Ubuntu 18.04 SSH Login für den root-Nutzer aktivieren

<div align="center"><a href='https://zap-hosting.com/a/18c912514597e2a7d420e21442acb0d3ecb0752f'><img src="https://zap-cdn.com/interface/_images/banner/vrserver/v-r-Server-728x90.png" alt="ZAP-Hosting Gameserver and Webhosting"></a></div align="center">

Bei der Installation eines eignen Linux Servers stoßen viele nach der Installation auf das Problem, dass sie sich nicht via SSH und dem root Benutzer auf ihren Server einloggen können. Ähnliche Probleme können auch bei diversen drittklassigen Hostern auftreten die ihre Linux Images falsch konfiguriert haben. Im folgenden möchte ich euch kurz erklären wie ihr auf einem Unix-System dieses "Problem" beheben könnt.

Doch fangen wir von vorne an.

Warum funktioniert der root-Login standardmäßig nicht?

Die Antwort auf diese Frage ist ganz einfach, aus Sicherheitsgründen. Zum einen stellt der root-Account eine potenzielle Angriffsquelle dar für Bruteforce Angriffe etc..., zum anderen soll verhindert werden, dass der root-Account als Standardaccount verwendet wird.

Wenn euch diese Risiken klar sind und ihr mit diesen keine Probleme habt könnt ihr mit diesem Tutorial fortfahren.

Bei der Installation eures Servers wurdet ihr um die Erstellung eines neuen Nutzers gebeten. Nutzt nun die Daten dieses Accounts und loggt euch via SSh auf eurem Server ein. Solltet ihr den Server nicht selbst installiert haben, sondern habt ihn so von einem Hoster bekommen, versucht die Logindaten, die er euch gegeben hat.

Geht nun mit cd /etc/ssh zum Speicherort von SSH. Nun müsst ihr das Konfigurationsfile "sshd_config" bearbeiten, gebt dazu sudo nano sshd_config in eure Konsole eine.
Nun sucht ihr den Eintrag PermitRootLogin. Sollte vor diesem Eintrag ein # sein, so entfernt dieses bitte damit der Eintrag gelesen werden kann. Anschließend ändert ihr den Eintrag von PermitRootLogin prohibit-password zu PermitRootLogin yes. Wenn ihr diesen Eintrag erfolgreich geändert habt, könnt ihr jetzt mit "STRG+O" das File speichern und anschließend mit "STRG+X" nano beenden.

Nun müsst ihr dem root-Account ein Passwort zuweisen, da dieser Standardmäßig keines hat. Gebt hierfür sudo passwd root in eurer Konsole ein. Nun werdet ihr aufgefordert euch ein Passwort auszusuchen und dieses zweimal einzugeben.

Wenn ihr diese Schritte alle Erfolgreich abgeschlossen habt, könnt ihr den SSH-Dienst auf eurem Server neustarten. Dies macht ihr, indem ihr sudo /etc/init.d/ssh restart in der Konsole eingebt.

Nun könnt ihr euch mit eurem root-Account auf dem Server einloggen.

Solltet ihr weitere Probleme haben oder etwas nicht in diesem Tutorial verstanden haben, habe ich auf meinem YouTube-Channel noch dieses Video für euch:

<div align="center"><iframe width="560" height="315" src="https://www.youtube.com/embed/81ZlAvgvq_Q?rel=0&amp;controls=0@@@WCF_LITERAL_AMP@@@showinfo=0" frameborder="0" allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe></div>

Ich hoffe euch hat dieses Tutorial geholfen.
Falls ihr Hilfe braucht stehe ich euch gerne zur Verfügung.

Moin @MasterZyper,

Ich wäre auch dafür, wenn man dies aber nicht mit einem Passwort, sondern mit einem Keyfile macht und wenn dann einen anderen Port nimmt.

Grund ist einfach dieser, dass man mittels "Null Packet Attack" oder einem Bruteforce Angriff den Zugang bekommen kann.

