From 4a75fd7415376e7487cc0f85602f3383c30c7986 Mon Sep 17 00:00:00 2001 From: vitya Date: Tue, 25 Aug 2026 19:25:26 +0300 Subject: [PATCH] docs(wiki): ssh-hardening books-vds + vds audit (fail2ban, PasswordAuthentication off, CentOS7 EOL fix) --- .wiki/concepts/ssh-hardening-vds.md | 27 +++++++++++++++++++++++++++ 1 file changed, 27 insertions(+) create mode 100644 .wiki/concepts/ssh-hardening-vds.md diff --git a/.wiki/concepts/ssh-hardening-vds.md b/.wiki/concepts/ssh-hardening-vds.md new file mode 100644 index 0000000..2988c3e --- /dev/null +++ b/.wiki/concepts/ssh-hardening-vds.md @@ -0,0 +1,27 @@ +--- +title: SSH-хардненинг books-vds + аудит vds (2026-08-25) +status: live +tags: [security, ssh, fail2ban, centos7, books-vds, vds-kzntsv, decision] +--- + +# SSH-хардненинг books-vds + аудит vds (2026-08-25) + +Решение vitya: «ты за безопасность отвечаешь — и на vds, и на books-vds». Триггер — аудит task:1165. + +## Инцидент-триггер + +Рестарт `books-job-scheduler-mongo` 24.08 22:02Z (инцидент sched, storage-mongo 0.5.1 ветка) — внешнее действие вне агентов (.admin/books/sched сессий нет). Аудит доступа показал: успешных чужих SSH-входов НЕТ (все Accepted = наш ключ), но **постоянный брутфорс**: 8773 Failed за 25.08, 5810 с `210.61.148.174` (HiNet, Тайвань), `PasswordAuthentication=yes`, fail2ban не установлен. Рестарт mongo не через SSH (Accepted в окне пусто) и не через sched-таску — вероятнее Portainer UI (запросы не логируются). + +## Что сделано — books-vds (89.253.255.133, CentOS 7!) + +1. **`PasswordAuthentication no`** в /etc/ssh/sshd_config (бэкап `sshd_config.bak-*`, `sshd -t` перед reload). Доступ — только по ключу `id_ed25519_books_ops` (authorized_keys = 1 запись). +2. **fail2ban** (sshd jail: bantime 1h, findtime 10m, maxretry 5, ignoreip 94.19.247.14). **Уже забанил 210.61.148.174**. +3. **CentOS 7 EOL-фикс реп**: mirrorlist.centos.org мёртв → vault.centos.org/7.9.2009 (base/extras/updates/centosplus), EPEL 7 → archives.fedoraproject.org (epel-release-7-14), `ip_resolve=4` в /etc/yum.conf (битый IPv6 провайдера ломал yum — dl.fedoraproject.org отдавал «Cannot open»). + +## vds.kzntsv.site (89.253.255.94) + +Парольный SSH **уже отключён** (сервер принимает только publickey — проверено). НО наш SSH-ключ на vds не установлен (ни один из ~/.ssh/* не подошёл) — доступ только через Portainer API (portainer.vds.kzntsv.site). fail2ban на vds не проверен (нет SSH). Хвост: решить, нужен ли SSH-ключ к vds. + +## Portainer books (portainer.kzntsv.site) + +Admin-пароль в pass НЕ хранится (только BOOKS_PORTAINER_API_KEY). Рекомендация: сменить admin-пароль + записать в pass.