Como habilitar SSH para root no Linux com segurança

SSH é a porta de entrada do administrador — configure com cuidado

SSH (Secure Shell) permite administrar servidores Linux remotamente. Muitos tutoriais na internet mostram “liberar root no SSH” de forma rápida; em ambiente corporativo, a ITC recomenda usuário comum + sudo e login por chave pública. Este guia explica as duas abordagens para você saber o que está fazendo — e o risco de cada uma.

Instalar e iniciar OpenSSH (Ubuntu/Debian)

sudo apt update
sudo apt install openssh-server -y
sudo systemctl enable ssh
sudo systemctl start ssh
sudo systemctl status ssh

Porta padrão: 22/tcp. Anote o IP do servidor (ip a).

Acesso recomendado: usuário + sudo (sem root SSH)

1. Crie usuário administrativo: sudo adduser adminitc
2. Inclua no sudo: sudo usermod -aG sudo adminitc
3. Gere chave no seu PC: ssh-keygen -t ed25519 -C "seu@email"
4. Copie a chave pública: ssh-copy-id adminitc@IP_DO_SERVIDOR
5. Teste: ssh adminitc@IP_DO_SERVIDOR
6. Eleve privilégio quando precisar: sudo -i ou sudo comando

Como habilitar login SSH do root (quando insistir no procedimento)

Aviso: expõe o alvo mais valioso a brute force na internet. Use só em lab, rede interna ou com firewall restritivo.

1. Defina senha do root se necessário: sudo passwd root
2. Edite configuração: sudo nano /etc/ssh/sshd_config
3. Altere ou adicione:

   PermitRootLogin prohibit-password   # só chave — preferível se root for obrigatório
   # OU (menos seguro):
   PermitRootLogin yes                 # senha ou chave

4. Recarregue: sudo systemctl reload ssh
5. Teste em nova sessão antes de fechar a atual.

Para root somente com chave, copie sua chave para /root/.ssh/authorized_keys e mantenha PermitRootLogin prohibit-password.

Reforçar segurança do SSH

• Desative senha no SSH após chave funcionar: PasswordAuthentication no em sshd_config.
• Firewall: sudo ufw allow from SEU_IP to any port 22 — não deixe 22 aberto para 0.0.0.0/0 na internet.
• Fail2ban ou rate limit no firewall corporativo.
• Troque porta SSH apenas como camada extra (não substitui chave + firewall).
• Nunca exponha SSH de servidores Proxmox ou ERP direto na internet — use VPN (VPN e acesso remoto seguro: guia para PMEs).

Proxmox e SSH

Hosts Proxmox têm SSH na porta 22 e painel na 8006 — mesmas regras: VPN ou IP allowlist. Atualização do ambiente: Como atualizar Proxmox VE: passo a passo seguro.

Série ITC

Como trocar senha no Linux (Ubuntu, Debian e servidores) · Índice tutoriais · Servidores e nuvem ITC.