SSH son las siglas de Secure SHell. Lo que te ofrece es una consola en un ordenador remoto con los privilegios que tenga la cuenta con la que conectes. Es decir, si en tu PC tienes varias cuentas, puedes conectar desde otro ordenador al tuyo con cualquiera de esas cuentas y sus respectivos privilegios, como pudiera ser la cuenta root, la de tu administrador sudo o la de un usuario normal sin poder de administración. Y todo esto con encriptación de datos.
En este manual se mostrara la metodología de instalación, configuración y uso de ssh paso a paso, se explicara cada paso de forma lenta pero segura!
Instalar
En los Repositorios ya se encuentra el ssh, solo resta instalarlo
Una vez instalado se autoiniciará el demonio que ejecuta el servidor SSH y gestiona las solicitudes de login remoto
$ sudo aptitude install ssh
Configuración: Mayor seguridad
|
No es muy inteligente usar SSH sin modificar el fichero de configuración del servidor. Vamos a modificar algunas opciones para conseguir una seguridad aceptable.
Si algunas de las opciones o lineas de código no se encuentran es tu archivo de configuración sshd_config, solo agrégalas!
No se requiere un orden especifico el las lineas de comando, pero si recomiendo dejar un comentario antes de cada linea nueva, para que luego puedas recordar cuales fueron las lineas que agregaste.
Vemos un fichero de configuración típico basado en “opción valor”. Vamos a comenzar las modificaciones por el puerto que es lo primero que vemos y una de las cosas más importantes. SSH usa por defecto el puerto 22. Esto significa que si no lo cambiamos estamos entregando a un caco (ladrón) que sabe la dirección de dónde vivimos (nuestra IP) también la llave del portal.
Cambiaremos el puerto para evitarlo. Esto no quita que el caco pueda intentar averiguar “el portal” si sabe cómo hacerlo pero al menos le ponemos impedimentos. También hay scripts que atacan directamente el puerto 22, por lo que el cambio de puerto es algo obligatorio.
Deja el que quieras, pero recuerda abrir también en el router el puerto para que puedas acceder a tu pc desde otro. Usaremos por ejemplo el 4321, podéis poner el que queráis.
$ sudo gedit /etc/ssh/sshd_config
port 4321
Un poco mas Abajo esta la Opción Protocol, debe estar con el numero 2, (Hay 2 versiones de ssh, solo que el primero ya esta en desuso).
Protocol 2
Busca la sección “Authentication”. Las dos primeras opciones son también importantes. La primera es el número de segundos que tendrá el usuario remoto para hacer login en tu máquina. Deja ese valor a pocos segundos, no tardamos mucho en hacer login si sabemos la cuenta y la password. De esta forma evitamos ciertos scripts que se aprovechan de ese tiempo. El valor típico en términos de seguridad es 30, aunque si te gusta deja menos tiempo, ya tu consideraras.
LoginGraceTime 30
Justo debajo tienes otras de las opciones más importantes, PermitRootLogin. Si antes usé la metáfora del caco y el portal, esta opción viene a ser que si sabe por qué puerto entrar, tan sólo le queda averiguar dos datos: el nombre de una cuenta y su contraseña.
Si tenemos esta opción habilitada (yes) el caco ya tiene la mitad del trabajo hecho, pues el usuario “root” existe en todas las máquinas GNU/Linux, tan sólo le queda averiguar la contraseña. Por eso es más que recomendable deshabilitar esta opción. No te preocupes si tienes en mente usar SSH para hacer un uso administrativo, puedes hacerlo con tu cuenta y sudo sin problemas!!
PermitRootLogin no
También puedes señalar con el dedo las cuentas que tienen permitido el uso SSH (AllowUsers).
Pongamos un ejemplo, que es como mejor se entienden las cosas:
Supongamos que tienes un amigo con el que quieres compartir algo vía SSH y además tiene un hermano que es un fastidio y en el que no confías por se muy entrometido. Llamaremos a las cuentas “amigo” y “hermanastro” respectivamente. Para restringir el uso de SSH a tu amigo y a tu propia cuenta (llamémosla “dona”) podemos indicárselo mediante configuración. Incluso podemos indicar también que tu amigo sólo se pueda conectar a tu ordenador desde el suyo, sabiendo su IP (supongamos que es 83.45.258.21). Pondríamos en la configuración:
AllowUsers pepito amigo@83.45.258.21
De esta forma tú podrías usar tu cuenta (dona) para conectar a tu equipo desde cualquier lugar, tu amigo podría hacerlo sólo desde su ordenador (si tiene esa IP) y tu hermano no podría conectar a tu máquina vía SSH, si no tiene tu cuenta.
