# 🛡️ SSH బ్రూట్ ఫోర్స్ డిఫెన్స్: మీ లైనక్స్ సర్వర్‌ను పటిష్టం చేయడాని 🛡️ SSH Brute Force Defense: A Step-by-Step Guide to Hardening Your Linux Server Secure Shell (SSH) is the backbone of remote server management. However, its default exposed state makes it a prime target for automated **brute-force attacks**, where bots attempt to guess your login credentials. సెక్యూర్ షెల్ (SSH) అనేది రిమోట్ సర్వర్ నిర్వహణకు వెన్నెముక. అయితే, దాని డిఫాల్ట్ బహిర్గత స్థితి ఆటోమేటెడ్ **బ్రూట్-ఫోర్స్ దాడులకు** ప్రధాన లక్ష్యంగా మారుతుంది, ఇక్కడ బాట్‌లు మీ లాగిన్ ఆధారాలను ఊహించడానికి ప్రయత్నిస్తాయి. Protecting your server isn't difficult—it just requires a few crucial steps. This guide will walk you through the essential techniques to lock down your server and significantly reduce the risk of compromise. మీ సర్వర్‌ను రక్షించడం కష్టం కాదు—దీనికి కొన్ని ముఖ్యమైన దశలు మాత్రమే అవసరం. మీ సర్వర్‌ను సురక్షితం చేయడానికి మరియు రాజీ పడే ప్రమాదాన్ని గణనీయంగా తగ్గించడానికి అవసరమైన పద్ధతులను ఈ గైడ్ మీకు చూపుతుంది. ## 1\. Prerequisites Before we begin, you'll need: * A Linux server (e.g., Ubuntu, Debian, CentOS, RHEL). * **Root or sudo access** to the server. * **Basic familiarity** with the Linux command line and text editors like `nano` or `vim`. మనం ప్రారంభించే ముందు, మీకు ఇవి అవసరం: * ఒక లైనక్స్ సర్వర్ (ఉదా. Ubuntu, Debian, CentOS, RHEL). * సర్వర్‌కు **రూట్ లేదా sudo యాక్సెస్**. * లైనక్స్ కమాండ్ లైన్ మరియు `nano` లేదా `vim` వంటి టెక్స్ట్ ఎడిటర్‌లతో **ప్రాథమిక పరిచయం**. ## 2\. Step 1: Switch to Key-Based Authentication 🔑 ## 2\. దశ 1: కీ-ఆధారిత ప్రమాణీకరణకు మారండి 🔑 The single most effective defense is to disable password logins entirely and rely on **SSH Key Pairs**. This makes brute-force attacks virtually impossible, as guessing a key is mathematically infeasible. పాస్‌వర్డ్ లాగిన్‌లను పూర్తిగా నిలిపివేసి, **SSH కీ జతలపై** ఆధారపడటం అత్యంత ప్రభావవంతమైన రక్షణ. కీని ఊహించడం గణితపరంగా అసాధ్యం కాబట్టి, ఇది బ్రూట్-ఫోర్స్ దాడులను ఆచరణాత్మకంగా అసాధ్యం చేస్తుంది. ### A. Generate Your Key Pair (On Your Local Machine) ### A. మీ కీ జతను రూపొందించండి (మీ స్థానిక యంత్రంలో) If you don't already have one, generate an ED25519 key pair. This is more secure and faster than RSA. మీకు ఇప్పటికే లేకపోతే, ED25519 కీ జతను రూపొందించండి. ఇది RSA కంటే సురక్షితమైనది మరియు వేగవంతమైనది. ```bash ssh-keygen -t ed25519 ``` --- * You'll be prompted to save the key. The default locations (`~/.ssh/id_ed25519` for the **private key** and `~/.ssh/id_`[`ed25519.pub`](http://ed25519.pub) for the **public key**) are usually fine. * **Set a strong passphrase** for your private key. * కీని సేవ్ చేయమని మీరు ప్రాంప్ట్ చేయబడతారు. డిఫాల్ట్ స్థానాలు (**ప్రైవేట్ కీ** కోసం `~/.ssh/id_ed25519` మరియు **పబ్లిక్ కీ** కోసం `~/.ssh/id_`[`ed25519.pub`](http://ed25519.pub)) సాధారణంగా సరిపోతాయి. * మీ ప్రైవేట్ కీ కోసం **బలమైన పాస్‌ఫ్రేజ్‌ను సెట్ చేయండి**. ![](https://cdn.hashnode.com/res/hashnode/image/upload/v1759244949975/84ce6e8c-cbde-4a99-9342-86a22228d07f.png