Maintenance script: Praktikum pendamping: hardening SSH, audit konfigurasi efektif (sshd -T/-C), dan lima lapis bukti akses

2026-11-11T11:18:22Z

Praktikum pendamping: hardening SSH, audit konfigurasi efektif (sshd -T/-C), dan lima lapis bukti akses

New page

'''SSH hardening''' sering diajarkan sebagai daftar baris sakti: matikan password, matikan root, ganti port. Di server nyata, daftar itu sering gagal bukan karena salah tulis, tetapi karena berkas yang kamu edit bukan berkas yang dibaca <code>sshd</code>.

Artikel ini adalah lab pendamping: kamu akan membangun baseline hardening di '''instance sshd kedua''' yang tidak menyentuh layanan produksi, lalu mematahkannya satu per satu. Tujuannya bukan menghafal opsi, tetapi bisa menunjuk bukti: setting mana yang benar-benar aktif, untuk user mana, dan dari mana asalnya.

== 🎯 Tujuan ==
Setelah mengikuti lab ini, kamu bisa:

* Menjelaskan '''lima lapis keputusan akses SSH''' dan berhenti di lapis pertama yang gagal.
* Membaca konfigurasi efektif <code>sshd</code> lewat <code>sshd -T</code>, bukan menebak dari isi berkas.
* Membuktikan bahwa urutan <code>Include</code> membuat nilai dari <code>sshd_config.d/</code> menang atas berkas utama.
* Menguji <code>Match</code> untuk dua user berbeda pada satu berkas konfigurasi.
* Menegakkan kunci-saja, larangan root, <code>AllowUsers</code>, dan izin berkas yang benar.
* Menjelaskan kenapa <code>sshd -t</code> wajib dijalankan sebelum reload atau restart.

== 📍 Konteks nyata ==
Bayangkan pos jaga sekolah. Ada gerbang (jaringan), daftar nama yang boleh masuk (identitas), kartu atau sidik jari (metode), kunci ruang tertentu (kewenangan), dan buku tamu (jejak).

Kalau gerbangnya terbuka tetapi daftar nama tidak pernah dibaca, penjaga tetap meloloskan siapa pun. Itulah yang terjadi saat kamu menulis <code>PasswordAuthentication no</code> di berkas utama, sementara berkas lain di folder <code>sshd_config.d/</code> menulis <code>yes</code> dan dibaca lebih dulu.

* 💡 '''Tips:''' pegangan pertama hardening SSH: '''berkas yang kamu tulis belum tentu berkas yang dibaca'''. Selalu tutup pekerjaan dengan <code>sshd -T</code> dan <code>-C</code>, bukan dengan perasaan "sudah saya matikan".

Perintah <code>sshd -T</code> adalah mode uji lanjutan: ia mencetak '''konfigurasi efektif''' setelah semua <code>Include</code> dan <code>Match</code> diterapkan. Tanpa alat itu, kamu hanya membaca niat, bukan kenyataan.

== 🧠 Konsep singkat ==
Akses SSH adalah keputusan berlapis, bukan satu saklar. Setiap lapis bisa menolak lebih dulu, dan lapis sesudahnya tidak akan pernah dievaluasi.

{| class="wikitable"
! Lapis !! Pertanyaan !! Alat bukti
|-
| 1. Jaringan || Apakah paket sampai ke port yang benar? || <code>ss -tlnp</code>, aturan firewall
|-
| 2. Identitas || Apakah akun ini boleh login dari sini? || <code>AllowUsers</code>, <code>DenyUsers</code>
|-
| 3. Metode || Dengan apa identitas dibuktikan? || <code>PubkeyAuthentication</code>, <code>PasswordAuthentication</code>
|-
| 4. Kewenangan || Setelah masuk, boleh melakukan apa? || <code>PermitRootLogin</code>, <code>sudo -l</code>
|-
| 5. Jejak || Apa yang tercatat setelah semuanya? || <code>journalctl -u ssh</code>, <code>lastb</code>
|}

Aturan kerjanya sederhana: '''berhenti di lapis pertama yang gagal'''. Kalau <code>Connection refused</code>, jangan mengutak-atik <code>AllowUsers</code>. Kalau kunci ditolak padahal akun benar, jangan menyalakan password sebagai "solusi".

