hvostat: Jeeslaya (Default)
Как известно, fail2ban + аутентификация по RSA-ключам - залог крепкого и здорового сна у админа.

На серверной стороне:

0) Вваливаемся в *nix-у.
1) Создаём папку:
mkdir -p ~/.ssh
2) создаём пустое файло:
touch ~/.ssh/authorized_keys
3) редактируем содержимое в чем больше нравится
добавляем туда текст открытого RSA-ключа в виде ОДНОЙ ДЛИННОЙ СТРОКИ
5) сохраняем файл
6) Отключаем вход по паролю, редактируем:
sshd_config
Он лежит в /etc/ssh

PermitRootLogin no
PasswordAuthentication no
UsePAM no


На клиентской стороне:

В PuTTY:
1) Connection => Data указываем auto-login username
2) В Connection => SSH => Auth указываем путь к закрытому ключу
3) Сохраняем в "Saved Sessions"
???
4) PROFIT!!!

UPD:
Ахтунг, в комментах буйство никсарей! ))

__
hvostat: Jeeslaya (Default)
Публикую по просьбам трудящихся. ;)

Задача: усилить безопасность, отказаться от аутентификации по паролю в пользу аутентификации по RSA-ключам.

Решение (для Windows):
1) Загружаем PuttyGen
2) Выбираем параметры:
Type of key: "SSH-2 RSA"
Number of bits: "2048"
3) Жмачим кнопку "Generate"
4) Шевелим мышою для генерирования случайных чисел
5) Пишем коммент "JunOS Key"
6) НЕ задаём пароль
7) Копируем открытый ключ из окна выше:
"ssh-rsa AAAAB3Nz [ ... ] Zow== JunOS Key"
8) Сохраняем файл в надёжное хранилище.

Вваливаемся в роутер:
1) Переходим в режим редактирования конфигурации:
edit
2) Редактируем настройки доступа:
edit system login
3) Добавляем пользователя:
set user Stepan class super-user full-name "Stepan G. Tabooretkin" uid 2003 authentication ssh-rsa "ssh-rsa AAAAB3Nz [ ... ] Zow== JunOS Key"
4) Да, мы всё это серьезно:
commit

Вход в систему:
Запускаем PAgent и "натравливаем" его на наш файл с ЗАКРЫТЫМ ключом, который создавали в шаге 1.

Запускаем Putty:
1) В профиле подключения указываем Connections=> Data => Login details => Auto-login username "Stepan" и сохраняем настройки
2) Нажимаем "Open"
3) ???
4) PROFIT!!!

_
hvostat: Jeeslaya (Default)
1. Создаём пару ключей:
request security pki generate-key-pair size 2048 certificate-id webaccess

2. Создаём сертификат:
request security pki local-certificate generate-self-signed certificate-id webaccess email hvostat@hvostat.com domain-name hvostat.local ip-address 192.168.320.410 subject "CN=SRX-77.hvostat.local,OU=IT,O=LongTail LLC,L=Russia,ST=Moscow,C=RU"

3. Назначаем сертификат на HTTPS:
edit
set system services web-management https pki-local-certificate webaccess

4.???
5. Profit!

_

Profile

hvostat: Jeeslaya (Default)
hvostat

June 2017

S M T W T F S
    123
45678910
11121314151617
181920212223 24
252627282930 

Syndicate

RSS Atom

Style Credit

Expand Cut Tags

No cut tags
Page generated 27 July 2017 08:33
Powered by Dreamwidth Studios