Sunucu Güvenliği İçin SSH Erişimini Güçlendirme Rehberi

Sunucu güvenliği için SSH erişimini güçlendirmenin en güvenli yolu, çalışan bağlantıyı kapatmadan mevcut erişimleri doğrulamak, anahtar tabanlı girişi test etmek ve ardından tek tek riskli seçenekleri değiştirmektir. Bu rehber, yönetici erişimine sahip olduğunuz Linux sunucular için hazırlanmıştır; paylaşımlı hosting panelinde SSH ayarlarını değiştirme yetkiniz olmayabilir.

Sunucu güvenliği açısından önce erişim koşullarını belirleyin

İşleme başlamadan önce sunucuya hangi hesapla bağlandığınızı, bu hesabın sudo yetkisi olup olmadığını ve ikinci bir yönetici oturumunun çalışır durumda bulunup bulunmadığını kontrol edin. Aktif bağlantıyı kapatmadan yeni bir terminal açabilmek, hatalı bir SSH ayarının sizi tamamen dışarıda bırakmasını önleyen en önemli güvenlik önlemidir.

Ayrıca SSH yapılandırma dosyasının ve değiştireceğiniz değerlerin mevcut halini güvenli bir yere kaydedin. Dosyanın konumu dağıtıma göre değişebilse de çoğu Linux kurulumunda SSH sunucu ayarları /etc/ssh/sshd_config veya bu dizin altındaki ek yapılandırma dosyalarında bulunur. Üretim sunucusunda yedek veya geri dönüş planı yoksa birden fazla ayarı aynı anda değiştirmeyin.

SSH ayarlarını değiştirmeden önce kanıt toplayın

Önce bağlantı yöntemini ve sunucunun hangi ayarları etkin kabul ettiğini belirleyin. Yönetici olarak çalıştırılabilen salt-okunur yapılandırma kontrolü, yorum satırlarını ve dosyada birden fazla kez tanımlanmış seçenekleri ayırt etmenize yardımcı olur. Örneğin yapılandırma doğrulaması için şu komut kullanılabilir:

sshd -t

Bu komut bir çıktı vermeden tamamlanıyorsa yapılandırma sözdizimi geçerli olabilir; bu, bağlantının mutlaka güvenli veya servisin yeniden yüklenmeye hazır olduğu anlamına gelmez. Hata mesajı alırsanız servisi yeniden yüklemeyin, bildirilen ayarı düzeltin ve aynı doğrulamayı tekrar çalıştırın. SSH giriş denemeleri için kanıtı dağıtımın sistem günlüklerinde, servis günlüklerinde veya sağlayıcının sunucu izleme ekranında arayın. Saat bilgisini not edin; eski ve yeni kayıtları karıştırmamak için bu bilgi gereklidir.

SSH erişimini güvenli hale getirmek için sıralı uygulama

1. Mevcut anahtar girişini doğrulayın. Yeni bir terminalden, parola kullanmadan yönetici yetkili kullanıcıyla bağlantı kurmayı deneyin. Bağlantı kuruluyorsa anahtarın kabul edildiği ve ikinci oturumun çalıştığı görülür. Kurulamıyorsa parola ile giriş ayarını kapatmayın; önce doğru kullanıcı, anahtar ve yetki sorununu çözün.
2. Parola ile SSH girişini ancak anahtar testi başarılıysa kapatın. Yapılandırmada PasswordAuthentication değerini no olarak ayarlayın ve yalnız bu değişikliği yapın. Parola girişinin hâlâ kabul edilmesi, başka bir ek yapılandırma dosyasının ayarı geçersiz kıldığını gösterebilir; bu durumda tüm dosyaları ve dağıtımın etkin ayarlarını inceleyin. Kimlik doğrulama kaydı anahtar kabulünü gösteriyorsa yeni oturum açmayı deneyin; başarısızsa mevcut oturumu kapatmadan önce değeri geri alın.
3. Doğrudan root girişini sınırlandırın. Ayrı bir yönetici hesabıyla sudo çalıştığı doğrulandıktan sonra PermitRootLogin değerini dağıtım politikanıza uygun biçimde no yapabilirsiniz. Root hesabıyla tek erişim yolunuz buysa bunu uygulamayın; önce yetkili ayrı bir hesap oluşturulmalı ve test edilmelidir. Beklenen sonuç, yönetici işlemlerinin normal kullanıcı hesabı ve denetlenebilir sudo kullanımı üzerinden yapılmasıdır.
4. Yapılandırmayı doğrulayıp güvenli biçimde etkinleştirin. Değişiklikten sonra tekrar sshd -t çalıştırın. Hata yoksa dağıtımın servis yönetim aracında SSH hizmetini yeniden yükleme seçeneğini kullanın; yeniden başlatma yerine yeniden yükleme destekleniyorsa bağlantıları gereksiz yere kesmemek açısından onu tercih edin. Servis yönetiminin sağlayıcıya göre değişebileceğini unutmayın.
5. Aynı başarısız işlemi yeniden deneyin ve yeni kanıtı inceleyin. Örneğin daha önce parola ile giriş denemesi yapıldıysa aynı kullanıcıyla aynı tür bağlantıyı tekrar deneyin. Yeni denemenin saatini not edip SSH günlüklerinde yeni satırı arayın. Kayıt parola doğrulamasının reddedildiğini, anahtar girişinin ise kabul edildiğini gösteriyorsa değişiklik beklenen yönde çalışmıştır. Anahtar bağlantısı da reddediliyorsa mevcut oturumu kapatmayın; önceki değeri geri yükleyin ve anahtar dosyası, kullanıcı hesabı veya ek yapılandırma dosyasını ayrı ayrı inceleyin.

