Pardus Linux’ta /etc/ssh/ Dizini SSH Güvenli Uzak Erişim Yapılandırma

🎯 Amaç

Pardus Server ve Pardus ETAP 23 istemcilerde kullanılan SSH (Secure Shell) servisinin:

• Nasıl çalıştığını

• /etc/ssh/ dizini altındaki dosyaların görevlerini

• Güvenli ve okul ortamına uygun yapılandırmayı

• Öğretmen–öğrenci erişim senaryolarını

ayrıntılı şekilde açıklamak için hazırlanmıştır.

---

1️⃣ SSH Nedir? (Kısa Hatırlatma)

SSH (Secure Shell):

• Ağ üzerinden şifreli ve güvenli uzak bağlantı sağlar.

• Sunucu yönetimi, dosya aktarımı (scp, sftp), otomasyon ve merkezi yönetim için kullanılır.

• Telnet’in güvenli alternatifidir.

📌 Pardus’ta varsayılan SSH servisi:

openssh-server

---

2️⃣ /etc/ssh/ Dizini Ne İşe Yarar?

ls /etc/ssh/

Bu dizin:

• SSH sunucu ve istemci ayarlarını

• Host (makine) anahtarlarını

• Güvenlik politikalarını

barındırır.

---

3️⃣ /etc/ssh/ İçindeki Önemli Dosyalar

📄 sshd_config (EN KRİTİK DOSYA)

📌 SSH Sunucu yapılandırma dosyasıdır

/etc/ssh/sshd_config

SSH ile ilgili tüm güvenlik kararları burada alınır.

Sık Kullanılan Parametreler

Parametre	Açıklama
Port	SSH portu (varsayılan: 22)
PermitRootLogin	root girişi
PasswordAuthentication	parola ile giriş
AllowUsers	izin verilen kullanıcılar
AllowGroups	izin verilen gruplar
X11Forwarding	grafik yönlendirme

---

🔑 ssh_config (İstemci Ayarları)

/etc/ssh/ssh_config

• Sunucuya bağlanan istemcinin genel ayarlarını içerir

• Genellikle çok değiştirilmez

---

🔐 Host Key Dosyaları

ssh_host_rsa_key
ssh_host_ed25519_key
ssh_host_ecdsa_key

📌 Bunlar:

• Sunucunun kimliğini temsil eder

• Silinirse SSH bağlantılarında güvenlik uyarısı çıkar

❗ Elle silinmemelidir

---

📄 moduli

• Diffie-Hellman anahtar değişimi için kullanılır

• Kriptografik güvenlik bileşeni

---

4️⃣ SSH Servisinin Yönetimi

sudo systemctl status ssh
sudo systemctl restart ssh
sudo systemctl enable ssh

Yapılandırma değiştiyse:

sudo sshd -t   # yapılandırma testi
sudo systemctl restart ssh

---

5️⃣ OKUL ORTAMI İÇİN GÜVENLİ SSH AYARLARI (ÖNERİLEN)

🛡️ Güvenli sshd_config Şablonu (TSOMTAL / ETAP 23)

Port 22
Protocol 2

PermitRootLogin no
PasswordAuthentication yes
PubkeyAuthentication yes

X11Forwarding no
AllowTcpForwarding no

AllowGroups ogretmenler idare
LoginGraceTime 30
MaxAuthTries 3

ClientAliveInterval 300
ClientAliveCountMax 2

UseDNS no

📌 Açıklamalar:

• ❌ root ile giriş kapalı

• 👨‍🏫 Sadece öğretmen ve idare grubu

• ⏱️ Boş bağlantılar otomatik düşer

• 🚫 Öğrenciler SSH ile sisteme giremez

---

6️⃣ Öğretmen – Öğrenci SSH Senaryosu

🎓 Öğrenci (ETAP 23)

• SSH kurulu olabilir

• Ancak:

AllowGroups ogretmenler

ile bağlantı engellenir

👨‍🏫 Öğretmen

• Sunucuya SSH ile bağlanır

• Uzaktan:

  • Log inceleme

  • Servis kontrolü

  • Dosya düzenleme

---

7️⃣ SSH Anahtar ile Giriş (Tavsiye Edilen)

🔑 Anahtar Oluşturma

ssh-keygen -t ed25519

📤 Sunucuya Gönderme

ssh-copy-id ogretmen@server

🔒 Parola Girişini Kapatmak

PasswordAuthentication no

📌 En güvenli yöntemdir

---

8️⃣ SSH Logları Nerede?

/var/log/auth.log

Örnek:

grep sshd /var/log/auth.log

➡️ Yetkisiz denemeler burada görülür.