=== 🔹 Nilai pertama yang menang ===
<code>sshd_config(5)</code> menulis aturan yang mudah terlewat: untuk setiap kata kunci, '''nilai pertama yang ditemukan itulah yang dipakai'''.

Artinya urutan berkas menentukan hasil. Paket Debian dan Ubuntu menaruh <code>Include /etc/ssh/sshd_config.d/*.conf</code> di '''baris paling atas''' berkas utama. Manpage-nya menyebut terang-terangan: opsi di folder itu akan '''menimpa''' opsi di <code>/etc/ssh/sshd_config</code>.

* ⚠️ '''Hati-hati:''' kalau kamu menambahkan <code>PasswordAuthentication no</code> di bagian bawah berkas utama, tetapi ada <code>50-cloud-init.conf</code> berisi <code>PasswordAuthentication yes</code>, maka nilai <code>yes</code> yang menang. Berkasnya benar, hasilnya salah.

=== 🔹 Satu berkas, dua kebenaran ===
<code>Match</code> membuat blok bersyarat: jika kriteria terpenuhi, kata kunci di dalamnya '''menimpa''' bagian global. Ini fitur, bukan bug — tetapi berbahaya kalau kamu mengira satu setting berlaku untuk semua orang.

Karena itu <code>sshd -T</code> punya pasangan: <code>-C</code> (connection spec). Dengan <code>-C user=...,addr=...,host=...</code>, kamu bisa bertanya "kalau user ini datang dari alamat ini, konfigurasi efektifnya apa?". Dua user, satu berkas, dua jawaban berbeda.

* 📊 '''Angka penting:''' bawaan OpenSSH yang sering jadi sumber kejutan: <code>MaxAuthTries 6</code>, <code>MaxStartups 10:30:100</code>, <code>LoginGraceTime 120</code>, <code>ClientAliveInterval 0</code>, <code>PermitRootLogin prohibit-password</code>, <code>PasswordAuthentication yes</code>, <code>StrictModes yes</code>.

== 🧩 Istilah penting ==
* '''Konfigurasi efektif''' — hasil akhir setelah semua <code>Include</code> dan <code>Match</code> diterapkan, bukan isi mentah satu berkas.
* '''Include''' — perintah menyisipkan berkas lain pada posisi baris itu; di Debian diletakkan di awal berkas.
* '''Drop-in''' — berkas kecil di <code>sshd_config.d/</code> untuk menambah atau menimpa pengaturan tanpa menyentuh berkas utama.
* '''Match block''' — blok bersyarat berdasarkan <code>User</code>, <code>Group</code>, <code>Address</code>, <code>Host</code>, atau <code>LocalPort</code>.
* '''prohibit-password''' — nilai <code>PermitRootLogin</code> yang mematikan password untuk root, tetapi '''masih mengizinkan kunci'''. Ini bukan "root mati".
* '''StrictModes''' — pemeriksaan izin dan pemilik berkas kunci sebelum login diterima.
* '''MaxAuthTries''' — batas percobaan autentikasi per koneksi; kegagalan mulai dicatat setelah mencapai separuh nilai.
* '''MaxStartups''' — batas koneksi yang belum terautentikasi, ditulis <code>start:rate:full</code>.
* '''AuthenticationMethods''' — daftar metode yang harus berhasil berurutan, misalnya kunci lalu password.
* '''authorized_keys''' — berkas kunci publik yang boleh masuk sebagai user tersebut.

== 🔧 Praktik: baseline hardening di instance kedua ==
Lab ini memakai '''instance sshd kedua di port 2222''' dengan berkas konfigurasi sendiri. Layanan SSH asli di port 22 tidak disentuh, jadi kamu tidak bisa terkunci di tengah jalan.

* ⚠️ '''Hati-hati:''' jangan pernah menguji "matikan password" langsung di server yang hanya bisa kamu akses lewat SSH. Selalu siapkan jalur kedua: konsol VM, snapshot, atau instance uji seperti di lab ini.

