Bienvenue visiteur (Inscription |  Connexion)
Qui est en ligne ?
Il y a : 24 utilisateurs en ligne, consultez le détail
Auteur Message
bobremy
#0 Message posté le : 05-04-2009 à 18:49:08


Jedi


Forum : Inscrit
Association :
Arrivé(e) le : 12-04-2003
Nombre de messages : 4580
Bonjour a tous,

Je cherche depuis quelques temps à configurer au mieux un serveur ssh. C'est à dire de l'installer proprement mais surtout de le configurer comme il se doit.

Pour cela, j'ai ce fichier de configuration:

#

# Parametres globlaux

#



# version du protocol

Protocol 2



# port du protocole

Port 22



# nom de la machine

HostName serveur1



# restrictions

#ListenAddress ::



# purge les redirections

#ClearAllForwardings



# controle regulier du maintien de la connexion

TCPKeepAlive yes

#KeepAlive yes



# utilisation de compression et le taux (1-9)

Compression no

#CompressionLevel 6



# numero display par defaut (serveur-ssh:10.0)

X11DisplayOffset 10



# redirection X11

ForwardX11 no

X11Forwarding no



# message afficher a la connexion (/etc/motd)

PrintMotd no



# afficher la derniere date,heure de connexion

PrintLastLog yes



# autoriser le passage de variables locales

AcceptEnv LANG LC_*



# Log

SyslogFacility AUTH

LogLevel INFO



# autoriser des sous-systemes

Subsystem sftp /usr/lib/openssh/sftp-server



#

# parametres connexions

#



# verifier l ip du client

#CheckHostIP yes



# nombres de tentatives avant abandon

ConnectionAttempts 1



# temps avant deconnexion si identification non réussi

LoginGraceTime 120



# password vide valide ou non

PermitEmptyPasswords no



# autentification par password

PasswordAuthentication no



# autoriser une connexion en root

PermitRootLogin yes



# autoriser une connexion avec clef publique

PubkeyAuthentication yes

# pour le protocole 1

RSAAuthentication yes



# autorise la connexion d hotes de confiance

StrictModes yes



#

# parametres securitees

#



# mode parano

RhostsRSAAuthentication no

# pour la version 2

HostbasedAuthentication no

#IgnoreUserKnownHosts yes



# separation des privileges

UsePrivilegeSeparation yes



# ignore les fichiers ~/.rhosts et ~/.shosts

IgnoreRhosts yes



# emplacement fichiers clefs

AuthorizedKeysFile	%h/.ssh/authorized_keys



# emplacement des hostkeys

HostKey /etc/ssh/ssh_host_rsa_key

HostKey /etc/ssh/ssh_host_dsa_key



# utilisation de l autentification PAM (debian)

UsePAM yes

ChallengeResponseAuthentication no





Le tout semble fonctionner, mais ...

Le but étant d'interdire les connections avec mot de passe, et donc de ne laisser l'accès qu'avec une clef rsa.

Mais voilà, cette configuration permet tout de meme l'acces par password .
D'apres vous, d'ou peut venir le problème ?

Merci .
Azollyx
#1 Message posté le : 05-04-2009 à 20:25:22


Naboo


Forum : Modérateur
Association : Président
Arrivé(e) le : 09-04-2006
Nombre de messages : 2205
As-tu essayé de voir ce que cela donnait sans le UsePAM ?
bobremy
#2 Message posté le : 05-04-2009 à 23:33:26


Jedi


Forum : Inscrit
Association :
Arrivé(e) le : 12-04-2003
Nombre de messages : 4580
Ca change rien visiblement .
Azollyx
#3 Message posté le : 18-04-2009 à 15:25:15


Naboo


Forum : Modérateur
Association : Président
Arrivé(e) le : 09-04-2006
Nombre de messages : 2205
Tiens en parlant d'ssh, je viens de voir dans mes logs qu'il y avait pas mal de tentatives de connexions qui n'étaient pas de moi.
J'ai appliqué ce petit script pour faire du blacklistage : http://files.azollyx.eu/chronological/2009-04-18/sshd-autherror.logreader.pl.html (désolé pour la couleur...).

édit : j'ai installé sshguard ; at m'enverra un email la semaine prochaine pour voir s'il est efficasse.
Pour info voici le nombre d'erreurs de connexions détectées par ma méthode :
    506 Apr13

    298 Apr14

    204 Apr15

   1231 Apr16

    648 Apr17

    349 Apr18

     48 Apr19

et je viens de voir qu'il en manquait : mon grep est trop basique.

--Message édité par Azollyx le 19-04-2009 à 16:48:30--
jerep6
#4 Message posté le : 18-04-2009 à 15:42:13


Scarabée


Forum : Inscrit
Association :
Arrivé(e) le : 14-08-2005
Nombre de messages : 495
Il est déconseillé de permettre à root de se logguer directement (PermitRootLogin).