align="center") ### B. Copy the Public Key to the Server ### B. పబ్లిక్ కీని సర్వర్‌కు కాపీ చేయండి Use ssh-copy-id to easily transfer your public key to your server:. మీ పబ్లిక్ కీని మీ సర్వర్‌కు సులభంగా బదిలీ చేయడానికి `ssh-copy-id` ఉపయోగించండి: ```bash ssh-copy-id -i ~/.ssh/id_ed25519.pub your_username@your_server_ip ``` * You will be asked for your **password** one last time. * మీరు చివరిసారిగా మీ **పాస్‌వర్డ్** కోసం అడగబడతారు. ![](https://cdn.hashnode.com/res/hashnode/image/upload/v1759244914555/df657f1f-dcbf-4a3e-aff5-cb4711a41717.png align="center") ### C. Test Key-Based Login ### C. కీ-ఆధారిత లాగిన్‌ను పరీక్షించండి Log out and try to log back in using your key: లాగ్ అవుట్ చేసి, మీ కీని ఉపయోగించి తిరిగి లాగిన్ చేయడానికి ప్రయత్నించండి: ```bash ssh your_username@your_server_ip ``` * If successful, you should be prompted for your key's **passphrase** instead of your server password. * విజయవంతమైతే, మీ సర్వర్ పాస్‌వర్డ్‌కు బదులుగా మీ కీ యొక్క **పాస్‌ఫ్రేజ్** కోసం మీరు ప్రాంప్ట్ చేయబడతారు. ![](https://cdn.hashnode.com/res/hashnode/image/upload/v1759244802964/d53244d6-4fc9-4fad-9509-4a8e74e3d93d.png align="center") ## 3\. Step 2: Disable Password Authentication ### 3\. దశ 2: పాస్‌వర్డ్ ప్రమాణీకరణను నిలిపివేయండి Once you confirm key-based login works, you must disable password logins to close the door on brute-force attackers. కీ-ఆధారిత లాగిన్ పనిచేస్తుందని మీరు నిర్ధారించిన తర్వాత, బ్రూట్-ఫోర్స్ దాడిదారుల నుండి తలుపు మూసివేయడానికి మీరు పాస్‌వర్డ్ లాగిన్‌లను నిలిపివేయాలి. ### A. Edit the SSH Configuration File Open the SSH daemon configuration file, typically located at `/etc/ssh/sshd_config`. సాధారణంగా `/etc/ssh/sshd_config` వద్ద ఉన్న SSH డెమోన్ కాన్ఫిగరేషన్ ఫైల్‌ను తెరవండి. ```bash sudo nano /etc/ssh/sshd_config ``` ### B. Apply Hardening Changes ### B. పటిష్టం చేసే మార్పులను వర్తింపజేయండి Find and modify (or add) the following lines: కింది పంక్తులను కనుగొని సవరించండి (లేదా జోడించండి): | Directive | Recommended Setting | Purpose | | --- | --- | --- | | `PasswordAuthentication` | `no` | **Crucial:** Disables all password logins. | | `PermitRootLogin` | `no` | Prevents direct login as the **root** user. | | `X11Forwarding` | `no` | Disable if you don't use graphical applications over SSH. | Your changes should look like this: మీ మార్పులు ఇలా ఉండాలి: ```ini # /etc/ssh/sshd_config PasswordAuthentication no PermitRootLogin no X11Forwarding no" ``` ### C. Restart the SSH Service ### C. SSH సర్వీస్‌ను పునఃప్రారంభించండి Apply the changes by restarting the SSH service: SSH సర్వీస్‌ను పునఃప్రారంభించడం ద్వారా మార్పులను వర్తింపజేయండి: **On Debian/Ubuntu:** ```bash sudo systemctl restart ssh ``` **On CentOS/RHEL:** ```bash sudo systemctl restart sshd ``` ## 4\. Step 3: Change the Default SSH Port 🚪 ### 4\. దశ 3: డిఫాల్ట్ SSH పోర్ట్‌ను మార్చండి 🚪 Brute-force bots typically target the **default SSH port, 22**. Changing this to a non-standard, high-numbered port (e.g., 2222, 58491) won't stop a determined attacker, but it will eliminate the vast majority of automated scanning noise. బ్రూట్-ఫోర్స్ బాట్‌లు సాధారణంగా **డిఫాల్ట్ SSH పోర్ట్, 22**ని లక్ష్యంగా చేసుకుంటాయి. దీన్ని నాన్-స్టాండర్డ్, అధిక సంఖ్య గల పోర్ట్‌కు (ఉదా. 