Handbuch zur Serverkonfiguration für ESX - VMware

Kapitel 14 Sicherheit der Servicekonsole
SSH-Sicherheit
SSH ist eine häufig verwendete Unix- und Linux-Befehlsshell, mit der Sie eine Remoteanmeldung an der Servicekonsole
und bestimmte Management- und Konfigurationsaufgaben für den Host durchführen können.
SSH wird für sichere Anmeldevorgänge und Datenübertragungen verwendet, weil es einen höheren Schutz
als andere Befehlsshells bietet.
In dieser ESX-Version wurde die SSH-Konfiguration verbessert, um eine noch höhere Sicherheit zu gewährleisten.
Zu den wesentlichen Verbesserungen gehören die folgenden Schlüsselfunktionen:
• Deaktivierung des SSH-Protokolls, Version 1 – VMware unterstützt das SSH-Protokoll in Version 1 nicht
mehr, sondern verwendet nun ausschließlich das Protokoll in Version 2. Version 2 behebt bestimmte
Sicherheitsprobleme von Version 1 und bietet eine sicherere Kommunikationsschnittstelle zur Servicekonsole.
• Verbesserte Schlüsselqualität – SSH unterstützt nun nur noch 256-Bit- und 128-Bit-AES-Schlüssel für Verbindungen.
• Beschränkte Fernanmeldung als Root – Eine Remoteanmeldung als Root-Benutzer ist nicht mehr möglich.
Sie melden sich stattdessen als Benutzer an und verwenden dann entweder den Befehl sudo, um bestimmte
Vorgänge, die Root-Berechtigungen erfordern, auszuführen, oder den Befehl su, um zum Root-Benutzer
zu werden.
HINWEIS Der Befehl sudo bietet Sicherheitsvorteile, da er die Root-Aktivitäten einschränkt und ermöglicht,
den möglichen Missbrauch von Root-Berechtigungen zu überprüfen, indem er eine Prüfliste aller Root-
Aktivitäten anlegt, die der Benutzer durchführt.
Diese Einstellungen wurden so entworfen, dass die Daten, die Sie über SSH an die Servicekonsole übertragen,
gut geschützt werden. Wenn diese Konfiguration für Ihre Bedürfnisse zu streng ist, können Sie die Sicherheitsparameter
senken.
Ändern der SSH-Standardkonfiguration
Sie können die SSH-Standardkonfiguration ändern.
Vorgehensweise
1 Melden Sie sich an der Servicekonsole an, und rufen Sie Root-Berechtigungen ab.
2 Wechseln Sie in das Verzeichnis /etc/ssh.
3 Führen Sie in einem Texteditor einen der folgenden Vorgänge in der Datei sshd_config aus:
• Um Root-Remoteanmeldungen zuzulassen, ändern Sie die Einstellung in der folgenden Zeile in
yes:
PermitRootLogin no
• Um zum SSH-Standardprotokoll (Version 1 und 2) zurückzukehren, kommentieren Sie folgende Zeile
aus:
Protocol 2
• Um zur 3DES-Verschlüsselung und anderen Verschlüsselungsarten zurückzukehren, kommentieren
Sie folgende Zeile aus:
Ciphers aes256-cbc,aes128-cbc
• Um Secure FTP (SFTP) auf SSH zu deaktivieren, kommentieren Sie folgende Zeile aus:
Subsystem ftp /usr/libexec/openssh/sftp-server
VMware, Inc. 229