SSH-Server - Brauchbare Alternative

[The Ripper]

Hallo,
Ich bin auf der Suche nach einer Alternative zum SSH-Server, die ich parallel laufen lassen kann.
Der Grund dafür ist das Vorhandensein eines Ersatzes bei Problemen mit der Verbindung über SSH.

Könnt ihr da brauchbares empfehlen?

 

[HominiLupus]

Ein zweiter SSH Server?
Was für Probleme meinst du denn genau?

 

[The Ripper]

Neulich hatte ich das Problem, dass plötzlich durch ein Update von openssh eine Standardkonfiguration verändert wurde, sodass ich mich nicht mehr über den Server einloggen konnte.
Das würde ich gerne durch eine Absicherung über einen zweiten Server vermeiden, sodass ich praktisch dafür immer noch ein Backup habe.

 

[DarkAngel]

Nun, du kannst einen zweiten SSH Server mit einer anderen Config laufen lassen. Oder aber einfach die Changelog bei nen Update lesen. Dann passieren auch nicht solche Sachen.

 

[xone92]

Man kann ohne Probleme einen zweiten OpenSSH-Server laufen lassen. Also auf einem anderen Port mit entsprechender anderer Konfigurationsdatei.

Einen anderen SSH-Server brauchst du also nicht.

 

[HominiLupus]

SSH Server völlig statisch kompilieren (weil sonst Probleme auftauchen können wenn du z.B. libc austauschst). Den ssh server in /usr/local stecken und die extra Konfig auch dort hin. Dann den dort automatisch auf anderem Port starten
Alternative zu opensshd, vielleicht dropbear nehmen für den Zweitsshd, das ist der ssh Server für Router und andere kleine Systeme.

 

[The Ripper]

Wenn ich jetzt einen zweiten openssh Server benutzt und beim Update wird irgendwas zerhauen, dann kann es ja durchaus sein, dass sich das auf beide auswirkt, nicht?

Changelog lesen, das ist mir klar. Dazu müsste ich aber auch echt alles genau durchlesen und hundertprozentig verstehen. Nicht unmöglich, dass man trotzdem was übersieht. Sicher wär sicher.

Ich schau mal dropbear an, danke für eure Antworten.

 

[xone92]

Wenn ich jetzt einen zweiten openssh Server benutzt und beim Update wird irgendwas zerhauen, dann kann es ja durchaus sein, dass sich das auf beide auswirkt, nicht?

Klar, wenn beim Patchen was schief läuft und der sshd gar nicht mehr startet hast du verloren. Aber ohne Grund wird der ja nicht gepatcht ... da du aber eine andere Konfigurationsdatei verwendest wärst du schon mal vor deinem Ursprungsproblem geschützt.

Die Idee vom HominiLupus mit einem selber kompilierten statischen sshd ist nicht schlecht. Aber das ist schon die hohe Kunst. Und du müsstest den eben immer auf dem aktuellen Stand halten.

Worum handelt es sich? Um einen root-Server der im Internet steht?

 

[The Ripper]

Root-Server mit Anbindung ans Internet und oft sehr schwierigen lokalen Zugriff.

 

[MusicJunkie666]

Bei guten Hostern kann man im Notfall eine KVM-over-IP-Konsole bestellen. Bei Hetzner ist das sogar gratis. Mir persönlich reicht das für den unwahrscheinlichen Fall, dass der OpenSSH-Server eingeht.

 

[The Ripper]

Leider gibt's die Hardware für KVM-over-IP nicht besonders günstig (privater Server)
Wobei sowas an sich bestimmt interessant wäre.

 

[MusicJunkie666]

...ansonsten gäbe es natürlich noch die Möglichkeit, einen passwortgeschützten VNC- oder Spice-Server zu nutzen. Wie sicher das ist kann ich dir aber leider nicht sagen.

 

[Sug82]

VNC ist nicht verschluesselt und max. Passwortlaenge betraegt meines Wissens nach 8 Zeichen. Spice-Server war/ist es nicht fuer VMs? VNC setzt ausserdem Desktopumgebung voraus. Es wuerde ebenso heissen, ein oder mehrere weitere Ports wird/werden zusaetzlich benoetigt/geoeffnet. D.h. ein/mehrere Angriffsflaeche mehr.

Eine alternative zu ssh, die zumindest gleiche Sicherheitsstandard wie ssh hat, braucht ggf. findet man quasi nicht. IPMI bzw. KVM-over-IP benoetigt oftmals ein separates Netz, damit die Missbrauchsmoeglichkeit niedrig gehalten werden kann.

Wie in anderem Threat schon geschrieben wurde, ist es relativ einfach dieses Missglueck zu verhindern, naemlich nach einem Update ggf. restart von ssh, koennte man eine neue ssh Session unabhaengig von den anderen starten, waehrend der alten Session noch weiterhin laeuft. Sollte man widererwartet mit der neuen ssh Session nicht auf den Server zugreifen koennen, besteht noch die Moeglichkeit ueber alten ssh Session das ganze zu korrigieren.

Zur Not koennte man noch webmin, *ich wuerde mich jetzt selbst steinigen*, dafuer einrichten, aber wie geschrieben, es braucht ein weiterer offene Port und dazu auch noch die Pflege/Konfiguration des Zusatzdienstes.