Und es gibt genug Maschinen, die keinen ausreichenden Schutz haben und die „Kunden“ später Post und eine Anzeige am Hals haben, weil ihre Kiste verdächtige Dinge im Internet macht. Der Kunde haftet für seine eigene Maschine selber, das wissen die wenigsten. (siehe http://www.huschi.net/1_262_de-was-bedeutet-haftung-als-server-betreiber.html)

Ein Newbie (Vorurteilslos für "neuer Server-Admin ohne viel Ahnung") betreibt einen (V)Server. Ohne gute Kenntnisse hat er ein Webblog installiert und noch eine kleine Community-Software für seine Freunde.

Und weil alles so leicht war, vermietet er noch etwas Platz für einen kleinen Webshop der Nachbarin. Da in den AGB's des Hosters "99%ige Erreichbarkeit" garantiert werden, hat er diese Klausel auch für sein Webhosting übernommen.

Nun zu den Übelkeiten:

Unter der Nase des gutgläubigen Admin wurde über eine Sicherheitslücke im Weblog-Script ein Spam-Script eingeschleust und per Cross-Site-Scripting (XSS) konnte von einem Hacker ein IRC-Bouncer installiert werden.

Welche Kosten kommt plötzlich auf unseren unbescholtenen Newbie zu?

• Der Server ist vom Hoster gesperrt worden, weil zu viele Klagen darüber eingingen.
  Zum Freischalten ist eine Rechnung von 20 EUR fällig.
• Da der Server nach der Freischaltung immer noch kompromittiert ist und weitere Klagen beim Hoster eingereicht werden, wird er zwangsweise neu installiert.
  Dabei geht die gesamte Datenbank (weil kein Backup vorhanden ist) über den Jordan.
• Da der Webshop der Nachbarin aber recht gut lief hat der Server-Ausfall ein Einkommensverlust von geschätzten 300 EUR verursacht.
  Bei Geld hört bekanntlich jede Freundschaft auf und der Verlust der Kundendaten kann ebenfalls nicht einfach so hingenommen werden.
• Ein benachbarter Server-Besitzer ist ebenfalls schon sauer weil seine Leitung nicht mehr soviel durchlässt und ist auf der Suche nach einem Schuldigen.
• Der IRC-Bot hat einen Angriff auf 3 wichtige Server einer großen Versicherungsgesellschaft gefahren.
  Diese hat bereits einen Anwalt eingeschaltet und verrechnet teure Ausfalls- und Administrationskosten.

Dazu kommen noch verschiedene unangenehme Nebensächlichkeiten wie z.B.:

1. Man ist nicht selber fähig das Problem zu lösen.
2. Auch im Falle eines Backups, spielt man meistens nach einer Neuinstallation das Einfallsloch erneut ein. Evtl. sogar die bereits installierten Bouncer/Spam-Scripte.
3. Der Server erscheint auf Real-Black-List-Seiten und wird nun von vielen Mail-Servern geblockt.
4. ...

Beispiel: Meine Server ändern alle 24 Stunden alle Sicherheitsrelevanten Ports und schickt mir dann eine Nachricht mit den neuen Ports.

Zugang bekommt man auch nur mit einem Key (Meinen Fingerabdruck kann aber auch eine Datei sein) und wenn man einmal was falsch macht, wird man gesperrt und man kommt auch nicht mehr rein. Kommt einer auf die Idee einen Port Scanner zu verwenden wird dieser gleich ebenfalls auf die Blockierliste gesetzt und kann sich nicht mehr mit dem Server verbinden

Man kann auch einfach nur den Keyfile einsetzen... Passwort deaktivieren... Port ändern zb (1224) und ist schon mal sicher.

*hust Dazu kommt auch noch das man eig niemals root nach außen zugänglich machen soll, sondern nur via sudo oder su

Die nötige Software zb für das sperren wäre zb fail2ban nur das muss man genau einstellen.

Falls gewünscht kann ich dazu gerne einen Beitrag schreiben.

Moin @MasterZyper,

Ich wäre auch dafür, wenn man dies aber nicht mit einem Passwort, sondern mit einem Keyfile macht und wenn dann einen anderen Port nimmt.

Grund ist einfach dieser, dass man mittels "Null Packet Attack" oder einem Bruteforce Angriff den Zugang bekommen kann.

