Isključi root prijavu lozinkom
Zašto je root prijava lozinkom opasna, kako se razlikuju PermitRootLogin opcije i kako da je isključiš bez gubitka pristupa mašini.
Ažurirano 23. avgust 2026.
Svako zna ime root: ono postoji na svakoj mašini i ima sva ovlašćenja. Napadaču koji koristi brute-force ostaje samo jedna stvar da pogodi — lozinka. Isključivanje prijave lozinkom za root uklanja celu klasu napada jednim parametrom.
Priprema
Prvo rezervni put, pa zabrana. Redosled je obrnut od onoga što ti se radi.
- Napravi korisnika sa sudo — korisnici i sudo.
- Dodaj mu svoj SSH ključ i proveri prijavu u odvojenom terminalu.
- Uveri se da
sudo -iradi. - Tek sada menjaj podešavanje.
ssh artem@<address>
sudo whoami
Ako je druga komanda vratila root, imaš rezervni put.
Opcije konfiguracije
U fajlu /etc/ssh/sshd_config.d/99-hardening.conf:
| Vrednost | Šta znači |
|---|---|
PermitRootLogin yes | Sve je dozvoljeno, uključujući lozinku. Niko ovo ne ostavlja tako |
PermitRootLogin prohibit-password | Ključ radi, lozinka se odbija. Razuman minimum |
PermitRootLogin forced-commands-only | Samo unapred definisane komande, za automatizaciju |
PermitRootLogin no | Root uopšte ne može da se prijavi preko SSH. Najstroža opcija |
Preporučena kombinacija:
PermitRootLogin prohibit-password
PasswordAuthentication no
Drugi parametar zatvara prijavu lozinkom za sve korisnike odjednom, ne samo za root. Više detalja potraži u očvršćivanje SSH-a.
Primeni i proveri
sudo sshd -t
sudo systemctl restart ssh
sudo sshd -T | grep -i permitrootlogin
Iz drugog prozora proveri da root više ne prihvata lozinku i da se tvoj korisnik prijavljuje ključem:
ssh root@<address>
ssh artem@<address>
Restartovanje sshd-a ne prekida trenutnu sesiju — ostavi je otvorenu dok ne završiš proveru.
Šta ostaje dostupno
Promena utiče samo na SSH. Root lozinka je i dalje potrebna i i dalje radi:
- u konzoli mašine, na obe kartice — tekstualnoj i „Screen”;
- pri prijavi preko recovery diska;
- za komandu
su -unutar sistema.
Sama lozinka se čuva šifrovana i otkriva se dugmetom na kartici „Access” u panelu na /hosting/vds/m/<id>. To je tvoj hitni put i ne treba da ga izgubiš — vidi rezervne kopije ključeva i lozinki.
Česte greške
| Greška | Posledica | Rešenje |
|---|---|---|
| Isključio si root, a nisi napravio korisnika sa sudo | Niko ne može da upravlja mašinom | Iskoristi konzolu u panelu i napravi korisnika |
| Ključ postoji samo za root | Novi korisnik ne može da se prijavi | Kopiraj authorized_keys i ispravi dozvole |
| Podešavanje prebija drugi fajl | Pravilo nema efekta | Proveri sshd -T, ne fajl |
| Očekuješ da zabrana važi i za konzolu | Lažan osećaj potpune zaključanosti | Konzola uvek radi, tako je po dizajnu |
Nikada ne isključuj prijavu root-a bez provere alternativne prijave u susednom prozoru. Provera traje deset sekundi; oporavak preko konzole traje mnogo duže.