Вимкнення входу root за паролем
Чому вхід root за паролем небезпечний, чим відрізняються варіанти PermitRootLogin і як вимкнути його, не втративши доступ до машини.
Оновлено 23 серпня 2026 р.
Ім'я root відоме всім: воно є на кожній машині й має повні права. Брутфорсеру залишається вгадати лише одне — пароль. Вимкнення входу за паролем для root прибирає цілий клас атак одним параметром.
Підготовка
Спочатку запасний шлях, потім заборона. Порядок зворотний до того, як хочеться зробити.
- Створіть користувача з sudo — користувачі та sudo.
- Додайте йому свій SSH-ключ і перевірте вхід в окремому вікні термінала.
- Переконайтеся, що
sudo -iпрацює. - Лише тепер змінюйте налаштування.
ssh artem@<address>
sudo whoami
Якщо друга команда повернула root, запасний шлях у вас є.
Параметри конфігурації
У файлі /etc/ssh/sshd_config.d/99-hardening.conf:
| Значення | Що воно означає |
|---|---|
PermitRootLogin yes | Дозволено все, зокрема пароль. Ніхто так не залишає |
PermitRootLogin prohibit-password | Ключ працює, пароль відхиляється. Розумний мінімум |
PermitRootLogin forced-commands-only | Лише заздалегідь визначені команди, для автоматизації |
PermitRootLogin no | Root взагалі не може увійти через SSH. Найсуворіший варіант |
Рекомендована комбінація:
PermitRootLogin prohibit-password
PasswordAuthentication no
Другий параметр закриває вхід за паролем одразу для всіх користувачів, не лише для root. Докладніше дивіться в посиленні захисту SSH.
Застосування та перевірка
sudo sshd -t
sudo systemctl restart ssh
sudo sshd -T | grep -i permitrootlogin
З іншого вікна перевірте, що root більше не приймає пароль, а ваш користувач входить за ключем:
ssh root@<address>
ssh artem@<address>
Перезапуск sshd не обриває поточну сесію — тримайте її відкритою, доки не завершите перевірку.
Що залишається доступним
Зміна стосується лише SSH. Пароль root, як і раніше, потрібен і працює:
- у консолі машини, на обох вкладках — текстовій і «Screen»;
- під час входу через диск відновлення;
- для команди
su -всередині системи.
Сам пароль зберігається зашифрованим, і його показує кнопка на вкладці «Доступ» панелі за адресою /hosting/vds/m/<id>. Це ваш аварійний шлях, і його не варто втрачати — дивіться резервні ключі та паролі.
Типові помилки
| Помилка | Наслідок | Рішення |
|---|---|---|
| Ви вимкнули root, але не створили користувача з sudo | Ніхто не може керувати машиною | Скористайтеся консоллю панелі та створіть користувача |
| Ключ є лише в root | Новий користувач не може увійти | Скопіюйте authorized_keys і виправте права |
| Налаштування перекриває інший файл | Правило не діє | Перевіряйте sshd -T, а не файл |
| Очікування, що заборона пошириться на консоль | Хибне відчуття повного блокування | Консоль працює завжди, так задумано |
Ніколи не вимикайте вхід для root, не перевіривши альтернативний вхід у сусідньому вікні. Перевірка займає десять секунд; відновлення через консоль — значно довше.