=== 🔹 Langkah 1 — potret dulu, jangan ubah apa pun ===
# Siapkan satu user uji dan satu kunci di VM latihan Debian atau Ubuntu.
<syntaxhighlight lang="text">
sudo useradd -m -s /bin/bash lab
sudo passwd lab
sudo -u lab mkdir -p /home/lab/.ssh
sudo -u lab ssh-keygen -t ed25519 -f /home/lab/.ssh/id_lab -N ""
sudo -u lab cp /home/lab/.ssh/id_lab.pub /home/lab/.ssh/authorized_keys
sudo chmod 700 /home/lab/.ssh
sudo chmod 600 /home/lab/.ssh/authorized_keys
</syntaxhighlight>
# Potret konfigurasi yang sedang berlaku, sebelum menyentuh apa pun.
<syntaxhighlight lang="text">
sudo sshd -T | sort > /tmp/baseline-sshd.txt
sudo sshd -T | grep -Ei '^(port|permitrootlogin|passwordauthentication|pubkeyauthentication|maxauthtries|allowusers|usepam)'
</syntaxhighlight>
# Catat hasilnya di lembar kerja. '''Tanpa baseline, kamu tidak punya pembanding''' untuk membuktikan perubahanmu bekerja.

* 🧪 '''Uji cepat:''' <code>sudo sshd -T | wc -l</code> memberi jumlah baris konfigurasi efektif. Kalau angkanya berubah setelah edit, ada sesuatu yang benar-benar terbaca — bukan sekadar tersimpan.

=== 🔹 Langkah 2 — bangun instance kedua di port 2222 ===
# Buat salinan konfigurasi terpisah supaya produksi aman.
<syntaxhighlight lang="text">
sudo mkdir -p /tmp/ssh-lab/sshd_config.d
sudo mkdir -p /run/sshd
</syntaxhighlight>
# Tulis konfigurasi lab yang mandiri. Perhatikan <code>Include</code> di baris pertama — ini meniru perilaku paket Debian.
<syntaxhighlight lang="text">
sudo tee /tmp/ssh-lab/sshd_config > /dev/null <<'EOF'
Include /tmp/ssh-lab/sshd_config.d/*.conf
Port 2222
PidFile /tmp/ssh-lab/sshd.pid
HostKey /etc/ssh/ssh_host_ed25519_key
LogLevel VERBOSE
PasswordAuthentication yes
PubkeyAuthentication yes
PermitRootLogin prohibit-password
UsePAM yes
EOF
</syntaxhighlight>
# Validasi, lalu jalankan instance lab di latar belakang dengan berkas log sendiri.
<syntaxhighlight lang="text">
sudo sshd -t -f /tmp/ssh-lab/sshd_config
sudo /usr/sbin/sshd -f /tmp/ssh-lab/sshd_config -E /tmp/ssh-lab/sshd.log
ss -tlnp | grep 2222
</syntaxhighlight>
# Uji dua jalur login sebagai pembanding. Keduanya harus berhasil sebelum kamu mematahkan apa pun.
<syntaxhighlight lang="text">
ssh -p 2222 -i /home/lab/.ssh/id_lab lab@127.0.0.1 'echo masuk-dengan-kunci'
ssh -p 2222 lab@127.0.0.1 'echo masuk-dengan-password'
</syntaxhighlight>

=== 🔹 Langkah 3 — buktikan lapis metode (kunci saja) ===
# Ubah satu baris di konfigurasi lab, lalu reload instance lab saja, bukan layanan sistem.
<syntaxhighlight lang="text">
sudo sed -i 's/^PasswordAuthentication yes/PasswordAuthentication no/' /tmp/ssh-lab/sshd_config
sudo sshd -t -f /tmp/ssh-lab/sshd_config
sudo kill -HUP $(sudo cat /tmp/ssh-lab/sshd.pid)
sudo sshd -T -f /tmp/ssh-lab/sshd_config | grep -i passwordauth
</syntaxhighlight>
# Minta klien memaksa jalur password. Jawaban yang benar adalah penolakan yang menyebut metode yang tersisa.
<syntaxhighlight lang="text">
ssh -p 2222 -o PubkeyAuthentication=no lab@127.0.0.1
</syntaxhighlight>
# Hasil yang diharapkan: <code>Permission denied (publickey).</code> Perhatikan daftar metodenya — hanya <code>publickey</code>, tanda password benar-benar tidak ditawarkan lagi.

