elnappo.secure_openssh_server

Descripción general Versiones Perspectivas

ansible-role-secure-openssh-server

Configura una configuración segura para OpenSSH Server >= 6.5. Este playbook extiende tu archivo de configuración de sshd en lugar de reemplazarlo.

Desactiva la versión 1 de SSH
Desactiva RSAAuthentication (solo disponible en la versión 1)
No permite contraseñas vacías
Permite el acceso de root solo sin contraseña
Usa StrictModes
Permite solo KexAlgorithms, Ciphers y MACs recomendados por Secure Secure Shell
Elimina las claves de host DSA y ECDSA por defecto. Cambia ssh_remove_deprecated_server_keys si no es lo que deseas
Regenera la clave de host RSA si es más corta de 4096 bits (por defecto)
Desactiva el acceso por contraseña por defecto, lo que también establece MaxAuthTries 1 y LoginGraceTime 30

Configuración recomendada `~/.ssh/config`, `/etc/ssh/ssh_config`

Host *
    HashKnownHosts yes
    PasswordAuthentication no
    PubkeyAuthentication yes
    ChallengeResponseAuthentication no
    HostKeyAlgorithms ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ssh-ed25519,ssh-rsa,ecdsa-sha2-nistp521-cert-v01@openssh.com,ecdsa-sha2-nistp384-cert-v01@openssh.com,ecdsa-sha2-nistp256-cert-v01@openssh.com,ecdsa-sha2-nistp521,ecdsa-sha2-nistp384,ecdsa-sha2-nistp256
    KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256
    Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
    MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-ripemd160-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,hmac-ripemd160,umac-128@openssh.com

Alias para conexiones heredadas: alias ssh_ignore="ssh -F /dev/null"

Inspirado por

Requisitos

Ubuntu o Debian
OpenSSH Server >= 6.5 (que está en Ubuntu >= 14.04 y Debian >= 8)

Variables del Rol

ssh_sshd_config_dir: /etc/ssh/
ssh_sshd_config_path: "{{ ssh_sshd_config_dir }}sshd_config"
ssh_permit_root_login: "without-password" ¡las comillas son obligatorias!
ssh_disable_password_login: true
ssh_remove_deprecated_server_keys: true desactiva DSA, ECDSA y regenera la clave RSA si <ssh_host_rsa_key_length
ssh_host_rsa_key_length: 4096
ssh_setup_ufw: true
ssh_port: 22

Dependencias

Ninguna.

Ejemplo de Playbook

- hosts: server
  remote_user: root
  vars:
    - ssh_remove_deprecated_server_keys: false
    - ssh_port: 1813
  roles:
    - { role: elnappo.secure_openssh_server }