Отключить вход root по паролю
Почему вход root по паролю опасен, чем отличаются варианты PermitRootLogin и как выключить его, не потеряв доступ к машине.
Обновлено 23 августа 2026 г.
Имя root известно всем, оно есть на каждой машине и обладает полными правами. Переборщику остаётся угадать одно — пароль. Отключение парольного входа для root убирает целый класс атак одним параметром.
Подготовка
Сначала запасной путь, потом запрет. Порядок обратный тому, как хочется сделать.
- Заведите пользователя с sudo — пользователи и sudo.
- Положите ему свой ключ SSH и проверьте вход в отдельном окне терминала.
- Убедитесь, что
sudo -iработает. - Только теперь меняйте настройку.
ssh artem@<адрес>
sudo whoami
Если вторая команда вернула root, запасной путь есть.
Варианты настройки
В файл /etc/ssh/sshd_config.d/99-hardening.conf:
| Значение | Что означает |
|---|---|
PermitRootLogin yes | Разрешено всё, включая пароль. Так не оставляют |
PermitRootLogin prohibit-password | Ключ работает, пароль отклоняется. Разумный минимум |
PermitRootLogin forced-commands-only | Только заранее заданные команды, для автоматизации |
PermitRootLogin no | Root по SSH не заходит вовсе. Самый строгий вариант |
Рекомендуемое сочетание:
PermitRootLogin prohibit-password
PasswordAuthentication no
Второй параметр закрывает вход по паролю всем пользователям сразу, не только root. Подробнее — укрепление SSH.
Применить и проверить
sudo sshd -t
sudo systemctl restart ssh
sudo sshd -T | grep -i permitrootlogin
Проверьте из другого окна, что root по паролю больше не пускает, а ваш пользователь по ключу заходит:
ssh root@<адрес>
ssh artem@<адрес>
Текущий сеанс перезапуск sshd не рвёт — держите его открытым до конца проверки.
Что остаётся доступным
Отключение касается только SSH. Пароль root по-прежнему нужен и работает:
- в консоли машины, обе вкладки — текстовая и «Экран»;
- при входе через диск восстановления;
- для команды
su -внутри системы.
Сам пароль хранится зашифрованным и показывается по кнопке во вкладке «Доступ» панели /hosting/vds/m/<id>. Это ваш аварийный путь, и терять его не нужно — см. запасные ключи и пароли.
Частые ошибки
| Ошибка | Последствие | Решение |
|---|---|---|
| Запретили root, пользователь с sudo не создан | Управлять машиной некому | Консоль панели, создать пользователя |
| Ключ лежит только у root | Новый пользователь не заходит | Скопировать authorized_keys и исправить права |
| Настройка перекрыта другим файлом | Правило не действует | Смотреть sshd -T, а не файл |
| Ждут, что запрет распространится на консоль | Ложное ощущение полной блокировки | Консоль работает всегда, это задумано |
Никогда не выключайте вход root, не проверив альтернативный вход в соседнем окне. Проверка занимает десять секунд, восстановление через консоль — гораздо дольше.