[Infra Ops] SSH 접속 보안 강화와 배스천 호스트 기반 접근 제어

# 키 쌍 생성
ssh-keygen -t ed25519 -C "infra-admin@company.com"
# 프로덕션에서는 패스프레이즈 반드시 설정

# 공개키를 서버에 등록
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@192.168.1.100

# 서버에서 권한 설정 (틀리면 인증 자체를 거부함)
chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys

sudo vi /etc/ssh/sshd_config

# 기본 22는 자동화 스캐너가 항상 시도 — 비표준 포트로 노이즈 감소
Port 22222

# root 직접 로그인 금지 — 감사 추적을 위해 일반 계정 로그인 후 sudo
PermitRootLogin no

# 패스워드 인증 비활성화 — 공개키 등록 완료 확인 후 변경
PasswordAuthentication no
PubkeyAuthentication yes

# 허용할 계정 명시 — 목록에 없는 계정은 키가 있어도 접속 불가
AllowUsers infra-admin deploy-bot

# 인증 시간 초과 및 재시도 제한
LoginGraceTime 60
MaxAuthTries 4

PermitEmptyPasswords no
X11Forwarding no

# 1단계: 문법 검증 (오류 있으면 여기서 중단)
sudo sshd -t && echo CONFIG OK

# 2단계: 재로드 (기존 연결 유지, restart 아님)
sudo systemctl reload sshd

# 3단계: 새 터미널에서 접속 테스트 — 현재 세션 유지한 채

[클라이언트]  ssh deploy@server
   │
   ① 방화벽·보안그룹                   (SG/iptables Inbound 22·비표준 포트에 도달?)
   │
   ② fail2ban·차단 목록                (이 출발지 IP가 밴돼 있나)
   │
   ③ 호스트키·인증 방식 협상           (서버가 허용한 방식 통보: publickey? password?)
   │    → PasswordAuthentication no면 비번 경로 자체가 닫힘
   │
   ④ 사용자 인증                       (공개키: authorized_keys 대조·서명 검증 / 비번)
   │    → MaxAuthTries 초과 시 여기서 끊김
   │
   ⑤ 계정 인가 게이트                  (PermitRootLogin · AllowUsers/AllowGroups · DenyUsers · PAM)
   │    → 자격이 맞아도 정책·목록에 막히면 거부
   │
   ⑥ 세션 개설                         (셸 실행 → 프롬프트)
   ▼
[서버]  deploy@server:~$   (①~⑤ 중 하나라도 막으면 세션 없음)

# ProxyJump 방식 — 배스천을 경유해 내부 서버로 직접 접속
ssh -J infra-admin@bastion.company.com admin@10.0.1.50

# ~/.ssh/config에 등록해 단축 사용

# ~/.ssh/config
Host bastion
    HostName bastion.company.com
    User infra-admin
    Port 22222
    IdentityFile ~/.ssh/id_ed25519

Host web-01
    HostName 10.0.1.50
    User admin
    ProxyJump bastion
    IdentityFile ~/.ssh/id_ed25519

Host db-01
    HostName 10.0.2.10
    User dbadmin
    ProxyJump bastion
    IdentityFile ~/.ssh/id_ed25519

# 권한 설정
chmod 600 ~/.ssh/config

# 등록 후 사용 — bastion 경유가 자동으로 처리됨
ssh web-01
ssh db-01

# 접속 시도 로그 확인
sudo tail -50 /var/log/secure           # RHEL/Rocky
sudo tail -50 /var/log/auth.log         # Ubuntu/Debian
sudo journalctl -u sshd --since "1 hour ago" --no-pager  # systemd 공통

# 실패한 로그인 시도만 필터
sudo grep "Failed password" /var/log/secure | tail -20

# 무차별 대입 IP 상위 10개
sudo grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head -10

# 성공한 로그인 이력 / 실패 이력 / 계정별 마지막 로그인
last -20 && sudo lastb | head -10 && lastlog | grep -v "Never logged"

sudo dnf install -y fail2ban      # RHEL/Rocky
sudo apt-get install -y fail2ban  # Ubuntu

# /etc/fail2ban/jail.local — jail.conf는 수정 금지, local에 오버라이드
[DEFAULT]
bantime  = 3600
findtime = 600
maxretry = 5

[sshd]
enabled  = true
port     = 22222
logpath  = /var/log/secure
maxretry = 3
bantime  = 86400

sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd                        # 차단 현황 확인
sudo fail2ban-client set sshd unbanip 45.33.32.156      # 실수 차단 해제