=== 🔹 Langkah 4 — buktikan lapis identitas (root dan AllowUsers) ===
# Matikan root, lalu batasi user yang boleh masuk.
<syntaxhighlight lang="text">
sudo tee /tmp/ssh-lab/sshd_config.d/10-identitas.conf > /dev/null <<'EOF'
PermitRootLogin no
AllowUsers lab@127.0.0.1
EOF
sudo sshd -t -f /tmp/ssh-lab/sshd_config
sudo kill -HUP $(sudo cat /tmp/ssh-lab/sshd.pid)
sudo sshd -T -f /tmp/ssh-lab/sshd_config | grep -Ei '^(permitrootlogin|allowusers)'
</syntaxhighlight>
# Bandingkan arti tiga nilai <code>PermitRootLogin</code> berikut. Ini sumber salah paham paling sering.
{| class="wikitable"
! Nilai !! Password root !! Kunci root
|-
| yes || boleh || boleh
|-
| prohibit-password || ditolak || boleh
|-
| no || ditolak || ditolak
|}
# Uji dari akun lain: user yang tidak ada di <code>AllowUsers</code> harus ditolak walau kuncinya sah.
<syntaxhighlight lang="text">
sudo useradd -m -s /bin/bash tamu
sudo -u tamu mkdir -p /home/tamu/.ssh
sudo -u tamu ssh-keygen -t ed25519 -f /home/tamu/.ssh/id_tamu -N ""
sudo -u tamu cp /home/tamu/.ssh/id_tamu.pub /home/tamu/.ssh/authorized_keys
sudo chmod 700 /home/tamu/.ssh
sudo chmod 600 /home/tamu/.ssh/authorized_keys
ssh -p 2222 -i /home/tamu/.ssh/id_tamu tamu@127.0.0.1
</syntaxhighlight>
# Hasil yang diharapkan: <code>Permission denied (publickey).</code> Di log server muncul <code>User tamu not allowed because not listed in AllowUsers</code> — bukti lapis 2 yang menolak, bukan lapis 3.

* 💡 '''Tips:''' pola <code>USER@HOST</code> di <code>AllowUsers</code> menerima alamat dalam bentuk CIDR, misalnya <code>lab@192.168.100.0/24</code>. Ini cara murah membatasi akses hanya dari LAN lab tanpa menyentuh firewall.

=== 🔹 Langkah 5 — jebakan urutan Include ===
Ini uji paling penting di artikel ini. Kamu akan membuat dua berkas yang saling bertentangan, lalu melihat siapa yang menang.

# Tulis <code>no</code> di berkas utama, lalu <code>yes</code> di drop-in. Urutan <code>Include</code> menentukan pemenangnya.
<syntaxhighlight lang="text">
sudo tee /tmp/ssh-lab/sshd_config.d/90-warisan.conf > /dev/null <<'EOF'
PasswordAuthentication yes
EOF
sudo sshd -T -f /tmp/ssh-lab/sshd_config | grep -i passwordauth
</syntaxhighlight>
# Hasil yang diharapkan: <code>passwordauthentication yes</code>. Padahal berkas utama jelas menulis <code>no</code>. Penyebabnya bukan salah tulis, tetapi '''urutan baca'''.

* 🔥 '''Kasus nyata:''' sebuah SMK mematikan login password di <code>/etc/ssh/sshd_config</code> untuk server CBT. Image cloud yang dipakai menyisakan <code>50-cloud-init.conf</code> berisi <code>PasswordAuthentication yes</code>, dan berkas itu dibaca lebih dulu. Selama tujuh bulan password tetap berlaku; akun <code>operator</code> dengan sandi <code>operator123</code> dipakai bergantian oleh empat orang. Nilai dua kelas berubah suatu malam, dan admin sempat menyalahkan siswa karena di berkas yang ia buka, password sudah mati.

