Blinda tu SSH antes de que lo prueben

SSH es la puerta de administración de tu servidor, y la más machacada de internet: bots probando usuarios y contraseñas las 24 horas. Cerrarla bien son 5 minutos y te quita el 99% del ruido.

← Volver al aula

🎯Por qué SSH es el objetivo nº1

Está casi siempre expuesto y da acceso total. Un bot que acierte una contraseña de root no necesita nada más: es game over.

No es que te ataquen a ti en concreto: barren internet entera. Si tu SSH acepta root con contraseña, es cuestión de tiempo.

🔨Los 4 ajustes que de verdad importan

PermitRootLogin no	Nadie entra como root directo. Entras como tu usuario y luego `sudo`.
PasswordAuthentication no	Solo claves SSH. Mata la fuerza bruta de raíz (sin contraseña que adivinar).
2FA / clave con passphrase	Aunque te roben la clave, sin el 2º factor no entran.
Fail2ban / rate-limit	Banea IPs que fallan repetido. Menos ruido, menos riesgo.

🔍Mira la config EFECTIVA, no el fichero

Editar /etc/ssh/sshd_config no basta: puede haber drop-ins en /etc/ssh/sshd_config.d/ o un Match que cambien lo que REALMENTE aplica. Comprueba lo que de verdad corre:

sshd -T | grep -i permitrootlogin

Te dice el valor EFECTIVO, ya con drop-ins e includes aplicados.

sudo systemctl reload ssh

Recarga sin cortar las sesiones vivas.

RioGuard82 verifica la config efectiva con sshd -T, no solo lee el fichero: así no te canta un falso positivo si ya estaba bien.

♻️Hazlo REVERSIBLE (y sin cerrarte fuera)

Aplica el cambio como un drop-in, que se deshace borrando un fichero — marcha atrás limpia:

printf 'PermitRootLogin no\n' | sudo tee /etc/ssh/sshd_config.d/99-hardening.conf

Cambio aislado y fácil de revertir.

sudo systemctl reload ssh

Aplica. Rollback = borrar ese fichero y recargar.

Esto es justo lo que hace el botón “Te lo aplico” de RioGuard82: backup + aplicar + deshacer.

⚠️Errores típicos

Pasas a 'solo claves' y te quedas fuera

Antes de cerrar tu sesión actual, ABRE OTRA terminal y comprueba que entras con la clave. Si algo falla, aún tienes la primera sesión para arreglarlo.

Cambias el fichero pero no recargas sshd

El cambio no aplica hasta 'systemctl reload ssh'. Verifícalo con 'sshd -T'.

Crees que basta cambiar el puerto

Cambiar el puerto reduce ruido, pero NO es seguridad: lo importante son claves + no-root + 2FA.

📚Para seguir

Mozilla · OpenSSH guidelines ↗

Config recomendada y explicada.

ssh-audit ↗

Audita tu SSH y te dice qué endurecer.