2222, 58491) మార్చడం వలన నిర్ణీత దాడిదారు ఆగిపోరు, కానీ ఇది ఆటోమేటెడ్ స్కానింగ్ శబ్దంలో ఎక్కువ భాగాన్ని తొలగిస్తుంది. ### A. Edit the SSH Configuration File ### A. SSH కాన్ఫిగరేషన్ ఫైల్‌ను సవరించండి Open `/etc/ssh/sshd_config` again: `/etc/ssh/sshd_config`ను మళ్లీ తెరవండి: ```bash sudo nano /etc/ssh/sshd_config ``` ### B. Change the Port ### B. పోర్ట్‌ను మార్చండి Find the line for `Port` and change it to a port between 1024 and 65535. For example, we'll use `2222`. `Port` కోసం పంక్తిని కనుగొని, దానిని 1024 మరియు 65535 మధ్య ఉన్న పోర్ట్‌కు మార్చండి. ఉదాహరణకు, మనం `2222`ను ఉపయోగిస్తాము. ```ini # /etc/ssh/sshd_config Port 2222 ``` ![](https://cdn.hashnode.com/res/hashnode/image/upload/v1759235978467/146ebc8e-0b48-4b58-8c20-503a6d738a79.png align="center") ### C. Open the New Port in the Firewall ### C. ఫైర్‌వాల్‌లో కొత్త పోర్ట్‌ను తెరవండి You **must** open the new port in your server's firewall *before* restarting SSH. Otherwise, you will lock yourself out! మీరు SSHను పునఃప్రారంభించే *ముందు* మీ సర్వర్ యొక్క ఫైర్‌వాల్‌లో కొత్త పోర్ట్‌ను **తప్పక** తెరవాలి. లేకపోతే, మీరు లాక్ అవుట్ అవుతారు! **Using UFW (Ubuntu/Debian):** **UFW ఉపయోగించి (Ubuntu/Debian):** ```bash sudo ufw allow 2222/tcp sudo ufw delete allow 22/tcp # Remove old port access ``` **Using firewalld (CentOS/RHEL):** **firewalld ఉపయోగించి (CentOS/RHEL):** ```bash sudo firewall-cmd --permanent --add-port=2222/tcp sudo firewall-cmd --reload ``` ![](https://cdn.hashnode.com/res/hashnode/image/upload/v1759236099893/5a673fb2-fd4b-4ef5-abf0-35dd693b2bc4.png align="center") **D. Restart the SSH Service** **D. SSH సర్వీస్‌ను పునఃప్రారంభించండి** ```bash sudo systemctl restart ssh ``` ### E. Connecting to the New Port ### E. కొత్త పోర్ట్‌కు కనెక్ట్ చేయడం From now on, you'll need to specify the port when connecting: ఇకపై, మీరు కనెక్ట్ చేస్తున్నప్పుడు పోర్ట్‌ను పేర్కొనాలి: ```bash ssh -p 2222 your_username@your_server_ip ``` Successfully logged in the server with the customized port (sometimes restart may require) ![](https://cdn.hashnode.com/res/hashnode/image/upload/v1759241362185/3e97f1ef-6e28-4b88-a38f-b54ed9e5f1ac.png align="center") ## 🔧 4.1 Troubleshooting: SSH Key Authentication Issues ### 🔧4.1 ట్రబుల్షూటింగ్: ఇతర యంత్రాలలో SSH కీ ప్రమాణీకరణ సమస్యలు Switching to key-based login is secure, but you might run into connection errors when logging in from a new computer or after copying your key. Here are the most common issues and their fixes. కీ-ఆధారిత లాగిన్‌కు మారడం సురక్షితం, కానీ కొత్త కంప్యూటర్ నుండి లాగిన్ అయినప్పుడు లేదా మీ కీని కాపీ చేసిన తర్వాత కనెక్షన్ లోపాలను ఎదుర్కొనే అవకాశం ఉంది. ఇక్కడ సాధారణ సమస్యలు మరియు వాటి పరిష్కారాలు ఉన్నాయి. ### A. Permission Denied (Public Key) ### A. పర్మిషన్ నిరాకరణ (Permission Denied - Public Key) The most frequent error is **"Permission denied (publickey)."