Przejdź do treści
netcupgutscheine.com
← Wszystkie poradniki
SSH i hardeningAktualizacja: 02.11.2026

Netcup SSH: klucze, port i Fail2ban

Dostęp root jest potężny. Ten poradnik pokazuje kolejność zabezpieczania SSH bez zablokowania sobie dostępu.

1. Klucz zamiast hasła

Utwórz lokalnie klucz ED25519 i skopiuj publiczny klucz na serwer. Następnie wyłącz logowanie hasłem. Przetestuj logowanie kluczem w drugiej sesji, zanim zamkniesz starą.

ssh-keygen -t ed25519 -a 100 -C "[email protected]"
ssh-copy-id -i ~/.ssh/id_ed25519.pub [email protected]

# Na serwerze:
sudo sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin prohibit-password/' /etc/ssh/sshd_config
sudo sshd -t && sudo systemctl reload ssh

Uwaga: Otwórz drugą sesję SSH i przetestuj klucz, zanim zamkniesz pierwszą. Inaczej ryzykujesz blokadę.

2. Zmiana portu

Inny port ogranicza automatyczne skany, ale nie jest zabezpieczeniem. Najpierw otwórz nowy port w SCP i firewallu hosta, potem zmień sshd_config i zrestartuj usługę.

# W /etc/ssh/sshd_config:
Port 2222

sudo ufw allow 2222/tcp
sudo sshd -t && sudo systemctl restart ssh
ssh -p 2222 [email protected]

Uwaga: Najpierw firewall, potem sshd. W odwrotnej kolejności nowy port będzie zablokowany.

3. Fail2ban

Fail2ban blokuje IP po powtarzających się błędnych próbach. Dla SSH wystarczy jail na auth.log; sprawdź status po starcie.

sudo apt install fail2ban
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

4. Unikanie blokady

Jeśli zablokujesz sobie dostęp, użyj konsoli SCP lub rescue system. Trzymaj kopię sshd_config i drugą ścieżkę dostępu; wyłączaj hasło dopiero po testach klucza.

  • Przetestuj konsolę SCP i rescue system, zanim będą potrzebne.
  • Skopiuj sshd_config przed zmianami.
  • Sprawdź logowanie kluczem w drugiej sesji.
  • Root tylko kluczem, nie hasłem.

Oficjalne źródła

Pierwszy dostęp do serweraHasło, konsola i pierwszy login.Rescue systemDostęp po blokadzie.Firewall SCPOtwieranie portów.Troubleshooting logowaniaOficjalna diagnostyka.

Pasujące plany

RS 1000 G12.5

Bestseller
Serwery root • G12.5
2 miesiące gratis
21,73 €/ mies.z 19% VAT12 mies.

4 dedykowane rdzenie (AMD EPYC 9645) · 8 GB RAM · 128 GB NVMe · 2.5 Gbit/s

GB6: 2290/7559 · Steal: 0,0 %

Ładowanie aktualnego kodu…

VPS 1000 G12.5

Bestseller
VPS • G12.5
1 miesiąc gratis
14,50 €/ mies.z 19% VAT12 mies.

4 vCore (x86) · 8 GB RAM · 128 GB SSD · 2.5 Gbit/s

GB6: 1720/4650 · Steal: 1,2 %

Ładowanie aktualnego kodu…

Najczęstsze pytania

Jakiego typu klucz SSH wybrać?

ED25519 to dobry wybór dla nowych kluczy. RSA 4096 nadal działa, ale jest większy i wolniejszy. Ważne jest silne hasło klucza.

Dlaczego nie mogę się połączyć po zmianie portu?

Zwykle brakuje otwarcia portu w SCP lub firewallu hosta. Otwórz go najpierw, uruchom sshd -t i zrestartuj usługę.

Źródło
Jak wrócić po zablokowaniu dostępu?

Użyj konsoli SCP lub rescue system, aby poprawić sshd_config. Przetestuj dostęp, zanim zamkniesz starą sesję.

Źródło