# Bersihkan drop-in palsu itu, lalu pastikan nilai kembali <code>no</code>.
<syntaxhighlight lang="text">
sudo rm /tmp/ssh-lab/sshd_config.d/90-warisan.conf
sudo sshd -T -f /tmp/ssh-lab/sshd_config | grep -i passwordauth
</syntaxhighlight>

=== 🔹 Langkah 6 — dua kebenaran dari Match ===
# Sekarang buat pengecualian yang sah: password hanya untuk user <code>lab</code>, sisanya kunci saja.
<syntaxhighlight lang="text">
sudo tee /tmp/ssh-lab/sshd_config.d/20-pengecualian.conf > /dev/null <<'EOF'
PasswordAuthentication no
Match User lab
PasswordAuthentication yes
EOF
sudo sshd -t -f /tmp/ssh-lab/sshd_config
</syntaxhighlight>
# Tanyakan konfigurasi efektif untuk dua user berbeda. Perhatikan nilai yang berbeda untuk kunci yang sama.
<syntaxhighlight lang="text">
sudo sshd -T -f /tmp/ssh-lab/sshd_config -C user=lab,addr=127.0.0.1,host=laptop | grep -i passwordauth
sudo sshd -T -f /tmp/ssh-lab/sshd_config -C user=tamu,addr=127.0.0.1,host=laptop | grep -i passwordauth
</syntaxhighlight>
# Hasil yang diharapkan: <code>yes</code> untuk <code>lab</code>, <code>no</code> untuk <code>tamu</code>. Satu berkas, dua kebenaran — dan kamu bisa menunjuk buktinya.

* ⚠️ '''Hati-hati:''' <code>Match</code> tidak bisa membatalkan keputusan lapis sebelumnya. Kalau user sudah ditolak <code>AllowUsers</code>, pengecualian password tidak akan pernah dievaluasi.

=== 🔹 Langkah 7 — izin berkas dan StrictModes ===
# Rusak izin direktori home dengan sengaja, lalu coba masuk dengan kunci.
<syntaxhighlight lang="text">
sudo chmod 777 /home/lab
ssh -p 2222 -i /home/lab/.ssh/id_lab lab@127.0.0.1
</syntaxhighlight>
# Hasil yang diharapkan: penolakan, dan di log server muncul pesan semacam <code>Authentication refused: bad ownership or modes for directory /home/lab</code>.

* 📊 '''Angka penting:''' <code>StrictModes</code> bawaannya <code>yes</code>. Artinya <code>sshd</code> memeriksa pemilik dan izin direktori home serta <code>authorized_keys</code>. Direktori home yang bisa ditulis semua orang dianggap sebagai risiko pembajakan kunci.

# Kembalikan izin yang benar, lalu ulangi. Login harus berhasil lagi tanpa mengubah konfigurasi apa pun.
<syntaxhighlight lang="text">
sudo chown lab:lab /home/lab
sudo chmod 750 /home/lab
sudo chmod 700 /home/lab/.ssh
sudo chmod 600 /home/lab/.ssh/authorized_keys
ssh -p 2222 -i /home/lab/.ssh/id_lab lab@127.0.0.1 'echo izin-beres'
</syntaxhighlight>

=== 🔹 Langkah 8 — batas percobaan dan jejak log ===
# Turunkan <code>MaxAuthTries</code> ke 2, reload instance lab, lalu paksa klien menawarkan beberapa kunci.
<syntaxhighlight lang="text">
sudo tee /tmp/ssh-lab/sshd_config.d/30-batas.conf > /dev/null <<'EOF'
MaxAuthTries 2
EOF
sudo sshd -t -f /tmp/ssh-lab/sshd_config
sudo kill -HUP $(sudo cat /tmp/ssh-lab/sshd.pid)
ssh -p 2222 -o IdentitiesOnly=no -i /home/lab/.ssh/id_lab lab@127.0.0.1
</syntaxhighlight>
# Perhatikan log server. Dengan <code>LogLevel VERBOSE</code>, <code>sshd</code> mencatat sidik jari kunci dan percobaan yang gagal.
<syntaxhighlight lang="text">
sudo tail -n 20 /tmp/ssh-lab/sshd.log
sudo grep -c 'Failed password' /tmp/ssh-lab/sshd.log
</syntaxhighlight>
# Hasil yang diharapkan: baris <code>Accepted publickey for lab</code> lengkap dengan sidik jari <code>SHA256:...</code>, dan hitungan percobaan gagal yang bisa kamu tunjuk angkanya.

