Спорный вопрос – изменение порта ssh соединения с сервером

Dmitriy_2014, надо просто сесть и разобраться что и как.

Если речь идет о массовом скане по диапазону ип (а у тебя логин по ключу или длинному паролю), то волноваться не о чем. В этом случае (я тоже) меняю порт просто для того чтоб логи были почище. Это вопрос не безопасности вообще, просто для удобства.

Если речь идет о более конкретном скане, когда именно твой ip пытаются сбрутить или взломать - то конечно порт найдут быстро. Другое дело, что это особо ничего не даст.

---------- Добавлено 22.04.2019 в 05:18 ----------

Человека можно понять, от него количество символов требуют определенное.

Dmitriy_2014, если случится, что очень достанут, почитайте о port knocking.

Так я и не понял, и не увидел смысла в изменении порта ssh в целях безопасности, что будут пробовать подбирать пароли на стандартном 22 порту, так же узнают ваш измененный новый порт за 2 секунды и будут подбирать пароли на нем, да и какая разница что fail2ban будет блокировать попытки что на 22 порту или на нестандартном 3333. Да и сомнения что автоматические боты не вычислят порт работы ssh.

Я не вижу смысла параноить сильно. Везде, где это возможно, делаю доступ только по ключам, ну и fail2ban хорош и не только для ssh.

Когда-то поднимал и port knocking, сейчас забил.

Всегда меняю порт на своих серверах.

Меньше долбятся, меньше срабатывает Firewall

Далее вход только по файл ключу с паролем на него.

Обычный вход, логин+пароль отключаю.

В стандартный порт будут ломиться каждый день и много. В какой нибудь 5000 - раз в месяц.

Это все справедливо для общих сканеров, которые не сканируют порты, так как долго, плюс показывает, что сервер минимально защищен. Ищут же свежие сервера с базовыми паролями.

В нестандартный порт десяток запросов единичных в год. В стандартный часто десятки тыщ в сутки. Массово никому не интересно искать на левых портах, потому что за это время и ресурсы он просканит 100500 стандартных. Если у админа хватило ума сменить порт, то и пароль у него будет сложный и смысла нету на него тратить время.

Ну и от 100500 долбежек и распухания файл2бана - это ресурсы вашего сервера, часто файл2бан самый жрущий ресурсы процесс получается благодаря бруту.

Стандартный порт годится только для того, что бы составлять из долбящихся в него черный список. Достаточно эффективно, кстати. Хотя иногда приходится выковыривать народ, т.к. и честные люди иногда через эти ИП ходят (впн сервисы там, отсутствие белых ИП в учереждении и т.д.).

Держать там рабочий порт аналогично тому, что не менять стандартный замок на двери, мотивируя тем, что "кому надо все равно взломают".

Смысл менять порт есть, это снижение попыток слома, а значит уменьшение его вероятности. Другой вопрос, на сколько именно пунктов.

Если мы говорим о входе по паролю условно высокой стойкости, то фиолетово, как много взломщиков знают о сервисе на порту, т.к. в конечном счете все сводится к лишней брут-нагрузке на сервер, которой на практике можно принебречь.

Другой вопрос, что завтра откроют очередное переполнение и условная стойкость всех паролей условно очень сильно понизится, тогда уже будет играть большую роль то, в каком количестве баз фигурирует ваша конечная точка. Чем больше взломщиков будут знать, куда идти, тем меньше времени останется у вас на реакцию. Как-то так.

---------- Добавлено 14.05.2019 в 00:12 ----------

Кстати, вовсе не за секунду. Просканить все стандартные диапазоны (или вообще все порты) на сервисы, это, мне кажется, непозволительная роскошь при работе по множеству "рандомных" адресов.

Не нужно в принципе говорить о входе по паролю :) Только по ключу.