Otra opción interesante es el número de intentos que tiene el usuario remoto para hacer login (MaxAuthTries). Como comenté antes, quien intente conectar debe acordarse de su login y password, por lo que es tontería darle un número grande de intentos. En principio con dos son más que suficientes. Si al segundo intento no lo ha conseguido se cortará la conexión SSH. Siempre se puede volver a conectar y reintentarlo, pero así nos quitamos de encima ciertos scripts que intentan encontrar el login por fuerza bruta a base de ensayo y error.
MaxAuthTries 2
Por último hay otra opción que define el número máximo de usuarios conectados simultáneamente a tu máquina. Esto ha de adaptarse a tus propias necesidades. Si estamos hablando de un ordenador personal donde sólo vas a iniciar sesion tú, pues lo lógico sería que como mucho hubiera una. Si estamos hablando de un ordenador que hará las veces de servidor compartiendo una carpeta a varias máquinas, deberás decidir cuántos son. Cuanto tengas claro el número indícalo en la opción siguiente en lugar de la ‘X’:
MaxStartups X
Ya puedes guardar y cerrar gedit. Con esto tienes un servidor SSH bastante seguro. Como comenté antes nunca es 100% seguro pero pro ahora estarás bien protegido. Sólo resta reiniciar el propio servidor SSH para que tome los cambios que hemos efectuado en su configuración.
$ sudo /etc/init.d/ssh restart
Un último consejo. si quieres tener un sistema seguro, no uses password de tipo, 123456 o tu nombre o tu teléfono o el nombre de tu perro o el el nombre de tu novia, o las típicas, sexo, dios... en fin complica la vida de estos mal intencionados y usa combinaciones interesantes, ejemplo: si mi antigua password es "America" intenta transformarla en algo como "01Ann3r!c@10" te aseguro q una password de esta categoría es un dolor de cabeza para un ataque por fuerza bruta.
Ahora que tenemos SSH bien seguro miremos para qué sirve. asumo que tienes dos equipos, en el que estas sentado y al que te quieres conectar. Obviamente es importante tener una cuenta en el segundo para poder entrar. La forma de conectar por defecto es la siguiente:
$ ssh tu_cuenta@ip_del_ordenador_remoto
Esto sería si no hubiéramos cambiado el puerto, ya que intentaría conectar por el puerto 22 que es el puerto por defecto del cliente. lo puedes cambiar si quieres para que conecte por defecto por el puerto que le digas en lugar del 22 editando el fichero /etc/ssh/ssh_config. quitas el comentario (si está comentada) la opción “Port” y en lugar de “22″ ponéis el que queráis.
La otra opción, que es lo más normal, es simplemente indicarle en la línea de conexión qué puerto ha de usar:
$ ssh -p puerto tu_cuenta@ip_del_ordenador_remoto
Para que lo notes más claro voy a poner un ejemplo. Mi portátil está en la ip 192.168.1.3 y el puerto SSH que tengo para el mismo es el 4884. La cuenta que voy a usar para conectarme es “cochinito”, así que para conectar desde mi PC de sobremesa al portatil sería:
$ ssh -p 4884 pepino@192.168.1.3
Aquí debe estar pidiendo un password
cochinito@192.168.1.4's password:
La introducimos y tras un texto de “bienvenida” veremos que nuestro prompt ha cambiado a “nombre_cuenta@nombre_manquina”. Mi portatil se llama victoria, entonces mi prompt es:
cochinito@victoria:~$
Listo compañeros de lucha, ya estas en la home de tu cuenta en el equipo remoto
$ scp ruta/archivo cuenta_en_ordenador_presente@ip_ordenador_presente:ruta/fichero
$ scp /home/pepito/Desktop/pepito.jpg tux@192.168.1.6:/home/tux/Colombia_tierra_querida.jpg
$ scp -P 8448 /home/pepino/Desktop/pepito.jpg tux@192.168.1.6:/home/tux/Colombia_Tierra_querida.jpg
pepito@192.168.1.4's password:
Colombia_tierra_querida.png 100% 292KB 291.7KB/s 00:00
$ scp -P 8448 pepito.jpg tux@192.168.1.6:/home/tux/Colombia_tierra_querida.jpg
Otros usos
pepito@salamandra:~$ sudo reboot
Broadcast message from pepito@salamandra
(/dev/pts/1) at 23:45 ...
The system is going down for reboot NOW!
Ó
pepito@salamandra:~$ sudo halt
Broadcast message from pepito@salamandra
(/dev/pts/1) at 23:51 ...
The system is going down for halt NOW!
ssh://tu_cuenta@ip_pc_remoto
ssh://pepino@192.168.1.4
ssh://pepino@192.168.1.4:4884