* 🧪 '''Uji cepat:''' <code>sudo journalctl -u ssh -n 30 --no-pager</code> membaca jejak layanan asli. Untuk percobaan gagal dari jaringan, <code>sudo lastb -n 10</code> memberi daftar singkat.

=== 🔹 Langkah 9 — validasi sebelum reload ===
# Rusak satu kata kunci dengan sengaja, lalu lihat siapa yang menangkap kesalahan itu.
<syntaxhighlight lang="text">
sudo sh -c 'echo PasswordAuthenticaion no >> /tmp/ssh-lab/sshd_config'
sudo sshd -t -f /tmp/ssh-lab/sshd_config; echo "kode keluar: $?"
</syntaxhighlight>
# Hasil yang diharapkan: <code>Bad configuration option: passwordauthenticaion</code> dan kode keluar bukan nol. '''Inilah rem darurat''' yang mencegah server mati karena salah ketik.
# Buktikan akibatnya kalau rem itu dilewati: hentikan instance lab, jalankan ulang dengan berkas yang rusak.
<syntaxhighlight lang="text">
sudo kill $(sudo cat /tmp/ssh-lab/sshd.pid)
sudo /usr/sbin/sshd -f /tmp/ssh-lab/sshd_config -E /tmp/ssh-lab/sshd.log; echo "kode keluar: $?"
ss -tlnp | grep 2222
</syntaxhighlight>
# Hasil yang diharapkan: instance gagal start dan port 2222 hilang. Di server produksi, skenario ini berarti kehilangan akses sampai ada orang membetulkan berkas dari konsol.

=== 🔹 Langkah 10 — bersih-bersih dan lembar bukti ===
# Perbaiki berkas, tutup instance lab, hapus bahan uji.
<syntaxhighlight lang="text">
sudo sed -i '/PasswordAuthenticaion/d' /tmp/ssh-lab/sshd_config
sudo sshd -t -f /tmp/ssh-lab/sshd_config
sudo kill $(sudo cat /tmp/ssh-lab/sshd.pid) 2>/dev/null
sudo rm -rf /tmp/ssh-lab
sudo userdel -r lab
sudo userdel -r tamu
</syntaxhighlight>
# Tulis lembar bukti berisi tujuh baris: port lab, nilai <code>passwordauthentication</code> per user, nilai <code>permitrootlogin</code>, isi <code>allowusers</code>, pesan penolakan tiap uji, cuplikan log <code>Accepted publickey</code>, dan bukti port 2222 sudah tertutup.

== 🏭 Dipakai di dunia kerja ==
* '''Sekolah:''' server CBT dan e-rapor biasanya diakses admin dari ruang guru. Kunci-saja plus <code>AllowUsers</code> per subnet membuat akun bersama tidak lagi jadi pintu masuk, tanpa mengganggu jadwal ujian.
* '''Kantor distributor:''' vendor aplikasi minta akses remote. Kebijakan <code>PermitRootLogin no</code> dan kunci per-vendor yang bisa dicabut membuat akses berhenti tepat saat kontrak berhenti.
* '''Klinik dan layanan data pribadi:''' rekam medis hanya boleh dibuka staf tertentu. <code>AllowUsers</code> dan <code>AuthenticationMethods</code> adalah kontrol yang bisa ditunjukkan saat audit, bukan sekadar niat baik.
* '''Hosting dan VPS:''' server yang menghadap internet menerima puluhan ribu percobaan login per hari. Kunci-saja membuat tebakan password tidak lagi punya sasaran.
* '''ISP dan warnet:''' perangkat jaringan dikelola dari jarak jauh lewat SSH. Akses berbasis kunci mencegah sandi default perangkat dipakai ulang di semua unit.
* '''Industri:''' jaringan operasi dan server HMI tidak boleh diakses dari sembarang host. Batas alamat di <code>AllowUsers</code> menjadi lapis pertama sebelum firewall dalam.