** This usually means the server either can't find your key or the local machine's permissions are too open. అత్యంత తరచుగా వచ్చే లోపం **"Permission denied (publickey)."** దీని అర్థం సర్వర్ మీ కీని కనుగొనలేకపోయింది లేదా స్థానిక యంత్రం యొక్క అనుమతులు చాలా ఓపెన్‌గా ఉన్నాయి #### **On Your Local Machine (The machine you are connecting from):** ### **మీ స్థానిక యంత్రంలో (మీరు కనెక్ట్ చేస్తున్న యంత్రం):** * **సమస్య:** మీ ప్రైవేట్ కీ ఫైల్ (`id_ed25519` లేదా `id_rsa`) తప్పు అనుమతులను కలిగి ఉంది. SSHకి చాలా కఠినమైన, సురక్షితమైన అనుమతులు అవసరం. * **పరిష్కారం:** మీ ప్రైవేట్ కీని మీరు మాత్రమే చదవగలరని నిర్ధారించుకోండి. * **Issue:** Your private key file (`id_ed25519` or `id_rsa`) has incorrect permissions. SSH requires very strict, secure permissions. * **Fix:** Ensure only you can read the private key. ```bash chmod 400 ~/.ssh/id_ed25519 ``` #### On the Server (The machine you are connecting to): #### **సర్వర్‌లో (మీరు కనెక్ట్ అవుతున్న యంత్రం):** * **సమస్య:** సర్వర్‌లోని `.ssh` డైరెక్టరీ లేదా `authorized_keys` ఫైల్ తప్పు అనుమతులను కలిగి ఉంది. * **పరిష్కారం:** సర్వర్‌లోని కీ ఫైల్‌ల కోసం ఈ సురక్షిత అనుమతులను ఉపయోగించండి: * **Issue:** The `.ssh` directory or the `authorized_keys` file on the server has incorrect permissions. * **Fix:** Use these secure permissions for the key files on the server: ```bash # Secure the .ssh directory chmod 700 ~/.ssh # Secure the authorized_keys file chmod 600 ~/.ssh/authorized_keys ``` ### B. Key Agent Issues (Key Not Found) ### B. కీ ఏజెంట్ సమస్యలు (Key Agent Issues - Key Not Found) If you are using a new local machine or are prompted for a password instead of your key's passphrase, the system might not be aware of your key. * **Issue:** Your key is not loaded into the **SSH agent**, which manages your keys in memory. * **Fix:** Manually start the agent and add your key: మీరు కొత్త స్థానిక యంత్రాన్ని ఉపయోగిస్తున్నట్లయితే లేదా మీ కీ యొక్క పాస్‌ఫ్రేజ్‌కు బదులుగా పాస్‌వర్డ్ కోసం ప్రాంప్ట్ చేయబడినట్లయితే, సిస్టమ్‌కు మీ కీ గురించి తెలియకపోవచ్చు. * **సమస్య:** మీ కీ **SSH ఏజెంట్‌లో** లోడ్ చేయబడలేదు. * **పరిష్కారం:** ఏజెంట్‌ను మాన్యువల్‌గా ప్రారంభించి, మీ కీని జోడించండి: ```bash # Start the SSH agent eval "$(ssh-agent -s)" # Add your key to the agent ssh-add ~/.ssh/id_ed25519 # You will be prompted for your key's passphrase here. ``` If you have multiple keys, try running `ssh-add -l` to see which keys are loaded. ### C. Key Mismatch or Identity Not Specified ### C. కీ సరిపోలకపోవడం లేదా గుర్తింపు పేర్కొనబడకపోవడం (Key Mismatch or Identity Not Specified) Sometimes, the SSH client tries to use the wrong key or doesn't know which key to use for a specific server. కొన్నిసార్లు, SSH క్లయింట్ తప్పు కీని