Dmitry
66 lines
2.9 KiB
Plaintext
66 lines
2.9 KiB
Plaintext
# sshd_config.d/99-hardening.conf
|
|
# Консервативное ужесточение для серверов общего назначения (Debian).
|
|
|
|
Protocol 2
|
|
# Разрешить только протокол SSH v2.
|
|
|
|
# Authentication
|
|
PermitRootLogin no
|
|
# Запретить прямой вход под root.
|
|
PasswordAuthentication no
|
|
# Отключить вход по паролю.
|
|
KbdInteractiveAuthentication no
|
|
# Отключить keyboard-interactive (часто это OTP/пароль).
|
|
ChallengeResponseAuthentication no
|
|
# Отключить challenge-response аутентификацию.
|
|
AuthenticationMethods publickey
|
|
# Требовать аутентификацию по ключу.
|
|
PubkeyAuthentication yes
|
|
# Разрешить аутентификацию по ключу.
|
|
PermitEmptyPasswords no
|
|
# Запретить пустые пароли, даже если пароли где-то включены.
|
|
UsePAM yes
|
|
# Оставить PAM для управления аккаунтом и сессией.
|
|
|
|
# Session and access controls
|
|
LoginGraceTime 30
|
|
# Дать 30 секунд на аутентификацию.
|
|
MaxAuthTries 3
|
|
# Ограничить число неудачных попыток на соединение.
|
|
MaxSessions 2
|
|
# Ограничить число сессий в одном соединении.
|
|
MaxStartups 10:30:60
|
|
# Дросселировать неаутентифицированные подключения под нагрузкой.
|
|
ClientAliveInterval 300
|
|
# Отправлять keepalive каждые 5 минут.
|
|
ClientAliveCountMax 2
|
|
# Рвать соединение после 2 пропущенных keepalive.
|
|
TCPKeepAlive no
|
|
# Отключить TCP keepalive, чтобы не зависали старые сессии.
|
|
|
|
# Reduce legacy or risky features
|
|
IgnoreRhosts yes
|
|
# Игнорировать доверенные файлы .rhosts и .shosts.
|
|
HostbasedAuthentication no
|
|
# Отключить аутентификацию по хосту.
|
|
PermitUserEnvironment no
|
|
# Запретить пользователям задавать окружение через ~/.ssh/environment.
|
|
X11Forwarding no
|
|
# Отключить X11-форвардинг.
|
|
AllowAgentForwarding no
|
|
# Запретить форвардинг агента.
|
|
AllowTcpForwarding local
|
|
# Разрешить только локальный форвардинг портов (без remote/dynamic).
|
|
AllowStreamLocalForwarding no
|
|
# Отключить форвардинг Unix-сокетов.
|
|
PermitTunnel no
|
|
# Отключить форвардинг туннелей tun/tap.
|
|
|
|
# Misc
|
|
UseDNS no
|
|
# Пропустить обратный DNS для ускорения входа.
|
|
Compression no
|
|
# Отключить сжатие, чтобы уменьшить поверхность атаки.
|
|
PrintMotd no
|
|
# Не печатать MOTD (обычно делает PAM).
|