그램이와 함께하는 내 홈서버 만들기 - 접속 보안

24시간 혹사 당하고 있는 내 그램 홈서버는 SSH로 접속 가능하다. 근데... 비밀번호 몇 자리가 유일한 보안이다.

last -f /var/log/btmp를 찍어보니... 뭐 저런 게 수천줄이 나옴;

서버를 열면 저렇게 해킹 봇들이 다 찔러보고 다닌다고 한다.

저기 ssh:notty는 터미널(TTY)도 못 얻고 입구컷 당했다는 뜻이다.

더 뒀으면 내 컴터는 비트코인 채굴기가 되고 있지 않았을까

~그래서 시작하는 보안 캠페인~

SSH Key라는 간단하고 좋은 방법이 있지만, 공부도 할겸 간지도 챙길겸 다른 것들을 써본다.

그리고 한다면... 다들 순서를 잘 지키길 바란다. 잘못하면 내 서버를 내가 못들어가 직접 서버 컴터를 열어야 하는 대참사가 벌어질 수 있다. 차 안에 차키 넣고 문 잠근 거임

나도 알고싶지 않았다.

Google 인증

언젠가 요런 SSH 접속할 때 Google 인증을 사용할 수 있다는 글을 읽은 적이 있다. 어디서 봤는지는 기억이 안남;

해당 깃허브

그래서 추가해봤다. 세팅은 상당히 쉽다.

sudo apt install libpam-google-authenticator
google-authenticator

이렇게 하면 무려 CLI 환경에서 QR코드가 뜨는데, 이걸 찍으면 된다. 폰 꺼내기 귀찮으면 Raycast에 'Scan QR Code'라는 좋은 Extension이 있으니 사용해보기.

그럼 뜨는 otp코드를 입력하고, 질문에 y만 해주면(시간 왜곡 보정, 무차별 대입 로그인 시도 시간 제한 관련) 세팅 끝

인줄 알았는데 보니까 sshd_config도 설정해줘야한단다.

포트 번호 변경

보통 해킹 봇들은 22번 포트만 두드린다. 안되면 다른 컴터를 찾지 굳이 내 서버에 집착하지 않음.

그래서 바꿔줬다.

일단 포트번호의 범위는 0 ~ 65,535다. 2^16개의 포트가 있는 셈이다.

그리고 그중에서 겹칠 일 없이 안전한 포트번호는 49,152 ~ 65,535다. 그린벨트라고 보면 된다.

대충 저 범위 안에서 정하고, 또 혹시 모르니 바꿀 포트 누가 쓰고있는지 확인하기

sudo netstat -tulpn | grep [바꿀 포트번호]

아무것도 안뜨면 아무도 안쓰고 있다는 뜻이다.

그 다음엔

root 로그인 금지

보안을 위해 애초에 root 로그인 자체를 금지시킨다.

vim /etc/ssh/sshd_config

에서 PermitRootLogin부분을 no로 바꾼다. 찾기 힘들면 vim 기본 상태에서 /슬래시 누르면 찾기 되니까 참고하기

Fail2Ban

비번 자주 틀리면 해당 IP 막아버리는 친구다.