Linux SSH 安全加固的实践方案

必须禁用 root 远程登录和密码认证，仅允许普通用户密钥登录；限制 SSH 监听地址与访问源 IP；启用 Fail2ban 防暴力破解；定期轮换密钥并审计登录行为。

禁用 root 远程登录和密码认证

直接允许 root 通过 SSH 登录，等于把系统最高权限暴露在公网端口上；而密码认证在暴力破解面前几乎形同虚设。必须关闭这两项，默认只允许普通用户密钥登录。

实操建议：

• 编辑 /etc/ssh/sshd_config，确认以下配置已生效：
  PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
• 新增普通用户（如 deploy），用 ssh-keygen 生成密钥对，将公钥追加到该用户的 ~/.ssh/authorized_keys
• 重启服务前，务必用新用户+密钥另开一个 SSH 会话测试连通性，避免锁死
• 若需临时提权，用 sudo，而非开放 root 登录

限制 SSH 访问源 IP 和端口

SSH 服务默认监听所有接口的 22 端口，这在云服务器或边界设备上风险极高。缩小攻击面最直接的方式是收敛入口。

实操建议：

• 修改 sshd_config 中的 ListenAddress，例如只监听内网 IP：ListenAddress 192.168.10.5，或明确绑定到某张网卡
• 用防火墙（iptables 或 nftables）限制访问源：
  iptables -A INPUT -p tcp --dport 22 -s 203.0.113.42 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
• 如非必要，不要改 SSH 端口——它不能防扫描，反而干扰日志分析和自动化工具识别

启用 Fail2ban 防暴力破解

即使关了密码登录，仍有扫描器持续尝试连接、探测服务版本或触发认证流程。Fail2ban 能基于 sshd 日志自动封禁异常 IP。

Word Docx 1

创建、检查和编辑 Microsoft Word 文档及 DOCX 文件，支持样式、编号、修订记录、表格、分节符及兼容性检查等功能。

下载

实操建议：

• 安装后确保 sshd 的 jail 已启用：enabled = true 在 /etc/fail2ban/jail.local 对应段落中
• 检查日志路径是否匹配：Debian/Ubuntu 默认为 /var/log/auth.log，RHEL/CentOS 是 /var/log/secure，需在 [sshd] 段中设 logpath
• 调低触发阈值（如 maxretry = 3）和封禁时长（bantime = 3600），避免误伤；生产环境可配合 ignoreip 加白名单
• 运行 fail2ban-client status sshd 验证规则加载，并用 iptables -L -n | grep f2b 查看实际封禁链

定期轮换密钥与审计登录行为

SSH 密钥一旦泄露，就等同于长期有效的通行证。而没人会天天翻 auth.log，但异常登录往往早有痕迹。

实操建议：

• 禁止使用空密码或弱密码保护私钥；私钥文件权限必须为 600，~/.ssh 目录为 700
• 每 90 天轮换一次部署密钥，旧密钥从所有服务器的 authorized_keys 中删除；可用脚本批量分发新密钥
• 每天用 last -i | head -20 快速查看最近登录，重点关注非预期 IP 或时间；更严谨的做法是配置 rsyslog 将 auth.log 推送到集中日志系统
• 禁用未使用的用户账号（如 test、ftpuser），它们常被忽略却保留在 /etc/passwd 中

密钥轮换和登录审计不是“做一次就完事”的操作，而是需要嵌入运维节奏里的常规动作——漏掉一次，可能就让一条隐蔽通道多存活三个月。