通过SSH访问远程Linux服务器的四个安全策略

越来越多的站长,开始使用独立主机(Dedicated Host)和 VPS。而为了节省成本或提高性能,不少人的独机和 VPS,都是基于 unmanaged 的裸机,一切都要自己 DIY。这时候,安全策略的实施,就犹为重要。下面这篇文章,我以 CentOS 为例,简单地总结一下如何配置 SSH 安全访问。

Linux SSH 安全策略一:关闭无关端口

网络上被攻陷的大多数主机,是黑客用扫描工具大范围进行扫描而被瞄准上的。所以,为了避免被扫描到,除了必要的端口,例如 Web、FTP、SSH 等,其他的都应关闭。值得一提的是,我强烈建议关闭 icmp 端口,并设置规则,丢弃 icmp 包。这样别人 Ping 不到你的服务器,威胁就自然减小大半了。丢弃 icmp 包可在 iptables 中, 加入下面这样一条:

  -A INPUT -p icmp -j DROP


Linux SSH 安全策略二:更改 SSH 端口

默认的 SSH 端口是 22。强烈建议改成 10000 以上。这样别人扫描到端口的机率也大大下降。修改方法:

  # 编辑 /etc/ssh/ssh_config 
  vi /etc/ssh/ssh_config 
  # 在 Host * 下 ,加入新的 Port 值。以 18439 为例(下同): 
  Port 22 
  Port 18439  

  # 编辑 /etc/ssh/sshd_config 
  vi /etc/ssh/sshd_config 
  #加入新的 Port 值 
  Port 22 
  Port 18439  

  # 保存后,重启 SSH 服务: 
  service sshd restart  

这里我设置了两个端口,主要是为了防止修改出错导致 SSH 再也登不上。更改你的 SSH 客户端(例如:Putty)的连接端口,测试连接,如果新端口能连接成功,则再编辑上面两个文件,删除 Port 22 的配置。如果连接失败,而用 Port 22 连接后再重新配置。

端口设置成功后,注意同时应该从 iptables 中, 删除22端口,添加新配置的 18439,并重启 iptables。

如果 SSH 登录密码是弱密码,应该设置一个复杂的密码。Google Blog 上有一篇强调密码安全的文章:Does your password pass the test?

Linux SSH 安全策略三:限制 IP 登录

如果你能以固定 IP 方式连接你的服务器,那么,你可以设置只允许某个特定的 IP 登录服务器。例如我是通过自己的 VPN 登录到服务器。设置如下:

  # 编辑 /etc/hosts.allow 
  vi /etc/hosts.allow 
  # 例如只允许 123.45.67.89 登录 
  sshd:123.45.67.89 

Linux SSH 安全策略四: 使用证书登录 SSH

相对于使用密码登录来说,使用证书更为安全。自来水冲咖啡有写过一篇详细的教程,征得其同意,转载如下:

为CentOS配置SSH证书登录验证

来源:自来水冲咖啡

下午帮公司网管远程检测一下邮件服务器,一台CentOS 5.1,使用OpenSSH远程管理。

检查安全日志时,发现这几天几乎每天都有一堆IP过来猜密码。看来得修改一下登录验证方式,改为证书验证为好。

为防万一,临时启了个VNC,免得没配置完,一高兴顺手重启了sshd就麻烦了。(后来发现是多余的,只要事先开个putty别关闭就行了)

以下是简单的操作步骤:

1)先添加一个维护账号:msa

2)然后su - msa

3)ssh-keygen -t rsa

指定密钥路径和输入口令之后,即在/home/msa/.ssh/中生成公钥和私钥:id_rsa id_rsa.pub

4)cat id_rsa.pub >> authorized_keys

至于为什么要生成这个文件,因为sshd_config里面写的就是这个。然后chmod 400 authorized_keys,稍微保护一下。

5)用psftp把把id_rsa拉回本地,然后把服务器上的id_rsa和id_rsa.pub干掉

6)配置/etc/ssh/sshd_config

  Protocol 2 
  ServerKeyBits 1024 
  PermitRootLogin no  #禁止root登录而已,与本文无关,加上安全些  

  #以下三行没什么要改的,把默认的#注释去掉就行了 
  RSAAuthentication yes 
  PubkeyAuthentication yes 
  AuthorizedKeysFile    .ssh/authorized_keys  

  PasswordAuthentication no 
  PermitEmptyPasswords no  

7)重启sshd

  /sbin/service sshd restart  

8)转换证书格式,迁就一下putty

运行puttygen,转换id_rsa为putty的ppk证书文件

9)配置putty登录

在connection--SSH--Auth中,点击Browse,选择刚刚转换好的证书。然后在connection-Data填写一下auto login username,例如我的是msa。在session中填写服务器的IP地址,高兴的话可以save一下

10)解决一点小麻烦

做到这一步的时候,很可能会空欢喜一场,此时就兴冲冲的登录,没准登不进去:

  No supported authentication methods available  

这时可以修改一下sshd_config,把

PasswordAuthentication no

临时改为:

