Ich hatte letztens mal wieder einen Webserver komplett auf IPv6 umgestellt und zig Domains jeweils eine eigene IPv6-Adresse zugewiesen. In dem Zusammenhang bekam auch der Dienst SSH eine eigene und wurde nun nur auf diese gebunden, ohne Domainbindung.
Vorteil gegenüber (teils kostenpflichtigen) IPv4-Adressen: die IPv6-Addresse für SSH ohne Domainbindung lässt sich kaum durch IP-Scan ermitteln und somit fallen keine Einbruchsabfragen an, fail2ban hat nichts zu tun …
Provider wie z.B. Hetzner vergeben 64er Blöcke, z.B. 2b2b:5c60:f3e8:2784::/64
Vereinfacht bekommen die Webdienste mit eigenen Domains auf dem Server am Ende eine individuelle Nummer:
2b2b:5c60:f3e8:2784::1/64
2b2b:5c60:f3e8:2784::2/64
usw.
und der SSH-Dienst
2b2b:5c60:f3e8:2784:83c1:3b03:cd7d:6417/64
Bei Hetzner sieht der Eintrag in
/etc/network/interfaces.d/90-custom
so aus:
> # SSH ohne Domain
> iface eth0 inet6 static
> address 2b2b:5c60:f3e8:2784:83c1:3b03:cd7d:6417/64
> dns-nameservers 2a01:4ff:ff00::add:2 2a01:4ff:ff00::add:1
> gateway fe80::1
In
/etc/ssh/sshd_config
sieht das so aus:
#ListenAddress 0.0.0.0
ListenAddress 2b2b:5c60:f3e8:2784:83c1:3b03:cd7d:6417
Wer unsicher ist, sollte die IPv4 Adresse erlauben, bis die Nutzung von IPv6 geklärt ist.
Mit wenig Aufwand mehr Ruhe…