Bulguya göre yalnız ilgili ayarı düzeltin

Günlükte parola girişinin kapalı olduğu halde başarılı parola oturumu görünüyorsa SSH dışındaki bir erişim servisini, paneli veya sağlayıcıya özgü konsolu inceleyin; SSH ayarını tekrar tekrar değiştirmek bu sonucu açıklamaz. Buna karşılık günlükte anahtar dosyasının okunamadığı ya da yetkisiz olduğu belirtiliyorsa parola girişini yeniden açmak yerine anahtarın doğru kullanıcıya ait olduğunu, dosya izinlerinin dağıtım politikasına uygunluğunu ve kullanıcının ev dizinine erişebildiğini kontrol edin. Geniş kapsamlı izin değişiklikleri veya herkese açık dosya izinleri güvenli bir düzeltme değildir.

Örneği güvenli bir karara dönüştürün

Diyelim ki yalnızca bir yönetici hesabınız var, bu hesapla anahtar üzerinden ikinci SSH oturumu açılabiliyor ve günlükte eski denemelerin parola kullandığı görülüyor. Bu durumda önce mevcut yapılandırmayı kaydedip yalnız parola girişini kapatmak mantıklıdır; çünkü anahtar yolu zaten gözlemlenebilir biçimde çalışmaktadır. Yeni deneme anahtar ile başarılı, parola ile başarısız olursa bir sonraki adım root girişini sınırlandırmak olabilir. İkinci oturum da başarısız olursa root ayarını değiştirmeden önce parola ayarını geri yüklemek güvenli geri dönüş yoludur.

Öte yandan sunucuda otomasyon aracı, izleme sistemi veya yedekleme görevi parola ile bağlanıyorsa aynı değişiklik bu hizmetleri durdurabilir. Önce ilgili görevin hangi kimlik doğrulama yöntemini kullandığını ve anahtar desteği olup olmadığını doğrulayın. Sağlayıcıya bağlı konsol, çok faktörlü doğrulama veya IP kısıtlaması gibi ek katmanlar bulunabilir; bunlar SSH yapılandırmasının yerine geçmez, fakat erişim modelinin bir parçası olarak ayrıca test edilmelidir.

Değişiklik işe yaramazsa güvenli geri dönüş

Yeni oturum açılmıyor, günlükte yapılandırma hatası görülüyor veya beklenmeyen bir kullanıcı erişimi kesiliyorsa aktif oturumu kapatmayın. Kaydettiğiniz özgün değeri geri yükleyin, yapılandırma doğrulamasını yeniden çalıştırın ve yalnızca düzelttiğiniz tek faktörü tekrar test edin. Sorun sürdüğünde sağlayıcının kurtarma konsolunu veya yetkili sunucu yönetimini kullanarak son değişikliği geri alın; kimlik bilgilerini ya da günlüklerdeki hassas verileri herkese açık bir alana yapıştırmayın.

İlk güvenli adım, bugün mevcut SSH bağlantı yöntemini ve yapılandırmadaki ilgili değerleri kaydetmektir. Yönetilen bir sunucuya geçmeyi değerlendiriyorsanız seçenekleri incelemek için sunucu kiralama çözümleri sayfasına bakabilirsiniz; ancak güvenlik ayarlarının gerçekten kim tarafından yönetildiğini ayrıca doğrulayın.