ఉపయోగించడానికి ప్రయత్నిస్తుంది లేదా నిర్దిష్ట సర్వర్ కోసం ఏ కీని ఉపయోగించాలో తెలియదు. * **Issue:** You are not using the default key name (like `id_ed25519`) or you have multiple keys. * **Fix:** Explicitly tell the client which key file to use with the `-i` flag: * **సమస్య:** మీరు డిఫాల్ట్ కీ పేరును (ఉదా. `id_ed25519`) ఉపయోగించడం లేదు లేదా మీకు బహుళ కీలు ఉన్నాయి. * **పరిష్కారం:** ఏ కీ ఫైల్‌ను ఉపయోగించాలో `-i` ఫ్లాగ్‌తో క్లయింట్‌కు స్పష్టంగా చెప్పండి: ```bash ssh -i ~/.ssh/my_special_server_key -p 2222 your_username@your_server_ip ``` (గమనిక: మీరు దశ 3ని అనుసరించినట్లయితే, `2222`ని మీ కస్టమ్ పోర్ట్‌తో భర్తీ చేయండి.) (Note: Replace `2222` with your custom port if you followed Step 3.) ## 5\. Step 4: Install and Configure Fail2ban 🤖 ### 5\. దశ 4: Fail2banను ఇన్‌స్టాల్ చేసి కాన్ఫిగర్ చేయండి 🤖 Even with key-based authentication, you'll still see bots knocking on your door. **Fail2ban** is an intrusion prevention software that scans log files (like your SSH logs) for repetitive failed login attempts and dynamically bans the corresponding IP addresses using the firewall. కీ-ఆధారిత ప్రమాణీకరణతో కూడా, మీ తలుపు తట్టే బాట్‌లను మీరు చూస్తూనే ఉంటారు. **Fail2ban** అనేది ఒక చొరబాటు నివారణ సాఫ్ట్‌వేర్, ఇది పునరావృతమయ్యే విఫలమైన లాగిన్ ప్రయత్నాల కోసం లాగ్ ఫైల్‌లను (మీ SSH లాగ్‌ల వంటివి) స్కాన్ చేస్తుంది మరియు ఫైర్‌వాల్ ఉపయోగించి సంబంధిత IP చిరునామాలను డైనమిక్‌గా నిషేధిస్తుంది. ### A. Installation **A. ఇన్‌స్టాలేషన్** **On Debian/Ubuntu:** ```bash sudo apt update sudo apt install fail2ban ``` **On CentOS/RHEL:** ```bash sudo yum install fail2ban sudo systemctl enable fail2ban ``` ### B. Basic Configuration ### B. ప్రాథమిక కాన్ఫిగరేషన్ Fail2ban uses configuration files called **jails**. Do **not** edit the main configuration file (`/etc/fail2ban/jail.conf`). Instead, create a copy for your local overrides: Fail2ban **జైల్స్** అని పిలువబడే కాన్ఫిగరేషన్ ఫైల్‌లను ఉపయోగిస్తుంది. ప్రధాన కాన్ఫిగరేషన్ ఫైల్ (`/etc/fail2ban/jail.conf`)ను సవరించవద్దు. బదులుగా, మీ స్థానిక ఓవర్‌రైడ్‌ల కోసం ఒక కాపీని సృష్టించండి: ```bash sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local sudo nano /etc/fail2ban/jail.local ``` ### C. Modify Jail Settings **C. జైల్ సెట్టింగ్‌లను సవరించండి** Under the `[DEFAULT]` section, check/modify the following: `[DEFAULT]` విభాగం కింద, కింది వాటిని తనిఖీ చేయండి/సవరించండి: | Setting | Default/Example | Purpose | | --- | --- | --- | | `bantime` | `1h` (or `3600`) | How long an IP is banned (1 hour). | | `findtime` | `10m` (or `600`) | Time window for failed attempts (10 minutes). | | `maxretry` | `5` | Number of failed attempts before a ban. | ### D. Enable the SSH Jail **D. SSH జైల్‌ను ప్రారంభించండి** Find the SSH-specific jail, which is typically called `[sshd]`, and ensure it is enabled. సాధారణంగా `[sshd]` అని పిలువబడే SSH-నిర్దిష్ట జైల్‌ను కనుగొని, అది ప్రారంభించబడిందని నిర్ధారించుకోండి. ```ini [sshd] enabled = true port = 2222 # IMPORTANT: