Tôi mới sử dụng điện toán đám mây và dự định sử dụng dịch vụ điện toán luôn miễn phí từ Đám mây Oracle để lấy địa chỉ IP công cộng để chạy một trang web. Như một biện pháp bảo mật cơ bản, tôi yêu cầu các máy của mình không nghe SSH trên cổng 22 mặc định vì điều này quá dễ để phát hiện nhưng hãy hoán đổi nó sang một cổng mới mà tôi sẽ giữ bí mật nhưng tôi sẽ gọi là NEWSSHPORT. Điều này đặc biệt quan trọng khi sử dụng địa chỉ IP công cộng.
Vấn đề của tôi là sau khi tôi ssh vào máy, tôi xác minh rằng tường lửa (theo mặc định) không hoạt động và vì vậy nó cho phép tất cả lưu lượng truy cập vào và cổng NEWSSHPORT ưu tiên của tôi không được sử dụng bởi bất kỳ dịch vụ nào khác. Tôi hoán đổi cổng nghe sang cổng mới, khởi động lại dịch vụ ssh, xác minh rằng tôi có quy tắc xâm nhập cho phép lưu lượng truy cập này trong trang web đám mây tiên tri cho mạng con của tôi.
Tôi cố gắng ssh bằng cổng mới và nó hết thời gian giống như bất kỳ cổng nào khác. Thay vào đó, cổng 22 mặc định cho kết nối bị từ chối.
Câu hỏi này tương tự nhưng không giống như:
thay đổi cổng ssh gây ra từ chối kết nối
Tôi đang thiếu gì?
Tạo phiên bản tính toán:
Vị trí mặc định
Hình ảnh: Canonical Ubuntu 18.04
Hình dạng: VM.Standard.A1.Flex 4 nhân OCPU, bộ nhớ 24 GB
Mạng mặc định
Lưu khóa ssh riêng
Khối lượng sách mặc định
Tạo phiên bản
Đợi nó được cung cấp
Sao chép địa chỉ IP công khai của nó: 1.2.3.4
SSH đến cổng mặc định 22
ssh -i C:\path\to\saved\key\ssh-key-2021-12-14.key -p 22 [email protected]
Dấu vân tay ECDSA mới. Lưu nó? Đúng
SSH đã thành công.
Trên máy:
Kiểm tra tường lửa
$ sudo ufw trạng thái
không hoạt động (Điều này có nghĩa là tất cả lưu lượng được phép đi qua)
Kiểm tra cổng nào đã được sử dụng:
UDP *:111
UDP *:932
TCP *:111 (LẮNG NGHE)
UDP *:111
UDP *:932
TCP *:111 (LẮNG NGHE)
UDP :68
UDP :53
UDP :53
UDP :53 (LẮNG NGHE)
TCP :22 (LẮNG NGHE)
TCP :22 (LẮNG NGHE)
:22 -> mypc:myport (kết nối ssh của tôi)
Cổng ưa thích của tôi để nghe trên SSH đang mở/không được sử dụng bởi một chương trình khác.
Thay đổi cổng nghe ssh. và đặt thành số nguyên cổng ưu tiên.Tôi sẽ giữ số nguyên này ở chế độ riêng tư vì lý do bảo mật nhưng tôi sẽ biểu thị số của anh ấy bằng chuỗi: NEWSSHPORT
$ sudo vi /etc/ssh/sshd_config
Cảng TIN TỨCSHPORT
khởi động lại dịch vụ ssh
$ sudo systemctl khởi động lại sshd
kiểm tra xem ssh hiện có đang nghe trên TIN TỨC mới này không:
$ sudo lsof -i -P -n
bây giờ những thứ này có mặt:
gốc sshd IPv4 TCP *:TIN TỨCSHPORT (LISTEN)
gốc sshd IPv6 TCP *:TIN TỨCSHPORT (LISTEN)
kiểm tra kỹ tường lửa vẫn chưa trực tuyến:
$ sudo ufw trạng thái
Tình trạng: không hoạt động
Vì vậy, nó đã xác nhận rằng tường lửa không được bật nên mọi thứ đều được phép đi qua.
Đã xác nhận rằng ssh hiện đang lắng nghe trên cổng mới: NEWSSHPORT trên cả IPv4 và IPv6 cho lưu lượng TCP.
thoát khỏi máy:
thoát $
Kiểm tra mạng con đám mây Oracle của bạn cho phép lưu lượng truy cập trên cổng mới của bạn:
Chuyển đến phiên bản điện toán > tab Thông tin phiên bản > VNIC chính > nhấp vào liên kết mạng con để xem mạng con của nó.
Danh sách bảo mật > Danh sách bảo mật mặc định. nhấn vào nó.
Xác minh NEWSSHPORT có quy tắc xâm nhập cho IP 0.0.0.0/0 là ký hiệu CIDR cho tất cả các địa chỉ IP có thể có. Quy tắc xâm nhập hiện tại của tôi:
Không trạng thái: Không, Nguồn: 0.0.0.0/0 Phạm vi cổng nguồn TCP: Tất cả, Phạm vi cổng đích: NEWSSHPORT, Loại và Mã: Tôi để trống.
Được rồi, lưu lượng truy cập trên cổng mới của bạn sẽ được phép vào.
Khoảnh khắc của sự thật:
ssh -i C:\path\to\saved\key\ssh-key-2021-12-14.key -p NEWSSHPORT [email protected]
ssh: kết nối với máy chủ cổng 1.2.3.4 TIN TỨC: Hết thời gian kết nối
nhưng khi tôi thử cổng 22 ban đầu:
ssh -i C:\path\to\saved\key\ssh-key-2021-12-14.key -p 22 [email protected]
ssh: kết nối với máy chủ 152.70.195.101 cổng 22: Kết nối bị từ chối
và nếu tôi thử một số cổng ngẫu nhiên mà không có gì đang nghe và tôi không có quy tắc mạng con Oracle nào cho phép:
ssh -i C:\path\to\saved\key\ssh-key-2021-12-14.key -p 3456 [email protected]
ssh: kết nối với máy chủ 1.2.3.4 cổng 3456: Hết thời gian kết nối
Kết luận: Có vẻ như lưu lượng truy cập ban đầu đến cổng 22 chắc chắn đã được thông qua nhưng bị máy từ chối.Đó là phản hồi chính xác nhưng khi thử bất kỳ cổng nào khác, có vẻ như lưu lượng truy cập đang bị chặn hoặc giảm ở đâu đó trên đường đến máy của tôi.
Tôi đang làm gì sai?
