Le protocole SSH (Secure Shell) sert à administrer la plupart des serveurs Linux. Les attaques automatisées le ciblent en permanence. Voici comment combiner SSH sécurisé par clés et restrictions avec une protection contre le brute force via fail2ban.
Plan de l'article
- Génération et utilisation des clés SSH
- Configuration du serveur SSH pour n'autoriser que les clés
- Installation et configuration de fail2ban
- Bonnes pratiques supplémentaires
- Conclusion
Génération et utilisation des clés SSH
Sur votre machine locale :
ssh-keygen -t ed25519 -C "admin@exemple.com"
Cela génère une clé publique id_ed25519.pub et une clé privée id_ed25519.
Copiez la clé publique vers le serveur :
ssh-copy-id user@serveur
Connexion sécurisée :
ssh user@serveur
Configuration du serveur SSH pour autoriser uniquement les clés
Modifier le fichier /etc/ssh/sshd_config :
PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes
Puis redémarrer le service :
sudo systemctl restart sshd
👉 Désactiver l'authentification par mot de passe empêche les attaques par brute force classiques.
Installation et configuration de fail2ban
Installer fail2ban :
sudo apt install fail2ban
Créer un fichier /etc/fail2ban/jail.local :
[sshd]
enabled = true
port = ssh
logpath = /var/log/auth.log
maxretry = 5
bantime = 3600
Puis :
sudo systemctl restart fail2ban
Vérifier le statut :
sudo fail2ban-client status sshd
Bonnes pratiques supplémentaires
- Utiliser un port non standard pour SSH (
Port 2222). - Restreindre l'accès à certaines adresses IP (
AllowUsers). - Activer un pare-feu (UFW, iptables ou nftables).
- Surveiller les journaux avec
journalctl -u sshd.
Conclusion
En combinant authentification par clés SSH et fail2ban, vous augmentez nettement la sécurité de vos serveurs Linux.
La configuration reste simple et coupe court à la grande majorité des attaques automatisées.
