http://segfault.kiev.ua/smart-questions-ru.html

Очевидно, входить не как пользователь, а как root.

«PermitRootLogin yes» в /etc/ssh/sshd_config

и логинится под рутом

/etc/ssh/sshd_config:

PermitRootLogin yes

Почитать man sshd_config на предмет опций, в которые входит логин суперпользователя. Но раз ты о таком спрашиваешь, то тебе, скорее всего, лучше не трогать ничего, иначе тебя выломают как ребёнка.

Нормальные адекватные люди админы (даже локалхоста) никогда не разрешают удалённый логин рута.

логиниться рутом
если не получается: админ хоста умней тебя и понимает, что это ппц что за дыра
если админ той машинки ты, то ковыряй конфиг sshd
а вообще - никогда так не делай!

И да, вот за это

)))))))))))))))

я бы банил

ssh root@blabla.org
root@blabla.org's password: 
Permission denied, please try again.

Не принимает пароль ?

Все закрываю тему, наверно загнался, логичнее не заходить под рутом.

Правильно умные люди советуют, не надо логиниться под root!

Можно настроить аутентификацию по ключу для любого пользователя, да и безопаснее чем по паролю.

я бы банил за «я бы банил»

Смотри не пострадай от рекурсивности...

ну ты понел что теперь тебя можно брутить на рута, да?

> если не получается: админ хоста умней тебя и понимает, что это ппц что за дыра

Не то, чтобы это была вот прямо дыра. Просто на один пароль меньше подбирать, чем если поломать пользователя. А уж если пользователю sudo su доступен, то, и вовсе, без разницы. Основное удобство в нехождении под root - это если админов более одного, можно понять, кто что где делал, если разбор полётов нужен. А дыра - это возможность перебора паролей по ssh, как таковая. Всего-то надо recent задействовать в iptables, это если нельзя доступ по ip ограничить.

ви мне таки угрожаити?:)

sudo - дыра!
потому не место ему на нормальной машине
su - от него профита ноль
после логина юзера весь трафик шифруется
если кому хоца разбираться в этом - пусть - тут ни ключи ни запреты тогда не спасут

Категоричность это хорошо. Всегда набираете /bin/su - ?

после логина юзера весь трафик шифруется

Только после? А во время логина?

во время логина (без ключа) трафик прямым текстом идёт
если это не изменили сейчас

я бы банил

а мы выдвигали тебя в модеры =) сам не захотел =)

fail2ban тоже помогает.

Вот же, блин, люди пошли: одним подавай автологин в gdm на рута, другим - рута по ssh...

Эдак с вами, господа бубунтофилы, скоро в линухах вирусни будет не меньше, чем в мастдае...

Просто на один пароль меньше подбирать, чем если поломать пользователя.

Для начала еще логин угадать надо :)

А уж если пользователю sudo su доступен, то, и вовсе, без разницы.

Хватит sudo bash с тем же паролем, что у пользователя, а не рута. Поэтому, как всегда, повторю: криво настроенное sudo - отличная дырища в системе. Лучше его вообще не ставить. Физически. Хватит su.

Ни к чему.

Объяснили человеку, как рутовый логин разрешить - дальше само. Гггг.

// Ещё надо двадцать второй порт выставить, конечно.

а как его можно криво настроить? дать всем выполнять все?
у меня например все кто в группе WHEEL могут выполнять любые команды от рута без пароля. но кого-попало в эту группу я не включаю =)

а как его можно криво настроить?

Например, прописать кому-нибудь ALL=(ALL) NOPASSWD: ALL, или прописать ALL=(ALL) ALL, не указав, что в качестве пароля должен использоваться пароль рута, а не пользователя.

И вообще, по-человечески, sudo нафиг не нужен: если какой-то программкой (например, mount) должны пользоваться непривилегированные пользователи, достаточно или найти ей замену (fuse и т.п.), или поставить suid-бит.

у меня например все кто в группе WHEEL могут выполнять любые команды от рута без пароля.

Ааааааааааааа...

• Настроить аутентификацию по ключам
• Научиться использовать screen или tmux
• Открыть необходимые «вкладки» в screen'е, например, r00t, sh, log и т.д.
• Осилить .ssh/config
• Для подключения к хосту использовать ssh -t pbx 'screen -rd'
• Опционально настроить

  -A INPUT -i eth0 -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -m hashlimit --hashlimit 1/hour --hashlimit-burst 2 --hashlimit-mode srcip --hashlimit

Как правильно заметили выше, рут логин это не такая уж большая дыра при правильной настройке фильтрации и pwgen -s 12 1. Это скорее плохой тон )

> fail2ban тоже помогает.

А если сам ошибёшься ? ;-)

там же есть whitelist.

А еще лучше

авторизация по ключу с паролем, просто подобрать пароль не получится, еси нету ключа. Если кто то спер ключ, надо знать пароль к нему.

Все кто не дает логиниться руту удаленно... параноики. Все можно только надо понимать что как и зачем.