Batasi Akses SSH dan SCP pengguna Linux Centos Debian Ubuntu Fedora

Pengguna server seringkali melakukan pemindahan file ataupun editing sebuah file pada direktori yang diberi akses. Namun, terkadang sebagai Administrator terkadang harus waspada apabila user sudah semakin banyak dan ini beresiko terjadi hal-hal yang tidak di inginkan.
Terkadang waspada terlalu berlebihan juga tidak baik, meningkatkan celah keamanan dan secara teliti merubah susunan default menjadi custom seting merupakan ketrampilan /skill yang harus dimiliki oleh administrator / root.

Pengguna pada defaultnya mempunyai akses ke sistem melalui SSH, SFTP dan SCP. Tentu dengan bisa mengakses salah satu pengguna tersebut mampu melihat direktori direktori yang ada pada sistem (bernavigasi).

Batasi Akses SSH dan SCP pengguna Linux

Kita selaku administrator akan melakukan konfigurasi agar pengguna tersebut hanya mampu melakukan perubahan maupun bernavigasi di direktori own saja. Maka akses SSH akan dimatikan. Artinya hanya SFTP saja.

OS distribusi Linux : Ubuntu, CentOS, Debian dan Fedora.

Oke kita mulai :

Belum ada user dan ingin membuat user

a. Membuat grup khusus pengguna SFTP
Asumsukan sudah di level root untuk memulai script command

groupadd sftp_grup

b. Menambah User ke grup SFTP
Apabila user baru bisa langsung membuat user dan memasukan dalam grup

useradd -g sftp_grup -s /bin/false -m -d /home/user1 user1

Keterangan
-g sftp_grup : menambahkan user ke grup sftp_grup.
-s /bin/false : akan mengatur login shell user. Dengan begitur login shell menjadi /bin/false, artinya user tidak bisa loggin melalui SSH
-m -d /home/user1 : membuat home direktory untuk user1 dengan folder user1

c.Tetapkan password untuk user1

Passwd user1

Sudah ada user dan dan ingin memasukan ke grup khusus sftp_grup maka:

usermod -G sftp_grup -s /bin/false username2

Direktory user harus dimiliki oleh root dengan izin 755

 

chown root: /home/username

 

chmod 755 /home/username

Membuatkan direktori user untuk akses penuh di dalam kepemilikanya.

mkdir /home/username/{public_html,uploads}

 

chmod 755 /home/username/{public_html,uploads}

 

chown username:sftp_grup /home/username/{public_html,uploads}

Konfigurasi SSH file

Wajib di ketahui SFTP merupakan bagian dari subsistem SSh yang mendukung otentifikasi SSH
nano /etc/ssh/sshd_config

Hapus # pada

Subsystem sftp

Custom agar terlihat seperti berikut

Subsystem sftp internal-sftp

Selanjutnya tambahkan dan sesuaikan

Match Group sftp_grup
  ChrootDirectory %h
  ForceCommand internal-sftp
  AllowTcpForwarding no
  X11Forwarding no

Restart SSH

systemctl restart ssh
systemctl restart sshd

Uji coba

sftp username@110.10.1.20

 

sftp> ls

Kesimpulan

Menambah keamanan memang sedikit harus ada perubahan, misal secara default port ssh 22 maka silahkan ganti port defaultnya dan jangan lupa jangan izinkan akses root untuk loggin ssh serta install fail2ban untuk menghindari brute force

Share this post