== ✅ Verifikasi ==
{| class="wikitable"
! Lapis !! Perintah !! Bukti lulus
|-
| 1. Jaringan || <code>ss -tlnp</code> || hanya port yang direncanakan terbuka
|-
| 2. Identitas || <code>sshd -T -C user=tamu,...</code> || <code>allowusers</code> hanya memuat user sah
|-
| 3. Metode || <code>ssh -o PubkeyAuthentication=no</code> || <code>Permission denied (publickey)</code>
|-
| 3. Metode || <code>sshd -T -C user=lab,...</code> || nilai sesuai pengecualian <code>Match</code>
|-
| 4. Kewenangan || <code>ssh root@host</code> || ditolak sesuai <code>PermitRootLogin</code>
|-
| 4. Kewenangan || <code>sudo -l -U lab</code> || tidak ada hak berlebih
|-
| 5. Jejak || <code>grep -c 'Failed password'</code> || angka percobaan tercatat
|-
| 5. Jejak || <code>grep 'Accepted publickey'</code> || ada sidik jari <code>SHA256:...</code>
|-
| Umum || <code>sshd -t</code> || kode keluar 0, tanpa pesan
|}
Kalau satu baris gagal, jangan lanjut ke baris berikutnya. Perbaiki lapis itu dulu, lalu ulangi dari atas.

== ⚠️ Kesalahan umum & troubleshooting ==
{| class="wikitable"
! Pesan atau gejala !! Artinya !! Tindakan
|-
| Connection refused || tidak ada daemon di port itu || <code>ss -tlnp</code>, cek <code>Port</code>, cek firewall
|-
| Permission denied (publickey) || hanya kunci, dan kunci tidak cocok || <code>ssh -vvv</code>, cek <code>AuthorizedKeysFile</code>
|-
| Permission denied (publickey,password) || password masih ditawarkan tapi gagal || cek <code>sshd -T -C</code>, status akun
|-
| bad ownership or modes for directory || <code>StrictModes</code> menolak izin home || <code>chmod 750</code>, <code>chown user:user</code>
|-
| Too many authentication failures || <code>MaxAuthTries</code> habis || pakai <code>-o IdentitiesOnly=yes</code>
|-
| User ... not allowed because not listed in AllowUsers || lapis identitas menolak || tambahkan pola di <code>AllowUsers</code>
|-
| Bad configuration option: ... || salah ketik kata kunci || <code>sshd -t</code> lalu perbaiki barisnya
|-
| no hostkeys available -- exiting || <code>HostKey</code> hilang atau tak terbaca || <code>ssh-keygen -A</code>, cek path <code>HostKey</code>
|-
| Missing privilege separation directory: /run/sshd || direktori runtime belum ada || <code>mkdir -p /run/sshd</code>
|-
| Address already in use || port lab sudah dipakai || <code>ss -tlnp</code>, ganti port instance
|}

* ⚠️ '''Hati-hati:''' <code>systemctl restart ssh</code> dengan berkas rusak adalah cara paling cepat kehilangan server. Di Debian, kegagalan start meninggalkan layanan mati dan port tertutup. Selalu <code>sshd -t</code> dulu, dan pastikan kamu punya konsol atau snapshot.

* 💡 '''Tips:''' saat men-debug klien, tambahkan <code>-v</code> (cukup) atau <code>-vvv</code> (detail). Di sisi server, <code>LogLevel VERBOSE</code> memberi sidik jari kunci tanpa membocorkan isi sesi. Kembalikan ke <code>INFO</code> setelah selesai.

