SSH ポート ガイド: 安全なリモート サーバー アクセス

SSH は、クライアントとリモート サーバーの間に暗号化されたチャネルを作成します。接続のセットアップ中に、クライアントはサーバーのホスト キーを検証し、双方で暗号化をネゴシエートし、ユーザーはパスワード、SSH キー、証明書、ハードウェア バックキー、または別の構成された方法を使用して認証します。

認証後、SSH は対話型シェルを提供し、単一のリモート コマンドを実行し、ポートを転送し、ファイルをコピーし、Git、rsync、Ansible、デプロイメント パイプラインなどの強力なツールを実行できます。この柔軟性こそが、SSH が運用上重要である理由であり、暴露に慎重なポリシーが必要な理由です。

管理者、自動化ツール、CI/CD ジョブ、構成管理、Git サービス、またはブレークグラス ワークフローでサーバーまたはデバイスへのリモート アクセスが必要な場合は、SSH を開きます。パブリック クラウド サーバーの場合、SSH は多くの場合、上位レベルのツールがインストールされる前に使用される最初の管理パスです。

少数のグループのみがアクセスを必要とする場合は、インターネット全体に SSH を公開しないでください。可能であれば、VPN、要塞ホスト、ゼロトラスト アクセス、クラウド シリアル コンソール、ソース IP 許可リスト、またはプライベート ネットワーク接続を優先します。パブリック SSH が避けられない場合は、最初から強力な認証と監視を強制します。

ポート 22 を開く前に、sshd が実行中であり、目的のインターフェイスでリッスンしており、実際に必要な認証モデルに設定されていることを確認してください。パスワードを許可するかどうか、どのユーザーがログインできるか、root ログインを無効にするかどうか、および管理アクションをどのように監査するかを決定します。

ポート チェッカーは、ネットワークの外部から TCP 22 に到達できるかどうかを確認できますが、ユーザーが安全にログインできることを証明することはできません。 ssh -vvv、サーバー ログ、アカウント レベルのテストを使用して、ホスト キーの信頼性、キーのアクセス許可、MFA ポリシー、シェル アクセス、および sudo ルールを検証します。

Windows Server で、OpenSSH Server をインストールして有効にし、sshd サービスを開始し、Windows Defender ファイアウォールで受信 TCP 22 を許可します。クラウドでホストされている Windows サーバーも、一致するクラウド ファイアウォールまたはセキュリティ グループ ルールを必要とします。

Linux では、OpenSSH サーバーをインストールし、sshd_config を確認し、ufw、firewalld、nftables、iptables などのホスト ファイアウォールを通過する TCP 22 を許可します。クラウド インスタンスでは、プロバイダー セキュリティ グループが同じソース ネットワークを許可することも必要です。

macOS では、信頼されたネットワークで SSH が必要な場合にリモート ログインを有効にします。インターネットへの公開については、サーバーと同じ制御 (キーベースの認証、ファイアウォールのスコープ設定、ロギング、タイムリーな更新) を適用します。

パブリック ホスト名または IP アドレスとポート 22 に対する外部ポート チェックから開始します。結果がオープンであれば、SSH への TCP パスに到達可能です。次に、ssh user@example.com または ssh -vvv user@example.com を実行して、ホスト キー、認証方法、およびセッション セットアップを確認します。

サーバー上で、ss -tlnp、netstat、または PowerShell を使用してリスナーを確認します。クラウド サーバーが関係している場合は、ホスト ファイアウォール ルールとクラウド セキュリティ グループを比較してください。これは、どちらかの層が正しいように見えても、どちらかの層が SSH をブロックする可能性があるためです。

ポート 22 が閉じられている場合、sshd は停止されるか、別のポートにインストールされるか、プライベート インターフェイスにのみバインドされるか、ホスト ファイアウォールによってブロックされる可能性があります。チェックがタイムアウトすると、クラウド セキュリティ グループ、ルーター NAT ルール、ISP フィルター、VPN ポリシー、または送信元 IP 許可リストによってパケットがドロップされる可能性があります。

ポートは開いているがログインに失敗する場合は、ユーザー名、キーのアクセス許可、authorized_keys ファイル、パスワード ポリシー、MFA 要件、AllowUsers または DenyUsers ルール、root ログイン設定、およびサーバー ログを検査します。 SSH 障害の多くは、ポートの問題ではなく認証の問題です。

root ログインを無効にし、パスワードよりもキーまたは証明書を優先し、キーをローテーションし、古いアカウントを削除し、接続できるユーザーを制限します。特権アクセスには MFA またはハードウェア ベースのキーを使用し、秘密キーがパスフレーズまたは安全なハードウェア ストレージで保護されていることを確認します。

ソース許可リスト、要塞ホスト、VPN、レート制限、侵入検知、タイムリーな OpenSSH パッチにより、攻撃対象領域を削減します。 SSH を標準以外のポートに移動すると、ノイズの多いスキャンを減らすことができますが、セキュリティ制御としてではなく、ノイズの軽減としてのみ扱う必要があります。