Und es gibt genug Maschinen, die keinen ausreichenden Schutz haben und die „Kunden“ später Post und eine Anzeige am Hals haben, weil ihre Kiste verdächtige Dinge im Internet macht. Der Kunde haftet für seine eigene Maschine selber, das wissen die wenigsten. (siehe http://www.huschi.net/1_262_de-was-bedeutet-haftung-als-server-betreiber.html)

Beispiel: Meine Server ändern alle 24 Stunden alle Sicherheitsrelevanten Ports und schickt mir dann eine Nachricht mit den neuen Ports.

Zugang bekommt man auch nur mit einem Key (Meinen Fingerabdruck kann aber auch eine Datei sein) und wenn man einmal was falsch macht, wird man gesperrt und man kommt auch nicht mehr rein. Kommt einer auf die Idee einen Port Scanner zu verwenden wird dieser gleich ebenfalls auf die Blockierliste gesetzt und kann sich nicht mehr mit dem Server verbinden

Man kann auch einfach nur den Keyfile einsetzen... Passwort deaktivieren... Port ändern zb (1224) und ist schon mal sicher.

*hust Dazu kommt auch noch das man eig niemals root nach außen zugänglich machen soll, sondern nur via sudo oder su

Die nötige Software zb für das sperren wäre zb fail2ban nur das muss man genau einstellen.

Falls gewünscht kann ich dazu gerne einen Beitrag schreiben.

No front, aber ich bin der Meinung das Leute die nicht die nötige Erfahrung damit haben und sich vorher damit nicht auseinander gesetzt haben, selbst daran Schuld sind. Wenn man es nicht kann, soll man es lassen. Nicht jeder kann Fliesenleger werden. Da kann der Hoster dann gar nichts für. Für diesen Fall gibts es nicht umsonst Managed Server.

Guten Morgen @Henry,

Stimme ich dir zu, trotzdem sind diese Server aber ein Problem, weil es immer mehr werden, die kompromittiert und gegen uns selbst verwendet werden. Wir sind z. B. auch schon genau von so einem Server angegriffen worden und sowas nervt mit der Zeit. Die Tendenz steigt immer mehr und wenn wenigstens bisl erklärt wird das ein Server kein Spielzeug ist, sondern auch als Waffe benutzt werden kann mache ich wenigstens ein wenig das ganze sicherer und leiste einen kleinen Beitrag dazu.

Sowas einfach anzeigen. Anders werden es die Leute nie lernen.

Klingt hart aber ist leider so.

Moin @MasterZyper,

Ich wäre auch dafür, wenn man dies aber nicht mit einem Passwort, sondern mit einem Keyfile macht und wenn dann einen anderen Port nimmt.

Grund ist einfach dieser, dass man mittels "Null Packet Attack" oder einem Bruteforce Angriff den Zugang bekommen kann.

Und es gibt genug Maschinen, die keinen ausreichenden Schutz haben und die „Kunden“ später Post und eine Anzeige am Hals haben, weil ihre Kiste verdächtige Dinge im Internet macht. Der Kunde haftet für seine eigene Maschine selber, das wissen die wenigsten. (siehe http://www.huschi.net/1_262_de-was-bedeutet-haftung-als-server-betreiber.html)

Beispiel: Meine Server ändern alle 24 Stunden alle Sicherheitsrelevanten Ports und schickt mir dann eine Nachricht mit den neuen Ports.

Zugang bekommt man auch nur mit einem Key (Meinen Fingerabdruck kann aber auch eine Datei sein) und wenn man einmal was falsch macht, wird man gesperrt und man kommt auch nicht mehr rein. Kommt einer auf die Idee einen Port Scanner zu verwenden wird dieser gleich ebenfalls auf die Blockierliste gesetzt und kann sich nicht mehr mit dem Server verbinden

Man kann auch einfach nur den Keyfile einsetzen... Passwort deaktivieren... Port ändern zb (1224) und ist schon mal sicher.

*hust Dazu kommt auch noch das man eig niemals root nach außen zugänglich machen soll, sondern nur via sudo oder su

Die nötige Software zb für das sperren wäre zb fail2ban nur das muss man genau einstellen.

Falls gewünscht kann ich dazu gerne einen Beitrag schreiben.

Du scheinst einen Plan von all dem zu haben! Ich meine, ich wusste auch, dass man gehackt werden kann, dadurch auch Konsequenzen anfallen... Aber holla