Consejos servidor ssh

@autitsta
Rapidamente se me ocurre:

Dejar el servicio sólo habilitado para IPs internas, para equipos que esten dentro de tu red.
Podrías hacer una conexión desde fuera mediante VPN que te de acceso a tu red interna y una vez dentro poder acceder al servidor SSH en ese puerto determinado que has elegido y con ese usuario determinado que has creado.


Supongo que será lo que has leído pero puede que te interese saber cómo se puede securizar el asunto:
https://www.hackplayers.com/2014/01/sec ... noico.html

@Newton muchas gracias x el interes. No habia leido ese pero esta mejor detallado q lo otro q lei. El caso q para hacerlo x vpn tendria q contratar uno de pago, pq supongo q sera una locura hacerlo con uno gratuito, y no lo tenia en mente eso.
Tendre q ver lo de los intentos maximos de conexion q no se como esta y lo de la key rsa esa no me entero muy bien q es

autista escribió:@Newton muchas gracias x el interes. No habia leido ese pero esta mejor detallado q lo otro q lei. El caso q para hacerlo x vpn tendria q contratar uno de pago, pq supongo q sera una locura hacerlo con uno gratuito, y no lo tenia en mente eso.
Tendre q ver lo de los intentos maximos de conexion q no se como esta y lo de la key rsa esa no me entero muy bien q es

No confundas los servicios VPN de navegación con lo que te dice el compañero, que se refiere a tener un servidor VPN en tu red. De forma que en vez de entrar desde internet al servicio SFTP (que si hablamos de acceso a ficheros, es lo que estarás usando, no SSH, que es línea de comandos) , lo que harías desde internet sería conectar a la VPN de tu red local y ya con ese eso te funciona todo como si fueras un PC más de una da red. Esos servicios se pueden montar gratis en algunos routers, en un PC que esté siempre encendido, en una raspi....o en el propio NAS si lo permite (no sé si los WD mycloud tienen esa funcion)

De todas formas si quieres hacerlo por SFTP (SSH) con ofuscar el puerto y no usar una versión antigua de los certificados debería ser suficiente, es un protocolo bastante seguro y encriptado extremo a extremo. La seguridad que aplica viene a ser similar a la de una VPN típica como puede ser openVPN, funcionan muy parecido desde el punto de vista de seguridad.

A todo lo que te han dicho los compañeros yo añadiria el desactivar la conexion con password y hacerla solo con certificado digital. Hay muchas webs en donde te indican como hacerlo.
La mia es asi. en /etc/ssh/sshd_config: (Apunte: necesitas generar los certificados primero).

Lamentablemente no es algo que te pueda explicar yo por aqui y mucho menos si nisiquiera usas un sistema POSIX (BSD, Linux, Mac...). No es complicado pero hay que entenderlo.

Respecto a la VPN no necesitas pagar ninguna VPN si estats tirando contra el servidor de tu casa (yo lo tengo asi). Solo has de establecer el servidor en una maquina de la red de tu casa y habilitarle paso a traves del router junto a un servicio de No-IP o similar.

Yo lo tengo como tu quieres.

- Servicio No-IP para encontrar mi maquina desde cualquier lugar.
- Servidor SSH activo (en mi caso desde el Router) escuchando.
- Servidor de OpenVPN activado tambien desde el router.
- No he necesitado cambiar el puerto 22 ya que solo es accesible desde la VPN.
- No es necesario poner ningun password ya que se autentifica mediante certificado de seguridad.

Cuando lo conectas estes donde estes es como si estuvieras en la LAN de casa y tienes todo accesible desde ahi.

Recomendaciones de topologia de red:
- OPNsense. Softwarte de Router y Firewall basado en FreeBSD con muchos modulos que expanden su funcionalidad, OpenVPN, No-IP y SSH entre ellos.
- NAS Qnap (en tu caso es WD)

Programas que uso en Android (iOS es para nenazas ):
- Termux. Terminal de comandos tipo UNIX/Linux. Tiene Servidor y Cliente de OpenSSH incluido, funciona con PKG o APT de Debian.
- Juice SSH (cliente de SSH para Android, recomendadisimo).
- VPN Client Pro. Cliente de VPN con suscripccion o de por vida segun lo que quieras pagar, recomendadisimo.

Yo estoy esperando a ver si tengo algun Sabado o Domingo libres para cambiar de OpenVPN a Wireguard que es mucho mas seguro limpio y eficiente.

@Little Tux @Dracot Ok gracias por los aportes. La verdad q ando un poco perdido como veis con estos temas y me hago la picha un lio. Pense q vpn se referia a eso. De todos modos no creo q pueda hacerlo pq lo unico q tengo siempre conectado es el router q es un hgu de movistar, q no creo q pueda configurar un vpn alli y el wd mycloud q tampoco creo q se pueda


Los certificados son eso q pone key en esa imagen?
Entiendo q deberia descargarlos, deshabilitar el login por password "PasswordAuthentication no"

ypor ejemplo en fillezilla cargarlos luego aqui los certificados


Algo asi?
Me hace falta leer mucho en este tema la verdad. y en linux ando perdidisimo

Efectivamente por lo que leo, ni los WD mycloud de una bahía ni el hgu te van a dejar activar servidor VPN (al menos con su firmware original). Los NAS Sinology y Qnap si tienen todas estas cosas y más, pero claro, son de todo menos baratos.

En cuanto al tema de certificados, hace mil que no lo hago porque el Asus me lo pone fácil por GUI para ese tema con la VPN, pero es fácil encontralo en Google.

Por ejemplo buscando "wd mycloud ssh by certificate" he visto múltiples guía paso a paso, te pego una de ellas en el spoiler