0

El escenario es el siguiente: Tengo un VPS (Droplet) en Digital Ocean (DO), me conecto mediante putty-ssh, sin embargo debo tener otro usuario habilitado con privilegios de root y con acceso por contraseña (sin ssh), esto es porque cuando hay problemas de conexión mediante putty-ssh, debo entrar a través de mi cuenta de DO, y acceder a la cónsola del droplet mediante ese usuario con contraseña para arreglar el problema. Esto suele ocurrir cada vez que reinicio el server y no puedo conectarme con ningún usuario desde putty, se rechaza la conexión. La solución es sencilla, reiniciar ufw y todo solucionado.

Sin embargo abro una puerta para los hackers que pueden romper fácilmente esta contraseña de usuario con todos los privilegios. La idea es permitir que este usuario se conecte solamente desde mi IP personal, pero el firewall de Ubuntu solo permite reglas de IP/puerto/aplicación, no se pueden referenciar a ningún usuario. ¿Cómo podría solucionar este problema?

3
  • Cuál es el estado del UFW cuando reinicia el servidor? . ufw status , si está disable significa que no se ha registrado para que arranque automáticamente.
    – JUribe
    Commented el 18 ago. 2018 a las 22:36
  • El firewall siempre está activo.
    – user11254
    Commented el 18 ago. 2018 a las 23:51
  • O programar una tarea para que lo reinicie luego de que termine de cargar todo.
    – JUribe
    Commented el 19 ago. 2018 a las 16:14

1 respuesta 1

0

Después de mucho investigar y hacer pruebas y más pruebas, en concreto con los comandos telnet y login, he descubierto algo que ignoraba; cuando el servicio SSH está activo, solo se permite la conexión mediante ssh con una clave privada, no se admite ningún otro tipo de conexión, ni siquiera con ssh+contraseña. Esta característica, o bien está integrada en Ubuntu, o bien está implementada por Digital Ocean, supongo que la primera.

Teniendo en cuenta esto, no existe el problema que planteaba en esta pregunta; nadie puede conectarse al servidor sino tiene la clave privada, y si además si solo permitimos la conexión ssh desde una IP específica, la seguridad es muy buena. Configurando el firewall de esta forma sencilla, será suficiente:

ufw status verbose

To              Action          From
--              ------          ----
8000            ALLOW IN        Anywhere
6666/tcp        ALLOW IN        15.15.15.15
8000 (v6)       ALLOW IN        Anywhere (v6)

El puerto 8000 para las solicitudes entrantes de los clientes HTTP y HTTPS, que serán gestionadas por django, y cualquier puerto diferente del 22 predeterminado para ssh, especificando la IP privada de mi equipo, solamente podré conectarme desde mi equipo con la clave privada correspondiente. También tendremos que modificar el archivo de configuración de ssh que es el archivo /etc/ssh/sshd_config sustituyendo el puerto 22, PasswordAuthentication no y reiniciando el servicio con service ssh restart.

2
  • Creo que será más bien por DO, si instalas un Ubuntu en tu equipo o en servidores x defecto se puede acceder con usuario y password. Luego con sido -i pasas a ser root. Esa configuración para que ssh utilice solo claves privadas o públicas suena aconfiguracion posterior ( o quizás DO utiliza una imagen preparada con esta configuración)
    – Jakala
    Commented el 23 ago. 2018 a las 6:51
  • Jakala, y si tienes ssh activado y configurado con PasswordAuthentication no, ¿también puedes conectarte con contraseña, si tienes un usuario con acceso por solo contraseña?
    – user11254
    Commented el 23 ago. 2018 a las 18:13

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.