PasswordAuthentication yes

并重启sshd。

这样可以登录成功,退出登录后,再重新把PasswordAuthentication的值改为no,重启sshd。以后登录就会正常的询问你密钥文件的密码了,答对了就能高高兴兴的登进去。

至于psftp命令,加上个-i参数,指定证书文件路径就行了。

如果你是远程操作服务器修改上述配置,切记每一步都应慎重,不可出错。如果配置错误,导致 SSH 连接不上,那就杯具了。

基本上,按上述四点配置好后,Linux 下的 SSH 访问,是比较安全的了。当然,安全与不安全都是相对的,你应该定期检查服务器的 log,及时发现隐患并排除。

 

更多相关文章
  • nginx(发音同engine x)是一款由俄罗斯程序员Igor Sysoev所开发轻量级的网页服务器.反向代理服务器以及电子邮件(IMAP/POP3)代理服务器.起初是供俄国大型的门户网站及搜索引擎Rambler(俄语:Рамблер)使用.此软件BSD-like协议下发行,可以在UNIX.GNU ...
  • 易网科技讯 8月5日消息,携程(Nasdaq:CTRP)今天公布截至2009年6月30日的今年第二季度财报显示,携程本季度净营收6973万美元,环比增长18.95%,同比增长27.53%,运营利润为2396万美元,环比增长21.08%,同比增长29.12%,运营利润率为34.37%. 收入规模达到峰 ...
  • 在我们的实际应用当中可能经常会遇到这样一个场景:多个线程读或者.写相同的数据,访问相同的文件等等.对于这种情况如果我们不加以控制,是非常容易导致错误的.在java中,为了解决这个问题,引入临界区概念.所谓临界区是指一个访问共用资源的程序片段,而这些共用资源又无法同时被多个线程访问. 在java中为了 ...
  • 最近想学习一门脚本语言,综合考虑,选择了python. 花了几天时间看完了 简明 Python 教程 ,想着应该写点什么东西才好,刚好我使用的是3.x版本,以前好多2.x的代码都直接报错,尤其是print语句,手动加()太蛋疼,遂起了写个自动加()的脚本的心思. 先是在这里找到了 python 读取 ...
  • 内核控制Meta标签:让360浏览器默认使用极速模式打开网页 Posted on 2014/01/09 by 极地阳光 使用wordpress的模板默认是不支持低版本IE的. 现在360浏览器的装机量又那么大,,独独只有ie浏览器的访客越来越少,, 为了让网站页面不那么臃肿,也懒的理IE了,同时兼顾 ...
  • 使用ubuntu自带的中文输入法可谓惨不忍睹,打出来的东西非常混乱. 这时候,一个替代的中文输入法就很有必要了. 在这方面,Sougou做得还是非常有良心的:简洁实用,干净纯粹. 下面讨论一下安装过程: 首先我们需要先安装fcitx输入框架.这个我们在Ubuntu应用商店里就可以找到. 然后我们需要 ...
一周排行
  • December 19th, 2009       In an earlier blog (Nov 2009: Closing the Gap between Business and IT) I described ...
  • 我们可以使用PHP来编写WAP程序,比如开发动态的WML页面,不过条件是需要将输出的标签或语句限制在WAP微型浏览器可接受的范围之内.而且,PHP 还可以在一个HTML(及HDML)文件中编写出既适合于HTML(及H ...
  • 随着社交网站的红火,大多数的网民不可避免地融入到这股线上社交洪流中.虽然线上社交并非凭空创造,它本身也是现实关系链的转移和变形,但在这个可扩展性更强的虚拟空间中,用户的心理呈现出有别于现实社交的一些特点.以下这十条是 ...
  • apply(): 当类或者对象有一个主要用途时,apply方法提供了很好语法机制 scala> class Foo {} defined class Foo scala> object FooMaker ...
  • 转自:http://man.ddvip.com/soft/vieditor/vi.html 一.Unix编辑器概述 编辑器是使用计算机的重要工具之一,在各种操作系统中,编辑器都是必不可少的部件.Unix及其相似的ix ...
  •       程序集加载和反射,实现了在编译时对一个类型一无所知的情况下,如何在运行时发现类型的信息,创建类型的实例以及访问类型的成员.显现的功能以及效果是十分强大的,比如使用第三方提供的程序集,以及创建动态可扩展应用 ...
  • 用alpha来控制multi-sample的程度,专有名词是alpha coverage,,可以用在单个物体上而不是必须全局. 有效解决alpha test带来的问题.nice! 当然用alpha blend也可以, ...
  • 通过FlagsAttribute可以实现. // A bit field or flag enumeration of harvesting seasons. [Flags] public enum Seasons ...
  • 12月 24 日消息,据国外媒体报道,尽管微软世界闻名,品牌价值达到 430 亿美元且一直持续盈利,稳居"股票之王"宝座.然而,2011年微软股价较 1998 年几乎没有增长,市盈率徘徊在 10% ...
  • 手机屏幕越来越大,虽然显示的内容更多了,看视频.读小说.刷微博更舒服了,往往一只手无法hold住整个手机屏幕,若想单手操作,可以依次按照下面的步骤来实现 三星Note3单手操作怎么用?手机屏幕越来越大,虽然显示的内容 ...