---

9️⃣ Sık Yapılan Hatalar

❌ PermitRootLogin yes
❌ PasswordAuthentication yes + zayıf parola
❌ Öğrencilere SSH yetkisi
❌ Yapılandırma test edilmeden servis restart

---

🔟 Özet

Başlık	Bilgi
Ana dizin	/etc/ssh/
Sunucu ayarı	sshd_config
Güvenlik temeli	Anahtar + grup kısıtı
Okul için ideal	Öğretmen odaklı erişim

🛡️ Pardus Linux’ta Fail2Ban + SSH Brute-Force Koruması

(ETAP 23 & Okul Sunucu Güvenliği Rehberi)

---

1️⃣ Fail2Ban Nedir?

Fail2Ban:

• Log dosyalarını izler

• Hatalı girişleri sayar

• Şüpheli IP’leri iptables / nftables ile otomatik engeller

📌 En yaygın kullanım:

SSH brute-force saldırılarını durdurmak

---

2️⃣ Pardus’ta Fail2Ban Nasıl Çalışır?

SSH → auth.log → Fail2Ban → IP BAN

• SSH logları izlenir

• Aynı IP çok kez hata yaparsa

• IP belirli süre kilitlenir

---

3️⃣ Fail2Ban Kurulumu (Pardus Server / ETAP 23)

sudo apt update
sudo apt install fail2ban -y

Servis durumu:

sudo systemctl status fail2ban

Otomatik başlatma:

sudo systemctl enable fail2ban

---

4️⃣ Kritik Kural: jail.local Dosyası

❗ ASLA jail.conf düzenlenmez
✔ Her zaman jail.local kullanılır

sudo nano /etc/fail2ban/jail.local

---

5️⃣ SSH Brute-Force Koruması (ÖNERİLEN OKUL AYARI)

🔐 /etc/fail2ban/jail.local

[sshd]
enabled = true
port    = ssh
filter  = sshd
logpath = /var/log/auth.log

maxretry = 3
findtime = 300
bantime  = 1h

📌 Anlamı:

Parametre	Açıklama
maxretry=3	3 hatalı deneme
findtime=300	5 dakika içinde
bantime=1h	1 saat IP ban

🎯 Okul için ideal denge

---

6️⃣ Öğretmen – Öğrenci Ortamı İçin İPUÇLARI

👨‍🏫 Öğretmen

• 2–3 yanlış giriş tolere edilir

• Kalıcı engel yok

🎓 Öğrenci / Dış Saldırı

• Deneme sonrası otomatik ban

• SSH brute-force tamamen durur

---

7️⃣ Fail2Ban Servisini Yeniden Yükleme

sudo systemctl restart fail2ban

Kurallar aktif mi?

sudo fail2ban-client status

SSH durumu:

sudo fail2ban-client status sshd

---

8️⃣ Banlanan IP’leri Görüntüleme

sudo fail2ban-client status sshd

Örnek çıktı:

Banned IP list:
192.168.1.45
10.10.10.23

---

9️⃣ Yanlış Banlanan IP’yi Açma (ÖĞRETMEN KURTARMA)

sudo fail2ban-client set sshd unbanip 192.168.1.45

📌 Müdür yardımcısı / öğretmen için hayat kurtarır

---

🔟 Okul Ağı İçin GÜÇLÜ GELİŞMİŞ AYAR (TAVSİYE)

[DEFAULT]
ignoreip = 127.0.0.1/8 192.168.0.0/16
bantime  = 6h
findtime = 10m
maxretry = 3

✔ Yerel okul ağı banlanmaz
✔ Dış saldırganlar uzun süre kilitlenir

---

1️⃣1️⃣ Fail2Ban Logları Nerede?

/var/log/fail2ban.log

Canlı izleme:

tail -f /var/log/fail2ban.log

---

1️⃣2️⃣ SSH + Fail2Ban = GERÇEK GÜVENLİK

Özellik	SSH	SSH + Fail2Ban
Şifreleme	✅	✅
Brute-force	❌	✅
Otomatik ban	❌	✅
Okul ortamı	⚠️	⭐⭐⭐⭐⭐

---

1️⃣3️⃣ Sık Yapılan Hatalar

❌ jail.conf düzenlemek
❌ ignoreip tanımlamamak
❌ Öğrenci ağına SSH açmak
❌ Fail2Ban loglarını izlememek

---

1️⃣4️⃣ TSOMTAL / ETAP 23 İÇİN ALTIN TAVSİYELER 🏫

✔ SSH sadece öğretmen grubu
✔ Fail2Ban mutlaka aktif
✔ Anahtar tabanlı giriş
✔ Root SSH kapalı
✔ Yerel IP’ler ignore listesinde