صورتی فعال کنید که یک کلید SSH پیکربندی کرده و از کارکرد آن مطمئن شده باشید!

استفاده فقط از نسخه 2 پروتکل SSH

Bash
1sudo nano /etc/ssh/sshd_config
2
3# Ajouter cette ligne (si elle n'existe pas)
4Protocol 2

غیرفعال کردن تونل‌های X11 (اگر به آن‌ها نیاز ندارید)

Bash
1sudo nano /etc/ssh/sshd_config
2
3# Modifier cette ligne
4X11Forwarding no

پیکربندی کامل پیشنهادی

در اینجا یک پیکربندی کامل و امن SSH آمده که باید به /etc/ssh/sshd_config اضافه شود:

# Port SSH personnalisé
Port 2222

# Désactiver root login
PermitRootLogin no

# Limites de connexion
MaxAuthTries 3
LoginGraceTime 30

# Désactiver l'authentification par mot de passe (si vous utilisez des clés SSH)
# PasswordAuthentication no
# PubkeyAuthentication yes

# Protocole SSH version 2 uniquement
Protocol 2

# Désactiver X11 forwarding
X11Forwarding no

# Désactiver les tunnels TCP
AllowTcpForwarding no

# Temps d'inactivité avant déconnexion
ClientAliveInterval 300
ClientAliveCountMax 2

پس از هر تغییر، فراموش نکنید که:

Bash
1# Vérifier la syntaxe
2sudo sshd -t
3
4# Redémarrer SSH
5sudo systemctl restart sshd

🔄 ایجاد کاربر با sudo (در صورت نیاز)

اگر ورود root را غیرفعال کرده‌اید، مطمئن شوید یک کاربر با دسترسی‌های sudo دارید:

Bash
1# Créer un nouvel utilisateur
2sudo adduser monutilisateur
3
4# Ajouter l'utilisateur au groupe sudo
5sudo usermod -aG sudo monutilisateur
6
7# Tester que l'utilisateur peut utiliser sudo
8su - monutilisateur
9sudo whoami
10# Devrait afficher "root"

✅ بررسی نهایی

بررسی کارکرد SSH

Bash
1# Vérifier le statut du service
2sudo systemctl status sshd
3
4# Vérifier que SSH écoute sur le bon port
5sudo netstat -tlnp | grep ssh
6# ou
7sudo ss -tlnp | grep ssh
8
9# Vérifier la configuration
10sudo sshd -T | grep port

بررسی لاگ‌های SSH

Bash
1# Voir les tentatives de connexion
2sudo tail -f /var/log/auth.log
3
4# Voir les connexions réussies
5sudo grep "Accepted" /var/log/auth.log
6
7# Voir les tentatives échouées
8sudo grep "Failed" /var/log/auth.log

🛡️ محافظت بیشتر با fail2ban

fail2ban ابزاری است که IPهایی را که حملات brute force انجام می‌دهند به‌طور خودکار مسدود می‌کند.

نصب fail2ban

Bash
1sudo apt update
2sudo apt install fail2ban -y

پیکربندی پایه

Bash
1# Copier le fichier de configuration
2sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
3
4# Éditer la configuration
5sudo nano /etc/fail2ban/jail.local

پیکربندی پیشنهادی برای SSH:

INI
1[sshd]
2enabled = true
3port = 2222                    # Votre nouveau port SSH
4maxretry = 3                   # Nombre de tentatives avant bannissement
5bantime = 3600                 # Temps de bannissement en secondes (1 heure)
6findtime = 600                 # Fenêtre de temps pour compter les tentatives (10 minutes)

فعال‌سازی fail2ban

Bash
1# Démarrer fail2ban
2sudo systemctl start fail2ban
3
4# Activer au démarrage
5sudo systemctl enable fail2ban
6
7# Vérifier le statut
8sudo systemctl status fail2ban
9
10# Voir les IPs bannies
11sudo fail2ban-client status sshd

🆘 عیب‌یابی

دیگر نمی‌توانم با SSH وصل شوم

اگر از سرور بیرون مانده‌اید:

از نشست پشتیبان خود استفاده کنید (ترمینال 2 که باز نگه داشته‌اید)
اگر نشست پشتیبان ندارید:
- با پشتیبانی Infrawire و اطلاعات ورود خود تماس بگیرید
- از کنسول VNC/KVM در پنل کنترل خود استفاده کنید
- مستقیم وصل شوید و پیکربندی قبلی را بازگردانید:
```
Bash
1sudo nano /etc/ssh/sshd_config
2# Remettez Port 22
3sudo systemctl restart sshd
```

پورت SSH پاسخ نمی‌دهد

Bash
1# Vérifier que SSH écoute sur le port
2sudo netstat -tlnp | grep ssh
3
4# Vérifier que le port est ouvert dans UFW
5sudo ufw status | grep 2222
6
7# Vérifier les logs SSH
8sudo journalctl -u sshd -n 50

باید موقتاً با پورت قدیمی وصل شوم

اگر پیش از حذف پورت قدیمی (22) باید با آن وصل شوید:

Bash
1# Autoriser temporairement le port 22
2sudo ufw allow 22/tcp
3
4# Vous connecter
5ssh -p 22 utilisateur@votre-ip
6
7# Une fois connecté, supprimer la règle
8sudo ufw delete allow 22/tcp

📚 منابع بیشتر

❓ پرسش‌های متداول

پرسش: برای SSH چه پورتی انتخاب کنم؟
پاسخ: پورتی بین 1024 و 65535 انتخاب کنید. از پورت‌های رایج (80، 443، 3306 و غیره) پرهیز کنید. پورت‌هایی مانند 2222، 2200 یا 1022 انتخاب‌های خوبی هستند.

پرسش: آیا می‌توانم یک پورت را برای چند سرویس استفاده کنم؟
پاسخ: خیر، هر سرویس باید پورت منحصربه‌فرد خودش را داشته باشد.

پرسش: آیا واقعاً باید پورت SSH را تغییر دهم؟
پاسخ: به‌شدت توصیه می‌شود. این کار حملات خودکار brute force را به‌طور چشمگیری کاهش می‌دهد.

پرسش: اگر پورت را تغییر داده‌ام، آیا fail2ban لازم است؟
پاسخ: خیر، اما یک لایه امنیتی اضافی توصیه‌شده است.

پرسش: چگونه از یک کلاینت SSH با پورت جدید وصل شوم؟
پاسخ: از گزینه -p استفاده کنید: ssh -p 2222 utilisateur@votre-ip

امن‌سازی موفق! 🚀