Как обезопасить SSH? Может его выключить, и настроить VPN?

fail2ban хватит за глаза + аутентификация по ключам.

Зачем f2b, если по ключам? А просто так.

Отключи root логин.

А лучше сервер отключить. Так надежнее же))))

А чем ты управлять сервером собираешься?

Лентяйкой. ))))

Очевидно, что существует мало причин разрешения захода root через SSH. Отключить же такой доступ довольно просто и это позволит усилить безопасность.

ssh достаточно безопасен. Настрой авторизацию по ключам, или в качестве пароля длинную криптостойкую пассфразу используй, отключи ssh1 (уже отключен и выкинут совсем, но вдруг у тебя что то древнее очень), повесь демона на нестандартный порт, запрети логин для root. Этого достаточно обычно.

vpn (openvpn) не столь универсален и примерно так же надёжен.

fail2ban + ключи с паролем + отключение доступа по паролю + отключение логина рутом + не стандартный порт для ssh + слушать только свой ip + шапочка из фольги

Вот тогда SecuritySHell будет по настоящему Security

Спасибо за оветы! :)

Собственно, так и делаю. Но иногда испытываю неудобства, т.к. не всегда под рукой есть клиентский конфиг. Вот сижу сейчас в метро через публичный wifi без vpn, как дурак.

Кто тут советует рута по ссх отключать? Он же итак по дефолту запрещен.

Дефолты от дистрибутива зависят. В debian stable/testing кажется запрещён, а вот в oldstable помнится был ещё разрешён (или в oldoldstable). В CentOS (том который был самым свежим пару лет назад) кажется тоже был разрешён, но не поручусь.

А нафига?

Настрой порт кнокинг, ну и то, о чем уже писали выше

Ну получается, никто не может попасть, могут хоть усраться. Надёжненько. Хотя на самом деле пароль такой, что суперкомпьютер наверн крякал бы его час. А всякие ботнеты потратят на это вечность. Сижу с рута. На серве просто нихрена кроме jabber и owncloud нет.

А твой сервер очень интересен владельцам суперкомпьютеров?

ssh достаточно безопасен

Решето, в котором каждый месяц находят новую дырку, достаточно безопасно?

Оставить доступ к SSH только через VPN.

Нет, но вот ботнеты и всякие умники задалбывают. Это не компьютер, это виртуалка на достаточно известном хостинге, поэтому атака идёт с первых секунд создания. Похоже, атакуют чуть ли не весь диапазон их адресов.

debian jessie - включен

на моем jessie

PermitRootLogin without-password

а пониже

UsePAM yes

что сводится к PermitRootLogin no

Чтобы управлять сервером заходя на него по VPN.

Я почти так и делаю на особо критичных, точнее есть ограничение по ip, а со всех остальных только vpn.

что сводится к PermitRootLogin no

Нет, с «PermitRootLogin without-password» можно зайти рутом по ключу.
C «PermitRootLogin no» рутом зайти нельзя.
UsePAM на это не влияет.