== 🔐 Catatan keamanan & etika ==
* '''LogLevel DEBUG bukan alat permanen.''' Manpage <code>sshd_config(5)</code> menyebut level DEBUG melanggar privasi pengguna. Nyalakan sebentar, matikan lagi.
* '''Kunci adalah identitas, bukan berkas biasa.''' Kunci privat mode <code>600</code>, direktori <code>.ssh</code> mode <code>700</code>, dan jangan pernah menyalinnya ke flashdisk bersama.
* '''prohibit-password bukan "root mati".''' Kalau ingin root benar-benar tertutup, tulis <code>no</code> dan pastikan ada akun lain dengan <code>sudo</code>.
* '''Cabut akses dengan mencabut kunci.''' Hapus baris di <code>authorized_keys</code> atau pakai <code>AuthorizedKeysCommand</code> terpusat; mengganti password tidak menyentuh kunci yang sudah tertanam.
* '''Log menyimpan data pribadi.''' Alamat IP, nama user, dan sidik jari kunci adalah data orang. Jangan menempel log mentah ke grup chat umum.
* '''Lab di server bersama butuh izin.''' Instance kedua tidak mengganggu produksi, tetapi membuat user dan mengubah izin home tetap terlihat pengguna lain. Kembalikan kondisi awal setelah selesai.
* '''Etika:''' materi ini untuk mengamankan server milik sendiri atau yang kamu diberi izin. Mencoba teknik ini pada server orang lain adalah pelanggaran hukum, bukan latihan.

== 📌 Kesimpulan ==
Hardening SSH bukan daftar baris yang ditempel, tetapi urutan lapis yang harus dibuktikan satu per satu: jaringan, identitas, metode, kewenangan, jejak.

Alat paling jujurnya bukan ingatanmu, melainkan <code>sshd -T</code> dan <code>sshd -T -C</code>. Dua perintah itu menunjukkan apa yang benar-benar dipakai <code>sshd</code> untuk user dan alamat tertentu, termasuk saat drop-in menimpa berkas utama.

Langkah berikutnya: ambil satu server latihan milikmu, potret baseline-nya, lalu jalankan lab ini dari Langkah 2 sampai Langkah 9 tanpa menyentuh layanan di port 22.

== 🔗 Materi terkait ==
* [[Linux : Mengamankan SSH Server dengan Port Custom]] — dasar memindahkan port dan konsekuensi operasionalnya.
* [[Linux : Membatasi Percobaan Login SSH dengan Fail2ban]] — lapis tambahan setelah <code>MaxAuthTries</code>.
* [[Mengijinkan User Tertentu Remote SSH]] — versi ringkas pembatasan user.
* [[Merubah Default Port SSH]] — perubahan port dan penyesuaian klien.
* [[Instalasi SSH Server di Debian Linux]] — prasyarat pemasangan layanan.
* [[Linux : Praktikum Audit Akun, Group, dan Hak sudo]] — audit identitas dan kewenangan setelah hardening.

== 📚 Referensi ==
* Debian Manpages — [https://manpages.debian.org/bookworm/openssh-server/sshd_config.5.en.html sshd_config(5)], bookworm.
* Debian Manpages — [https://manpages.debian.org/bookworm/openssh-server/sshd.8.en.html sshd(8)], termasuk opsi <code>-t</code>, <code>-T</code>, dan <code>-C</code>.
* Debian Manpages — [https://manpages.debian.org/bookworm/openssh-client/ssh.1.en.html ssh(1)] dan [https://manpages.debian.org/bookworm/openssh-client/ssh-keygen.1.en.html ssh-keygen(1)].
* Debian Wiki — [https://wiki.debian.org/SSH SSH].
* OpenSSH Project — [https://www.openssh.com/manual.html manual resmi].

[[Category:TKJ]]
[[Category:Linux]]
[[Category:Server]]
[[Category:Cyber Security]]

Linux : Praktikum Hardening SSH dan Audit Konfigurasi - Revision history

Maintenance script: Revisi: sudut audit server warisan + tautan artikel konsep pasangan (Page 761)

Maintenance script: Protected "Linux : Praktikum Hardening SSH dan Audit Konfigurasi": Proteksi editorial: edit/move sysop ([Edit=Allow only administrators] (indefinite) [Move=Allow only administrators] (indefinite))

Maintenance script: Praktikum pendamping: hardening SSH, audit konfigurasi efektif (sshd -T/-C), dan lima lapis bukti akses

← Older revision	Revision as of 18:18, 11 November 2026
(No difference)