ssh scan — утилита для сканирования и анализа SSH соединения на сервере. Выполняет анализ соединения на соответсвие политикам, и выдаёт отчёт с результатами и рекомендациями в JSON формате.
Для запуска требуется ruby версии 2.3 либо новее, так что запускать я её буду в Fedora 29.
Устанавливаем всё необходимое:
# dnf install ruby # gem install ssh_scan
Выполняем сканирование нужного нам хоста:
# ssh_scan -t your.super.server
Результатом которого будет отчёт о протестированном соединении, с рекомендациями относительно политики Mozilla Modern. Например, такими:
"recommendations": [ "Add these Key Exchange Algos: curve25519-sha256@libssh.org, ecdh-sha2-nistp521, ecdh-sha2-nistp384, ecdh-sha2-nistp256", "Add these Encryption Ciphers: chacha20-poly1305@openssh.com", "Remove these Key Exchange Algos: diffie-hellman-group-exchange-sha1, diffie-hellman-group14-sha1, diffie-hellman-group1-sha1", "Remove these MAC Algos: hmac-md5-etm@openssh.com, hmac-sha1-etm@openssh.com, umac-64-etm@openssh.com, hmac-ripemd160-etm@openssh.com, hmac-sha1-96-etm@openssh.com, hmac-md5-96-etm@openssh.com, hmac-md5, hmac-sha1, umac-64@openssh.com, hmac-ripemd160, hmac-ripemd160@openssh.com, hmac-sha1-96, hmac-md5-96", "Remove these Encryption Ciphers: arcfour256, arcfour128, aes128-cbc, 3des-cbc, blowfish-cbc, cast128-cbc, aes192-cbc, aes256-cbc, arcfour, rijndael-cbc@lysator.liu.se" ]
При необходимости, при сканировании мы можем применять собственные политики. Примеры политик можно найти в репозитории на github. Запустить проверку с нужной нам политикой можно при помощи ключа -P:
# ssh_scan -t 1.2.3.4 -p 22 -P ./mozilla_intermediate.yml
А пример можно, что дальше делать согласно этим рекомендациям?
Если следовать им, то необходимое можно настроить в sshd_config файле на сервере. Например, Key Exchange алгоритмы задаются с помощью KexAlgorithms. Подробное описание можно найти в man sshd_config:
KexAlgorithms
Specifies the available KEX (Key Exchange) algorithms. Multiple algorithms must be comma-separated. Alternately if the specified value begins with a `+’ character, then the specified methods will be appended to the default set instead of replacing them. If the specified value begins with a `-‘ character, then the specified methods (including wildcards) will be removed from the default set instead of replacing them.
ВАЖНО — если SSH — это единственный способ связи с сервером, который стоит где-то удалённо в ДЦ, стоит очень внимательно вносить изменения и перепроверять всё перед перезапуском сервиса, во избежание проблем.