Use your custom port! logpath = %(sshd_log)s backend = systemd ``` E. **Start and Enable Fail2ban** E. Fail2banను ప్రారంభించి ఎనేబుల్ చేయండి ```bash sudo systemctl start fail2ban sudo systemctl enable fail2ban sudo systemctl status fail2ban ``` To see which IPs are currently banned, use: ప్రస్తుతం ఏ IPలు నిషేధించబడ్డాయో చూడటానికి, ఉపయోగించండి: ```bash sudo fail2ban-client status sshd ``` ## Summary of Hardening Steps ### పటిష్టం చేసే దశల సారాంశం By implementing these four steps, you've created a robust defense: 1. **Eliminated the weakest link:** Disabled password authentication. 2. **Secured the front door:** Disabled direct root login. 3. **Achieved security through obscurity:** Changed the default SSH port. 4. **Automated attack defense:** Installed and configured Fail2ban. ఈ నాలుగు దశలను అమలు చేయడం ద్వారా, మీరు బలమైన రక్షణను సృష్టించారు: 1. **బలహీనమైన లింక్‌ను తొలగించారు:** పాస్‌వర్డ్ ప్రమాణీకరణను నిలిపివేశారు. 2. **ముందు తలుపును సురక్షితం చేశారు:** డైరెక్ట్ రూట్ లాగిన్‌ను నిలిపివేశారు. 3. **గుప్తత ద్వారా భద్రతను సాధించారు:** డిఫాల్ట్ SSH పోర్ట్‌ను మార్చారు. 4. **ఆటోమేటెడ్ దాడి రక్షణ:** Fail2banను ఇన్‌స్టాల్ చేసి కాన్ఫిగర్ చేశారు. Your Linux server is now significantly hardened against the most common type of attack: the SSH brute-force bot. Stay secure! 🔒 మీ లైనక్స్ సర్వర్ ఇప్పుడు అత్యంత సాధారణ రకం దాడికి: SSH బ్రూట్-ఫోర్స్ బాట్‌కు వ్యతిరేకంగా గణనీయంగా పటిష్టం చేయబడింది. సురక్షితంగా ఉండండి! 🔒 ## ✅ SSH Hardening Checklist * \[x\] Change default SSH port * \[x\] Disable root login * \[x\] Use key-based authentication * \[x\] Restrict access by IP * \[x\] Install Fail2Ban * \[x\] Monitor logs regularly ## 📣 Conclusion SSH is powerful but vulnerable if left unprotected. By following these steps, you’ll greatly reduce the risk of brute force attacks and improve your server’s security posture. **Telugu:** ఈ చర్యలు తీసుకోవడం ద్వారా మీ Linux సర్వర్‌ను brute force దాడుల నుండి రక్షించవచ్చు. మరిన్ని bilingual tutorials కోసం Y-IT Simplified ని ఫాలో అవ్వండి. ## 🎥 Watch the Full Video ### 👉Y-iT Simplified - [SSH Hardening Tutorial](https://youtu.be/EooJ87GRWFs) ### 🔔 Call-to-Action 💬 Share your questions in the comments. 👍 If you found this useful, follow me here on [Blogs](https://it-forge.yerravalliitsimplified.com/). 🎥 Don’t forget to watch the full tutorial on my **YouTube** channel: **SSH Brute Force Defense: A Step-by-Step Guide to Hardening Your Linux Server** ## 👨‍💻 About the Author I’m **Rajesh Yerravalli**, the creator of **Yerravalli IT Simplified**. With over 20 **years of experience in IT**—covering IT Infrastructure, Linux, Windows, Networking, Servers, Cloud, and Cybersecurity—I’m passionate about breaking down complex technical topics into simple, hands-on tutorials. 📺 Watch tutorials on YouTube: [Yerravalli IT Simplified](https://www.youtube.com/@YerravalliITSimplified) (**Y-iT Simplified)** ✍️ Read more guides here on Hashnode.