Paso a paso Asegurando el Acceso en Elastix

En muchas ocasiones nos vemos obligados a publicar nuestro servidor hacia ese mundo, lúgubre y lleno de malas personas :-P que conocemos como Internet, que  intentan (Y en muchos casos logran), violentar la seguridad de nuestro servidor de comunicaciones unificadas. Llevandonos al limite de reinstalar nuestro sistema, que nos deja con un muy mal sabor de boca.

Con estos sencillos pasos y recomendaciones, lograremos proteger un poco mas nuestros servidores.

Cambiar, claves de acceso web del usuario admin y del usuario root la linea de comandos.


Esto es vital para el funcionamiento del servidor, ya que en los pasos de instalación de Elastix, muchas veces por miedo de equivocarnos al escribir la contraseña utilizamos las clásicas claves del para el usuario root, como 123456 o root de igual manera para el usuario admin.

Una vez logueados en el sistema, procederemos con estos pasos para asegurar la conexión:

Para el usuario web admin:

• cd /usr/bin
• sqlite3 /var/www/db/acl.db "UPDATE acl_user SET md5_password = '`echo -n clavenueva|md5sum|cut -d ' ' -f 1`' WHERE name = 'admin'"

Con esto, estamos cambiando la clave del usuario web admin, por la que coloquemos en lugar del texto "clavenueva"

Para el usuario root del sistema:

• passwd root
• New UNIX password: (cuando ingresemos la nueva clave esta no vera reflejada)
• Retype new UNIX password: (Digitamos nuevamente la clave)

¡Listo! Con estos pasos nos estamos asegurando, que le vamos a dar un poco mas de trabajo a los hackers o activistas informáticos que intenten ingresar a nuestro sistema desde la red de redes.

Asegurando ssh con un "doble pass", cambio de puerto del ssh

Con estos pasos lo que vamos a realizar es una doble login, con un usuario razo para ssh y la habilitación del su. Veamos:

Editar archivo para habilitar el su

• vim /etc/pam.d/su

Descomentar la linea

• #auth            required        pam_wheel.so use_uid

Debe quedar así:

• auth            required        pam_wheel.so use_uid

Salvamos el archivo, con esto, estamos permitiendo el cambio de usuario, pero solo a los usuarios que pertenezcan al grupo wheel, por lo que debemos crear un usuario para tal fin:

• adduser -G wheel -m -s /bin/bash usuarionuevo
• passwd usuarionuevo
• New UNIX password: (cuando ingresemos la nueva clave esta no vera reflejada)
• Retype new UNIX password: (Digitamos nuevamente la clave)

Habiendo hecho esto, ya tenemos un usuario nuevo restringido que tiene permitido hacer el cambio a super usuario, ahora lo que debemos hacer es eliminar el acceso como root por ssh y para reforzar la seguridad cambiar nuestro puerto de conexión.

Eliminar acceso por consola al usuario root

• vim /etc/ssh/sshd_config

Agregar las lineas

• Port 30123
• PermitRootLogin no

Salvar el archivo. 

Reiniciar el servicio

• service sshd restart

Con estos estamos cambiando el default port del ssh (22), por alguno que no sea común les recomiendo para arriba de lo 30000.

Adicional ya no podremos utilizar el usuario root para loguearnos vía ssh, debemos utilizar el usuario que creamos en el paso anterior y agregamos al grupo wheel.

La mecánica del login por ssh quedaría de esta manera.

Si usamos el putty para conectarnos, se debe tomar en cuenta el numero de puerto insertado en el archivo sshd_config del paso tres.

login as: (usuario creado en el paso dos)

password: (clave dada al usuario creado en el paso dos)

Una vez dentro del sistema, comprobaremos que el usuario es limitado, a manera que no puede, crear o modificar archivos, obviamente no se recomienda que este usuario sea de dominio publico.

Ahora si deseamos tener control total de nuestro servidor debemos ingresar el comando:

~]$ su 

Password: (modificado en el paso uno)

Esto, son solo algunas practicas de seguridad, se puede obtener mucha información en Internet sobre la manera que se deben asignar estas claves y como las debe manjar los administradores de la red.

Sin mas por el momento, me despido esperando que le sea útil la información.

Cualquier consulta o duda pueden hacerla llegar a mi correo gabofuentesm@gmail.com

saludos!!!