ssh-hardening (دور Ansible)

تنبيه: تم ترحيل هذا الدور إلى مجموعة التصلب الخاصة بنا:

• https://github.com/dev-sec/ansible-os-hardening/
• https://galaxy.ansible.com/devsec/hardening

يرجى فتح أي مشكلات وطلبات سحب هناك!

المتطلبات

• Ansible > 2.5

متغيرات الدور

• network_ipv6_enable
  • الافتراضي: false
  • الوصف: true إذا كان IPv6 مطلوبًا. يجب أيضًا ضبط ssh_listen_to للاستماع إلى عناوين IPv6 (على سبيل المثال [::]).
• ssh_server_ports
  • الافتراضي: ['22']
  • الوصف: المنافذ التي يجب أن يستمع عليها خادم ssh
• ssh_client_port
  • الافتراضي: '22'
  • الوصف: المنفذ الذي يجب أن يتصل به عميل ssh
• ssh_listen_to
  • الافتراضي: ['0.0.0.0']
  • الوصف: عنوان IP واحد أو أكثر يجب أن يستمع عليها خادم ssh. الافتراضي هو جميع عناوين IPv4، ولكن يجب تكوينه لعناوين محددة لأسباب أمنية!
• ssh_host_key_files
  • الافتراضي: []
  • الوصف: مفاتيح المضيف لـ sshd. إذا كانت فارغة، سيتم استخدام ['/etc/ssh/ssh_host_rsa_key', '/etc/ssh/ssh_host_ecdsa_key', '/etc/ssh/ssh_host_ed25519_key'] بقدر ما يدعمها إصدار sshd المثبت
• ssh_host_key_algorithms
  • الافتراضي: []
  • الوصف: خوارزميات مفاتيح المضيف التي يقدمها الخادم. إذا كانت فارغة، سيتم استخدام القائمة الافتراضية، وإلا يتم تجاوز الإعداد بقائمة الخوارزميات المحددة
• ssh_client_alive_interval
  • الافتراضي: 600
  • الوصف: يحدد فترة زمنية لإرسال رسائل البقاء على قيد الحياة
• ssh_client_alive_count
  • الافتراضي: 3
  • الوصف: يحدد عدد مرات إرسال رسائل البقاء على قيد الحياة
• ssh_permit_tunnel
  • الافتراضي: false
  • الوصف: true إذا كان نفق منفذ SSH مطلوبًا
• ssh_remote_hosts
  • الافتراضي: []
  • الوصف: مضيف واحد أو أكثر وخياراتهم المخصصة لعميل ssh. الافتراضي فارغ. راجع الأمثلة في defaults/main.yml.
• ssh_permit_root_login
  • الافتراضي: no
  • الوصف: تعطيل تسجيل الدخول كجذر. اضبط على without-password أو yes لتمكين تسجيل الدخول كجذر
• ssh_allow_tcp_forwarding
  • الافتراضي: no
  • الوصف: 'no' لتعطيل إعادة توجيه TCP. اضبط على 'yes' للسماح بإعادة توجيه TCP. إذا كنت تستخدم إصدار OpenSSH >= 6.2، يمكنك تحديد 'yes' أو 'no' أو 'all' أو 'local'.
    ملاحظة: يجب أن تكون القيم التي تم تمريرها إلى هذا المتغير سلاسل نصية، لذا يجب تمرير القيم 'yes' و 'no' مع علامات الاقتباس.
• ssh_gateway_ports
  • الافتراضي: false
  • الوصف: false لتعطيل ربط المنافذ المعاد توجيهها بعناوين غير loopback. اضبط على true لفرض الربط على عنوان wildcard. اضبط على clientspecified للسماح للعميل بتحديد العنوان الذي سيتم الربط به.
• ssh_allow_agent_forwarding
  • الافتراضي: false
  • الوصف: false لتعطيل إعادة توجيه الوكيل. اضبط على true للسماح بإعادة توجيه الوكيل.
• ssh_x11_forwarding
  • الافتراضي: false
  • الوصف: false لتعطيل إعادة توجيه X11. اضبط على true للسماح بإعادة توجيه X11.
• ssh_pam_support
  • الافتراضي: true
  • الوصف: true إذا كان SSH يدعم PAM.
• ssh_use_pam
  • الافتراضي: true
  • الوصف: false لتعطيل مصادقة pam.
• ssh_gssapi_support
  • الافتراضي: false
  • الوصف: true إذا كان SSH يدعم GSSAPI.
• ssh_kerberos_support
  • الافتراضي: true
  • الوصف: true إذا كان SSH يدعم Kerberos.
• ssh_deny_users
  • الافتراضي: ''
  • الوصف: إذا تم تحديده، يتم منع تسجيل الدخول لأسماء المستخدمين التي تطابق أحد الأنماط.
• ssh_allow_users
  • الافتراضي: ''
  • الوصف: إذا تم تحديده، يُسمح بتسجيل الدخول فقط لأسماء المستخدمين التي تطابق أحد الأنماط.
• ssh_deny_groups
  • الافتراضي: ''
  • الوصف: إذا تم تحديده، يتم منع تسجيل الدخول للمستخدمين الذين تطابق مجموعتهم الأساسية أو قائمة المجموعات الإضافية أحد الأنماط.
• ssh_allow_groups
  • الافتراضي: ''
  • الوصف: إذا تم تحديده، يُسمح بتسجيل الدخول فقط للمستخدمين الذين تطابق مجموعتهم الأساسية أو قائمة المجموعات الإضافية أحد الأنماط.
• ssh_authorized_keys_file
  • الافتراضي: ''
  • الوصف: تغيير الملف الافتراضي الذي يحتوي على المفاتيح العامة التي يمكن استخدامها لمصادقة المستخدم.
• ssh_trusted_user_ca_keys_file
  • الافتراضي: ''
  • الوصف: يحدد الملف الذي يحتوي على المفاتيح العامة لسلطات التصديق الموثوقة المستخدمة لتوقيع شهادات المستخدم.
• ssh_trusted_user_ca_keys
  • الافتراضي: []
  • الوصف: تعيين المفاتيح العامة لسلطات التصديق الموثوقة المستخدمة لتوقيع شهادات المستخدم. يُستخدم فقط إذا تم تعيين ssh_trusted_user_ca_keys_file.
• ssh_authorized_principals_file
  • الافتراضي: ''
  • الوصف: يحدد الملف الذي يحتوي على المبادئ المسموح بها. يُستخدم فقط إذا تم تعيين ssh_trusted_user_ca_keys_file.
• ssh_authorized_principals
  • الافتراضي: []
  • الوصف: قائمة من التجزئات التي تحتوي على مسارات الملفات والمبادئ المصرح بها، راجع default_custom.yml لجميع الخيارات. يُستخدم فقط إذا تم تعيين ssh_authorized_principals_file.
• ssh_print_motd
  • الافتراضي: false
  • الوصف: false لتعطيل طباعة MOTD
• ssh_print_pam_motd
  • الافتراضي: false
  • الوصف: false لتعطيل طباعة MOTD عبر pam (Debian و Ubuntu)
• ssh_print_last_log
  • الافتراضي: false
  • الوصف: false لتعطيل عرض معلومات آخر تسجيل دخول
• sftp_enabled
  • الافتراضي: false
  • الوصف: true لتمكين تكوين sftp
• sftp_umask
  • الافتراضي: '0027'
  • الوصف: يحدد umask لـ sftp
• sftp_chroot
  • الافتراضي: true
  • الوصف: false لتعطيل chroot لـ sftp
• sftp_chroot_dir
  • الافتراضي: /home/%u
  • الوصف: تغيير موقع chroot الافتراضي لـ sftp
• ssh_client_roaming
  • الافتراضي: false
  • الوصف: تمكين التجوال التجريبي للعميل
• sshd_moduli_file
  • الافتراضي: '/etc/ssh/moduli'
  • الوصف: المسار إلى ملف moduli الخاص بـ SSH
• sshd_moduli_minimum
  • الافتراضي: 2048
  • الوصف: إزالة معاملات Diffie-Hellman الأصغر من الحجم المحدد للتخفيف من logjam
• ssh_challengeresponseauthentication
  • الافتراضي: false
  • الوصف: يحدد ما إذا كانت مصادقة التحدي والاستجابة مسموحة (على سبيل المثال عبر PAM)
• ssh_client_password_login
  • الافتراضي: false
  • الوصف: true للسماح بالمصادقة القائمة على كلمة المرور مع عميل ssh
• ssh_server_password_login
  • الافتراضي: false
  • الوصف: true للسماح بالمصادقة القائمة على كلمة المرور مع خادم ssh
• ssh_banner
  • الافتراضي: false
  • الوصف: true لطباعة لافتة عند تسجيل الدخول
• ssh_banner_path
  • الافتراضي: '/etc/sshd/banner.txt'
  • الوصف: المسار إلى ملف لافتة SSH
• ssh_client_hardening
  • الافتراضي: true
  • الوصف: false لإيقاف تصلب العميل
• ssh_client_port
  • الافتراضي: '22'
  • الوصف: يحدد رقم المنفذ للاتصال بالمضيف البعيد.
• ssh_client_compression
  • الافتراضي: false
  • الوصف: يحدد ما إذا كان العميل يطلب الضغط.
• ssh_compression
  • الافتراضي: false
  • الوصف: يحدد ما إذا كان الضغط من جانب الخادم مفعلًا بعد مصادقة المستخدم بنجاح.
• ssh_login_grace_time
  • الافتراضي: 30s
  • الوصف: يحدد الوقت المسموح به للمصادقة الناجحة على خادم SSH
• ssh_max_auth_retries
  • الافتراضي: 2
  • الوصف: يحدد الحد الأقصى لعدد محاولات المصادقة المسموح بها لكل اتصال.
• ssh_max_sessions
  • الافتراضي: 10
  • الوصف: يحدد الحد الأقصى لعدد الجلسات المفتوحة المسموح بها من اتصال معين.
• ssh_print_debian_banner
  • الافتراضي: false
  • الوصف: true لطباعة لافتة خاصة بـ Debian
• ssh_server_enabled
  • الافتراضي: true
  • الوصف: false لتعطيل خادم opensshd
• ssh_server_hardening
  • الافتراضي: true
  • الوصف: false لإيقاف تصلب الخادم
• ssh_server_match_address
  • الافتراضي: ''
  • الوصف: يقدم كتلة شرطية. إذا تم استيفاء جميع المعايير في سطر Match، فإن الكلمات الرئيسية في الأسطر التالية تتجاوز تلك المحددة في القسم العام من ملف التكوين، حتى سطر Match آخر أو نهاية الملف.
• ssh_server_match_group
  • الافتراضي: ''
  • الوصف: يقدم كتلة شرطية. إذا تم استيفاء جميع المعايير في سطر Match، فإن الكلمات الرئيسية في الأسطر التالية تتجاوز تلك المحددة في القسم العام من ملف التكوين، حتى سطر Match آخر أو نهاية الملف.
• ssh_server_match_user
  • الافتراضي: ''
  • الوصف: يقدم كتلة شرطية. إذا تم استيفاء جميع المعايير في سطر Match، فإن الكلمات الرئيسية في الأسطر التالية تتجاوز تلك المحددة في القسم العام من ملف التكوين، حتى سطر Match آخر أو نهاية الملف.
• ssh_server_match_local_port
  • الافتراضي: ''