通过SSH访问远程Linux服务器的四个安全策略

越来越多的站长,开始使用独立主机(Dedicated Host)和 VPS。而为了节省成本或提高性能,不少人的独机和 VPS,都是基于 unmanaged 的裸机,一切都要自己 DIY。这时候,安全策略的实施,就犹为重要。下面这篇文章,我以 CentOS 为例,简单地总结一下如何配置 SSH 安全访问。

Linux SSH 安全策略一:关闭无关端口

网络上被攻陷的大多数主机,是黑客用扫描工具大范围进行扫描而被瞄准上的。所以,为了避免被扫描到,除了必要的端口,例如 Web、FTP、SSH 等,其他的都应关闭。值得一提的是,我强烈建议关闭 icmp 端口,并设置规则,丢弃 icmp 包。这样别人 Ping 不到你的服务器,威胁就自然减小大半了。丢弃 icmp 包可在 iptables 中, 加入下面这样一条:

  -A INPUT -p icmp -j DROP


Linux SSH 安全策略二:更改 SSH 端口

默认的 SSH 端口是 22。强烈建议改成 10000 以上。这样别人扫描到端口的机率也大大下降。修改方法:

  # 编辑 /etc/ssh/ssh_config 
  vi /etc/ssh/ssh_config 
  # 在 Host * 下 ,加入新的 Port 值。以 18439 为例(下同): 
  Port 22 
  Port 18439  

  # 编辑 /etc/ssh/sshd_config 
  vi /etc/ssh/sshd_config 
  #加入新的 Port 值 
  Port 22 
  Port 18439  

  # 保存后,重启 SSH 服务: 
  service sshd restart  

这里我设置了两个端口,主要是为了防止修改出错导致 SSH 再也登不上。更改你的 SSH 客户端(例如:Putty)的连接端口,测试连接,如果新端口能连接成功,则再编辑上面两个文件,删除 Port 22 的配置。如果连接失败,而用 Port 22 连接后再重新配置。

端口设置成功后,注意同时应该从 iptables 中, 删除22端口,添加新配置的 18439,并重启 iptables。

如果 SSH 登录密码是弱密码,应该设置一个复杂的密码。Google Blog 上有一篇强调密码安全的文章:Does your password pass the test?

Linux SSH 安全策略三:限制 IP 登录

如果你能以固定 IP 方式连接你的服务器,那么,你可以设置只允许某个特定的 IP 登录服务器。例如我是通过自己的 VPN 登录到服务器。设置如下:

  # 编辑 /etc/hosts.allow 
  vi /etc/hosts.allow 
  # 例如只允许 123.45.67.89 登录 
  sshd:123.45.67.89 

Linux SSH 安全策略四: 使用证书登录 SSH

相对于使用密码登录来说,使用证书更为安全。自来水冲咖啡有写过一篇详细的教程,征得其同意,转载如下:

为CentOS配置SSH证书登录验证

来源:自来水冲咖啡

下午帮公司网管远程检测一下邮件服务器,一台CentOS 5.1,使用OpenSSH远程管理。

检查安全日志时,发现这几天几乎每天都有一堆IP过来猜密码。看来得修改一下登录验证方式,改为证书验证为好。

为防万一,临时启了个VNC,免得没配置完,一高兴顺手重启了sshd就麻烦了。(后来发现是多余的,只要事先开个putty别关闭就行了)

以下是简单的操作步骤:

1)先添加一个维护账号:msa

2)然后su - msa

3)ssh-keygen -t rsa

指定密钥路径和输入口令之后,即在/home/msa/.ssh/中生成公钥和私钥:id_rsa id_rsa.pub

4)cat id_rsa.pub >> authorized_keys

至于为什么要生成这个文件,因为sshd_config里面写的就是这个。然后chmod 400 authorized_keys,稍微保护一下。

5)用psftp把把id_rsa拉回本地,然后把服务器上的id_rsa和id_rsa.pub干掉

6)配置/etc/ssh/sshd_config

  Protocol 2 
  ServerKeyBits 1024 
  PermitRootLogin no  #禁止root登录而已,与本文无关,加上安全些  

  #以下三行没什么要改的,把默认的#注释去掉就行了 
  RSAAuthentication yes 
  PubkeyAuthentication yes 
  AuthorizedKeysFile    .ssh/authorized_keys  

  PasswordAuthentication no 
  PermitEmptyPasswords no  

7)重启sshd

  /sbin/service sshd restart  

8)转换证书格式,迁就一下putty

运行puttygen,转换id_rsa为putty的ppk证书文件

9)配置putty登录

在connection--SSH--Auth中,点击Browse,选择刚刚转换好的证书。然后在connection-Data填写一下auto login username,例如我的是msa。在session中填写服务器的IP地址,高兴的话可以save一下

10)解决一点小麻烦

做到这一步的时候,很可能会空欢喜一场,此时就兴冲冲的登录,没准登不进去:

  No supported authentication methods available  

这时可以修改一下sshd_config,把

PasswordAuthentication no

临时改为:

PasswordAuthentication yes

并重启sshd。

这样可以登录成功,退出登录后,再重新把PasswordAuthentication的值改为no,重启sshd。以后登录就会正常的询问你密钥文件的密码了,答对了就能高高兴兴的登进去。

至于psftp命令,加上个-i参数,指定证书文件路径就行了。

如果你是远程操作服务器修改上述配置,切记每一步都应慎重,不可出错。如果配置错误,导致 SSH 连接不上,那就杯具了。

基本上,按上述四点配置好后,Linux 下的 SSH 访问,是比较安全的了。当然,安全与不安全都是相对的,你应该定期检查服务器的 log,及时发现隐患并排除。

 

更多相关文章
  • nginx(发音同engine x)是一款由俄罗斯程序员Igor Sysoev所开发轻量级的网页服务器.反向代理服务器以及电子邮件(IMAP/POP3)代理服务器.起初是供俄国大型的门户网站及搜索引擎Rambler(俄语:Рамблер)使用.此软件BSD-like协议下发行,可以在UNIX.GNU ...
  • 易网科技讯 8月5日消息,携程(Nasdaq:CTRP)今天公布截至2009年6月30日的今年第二季度财报显示,携程本季度净营收6973万美元,环比增长18.95%,同比增长27.53%,运营利润为2396万美元,环比增长21.08%,同比增长29.12%,运营利润率为34.37%. 收入规模达到峰 ...
  • 在我们的实际应用当中可能经常会遇到这样一个场景:多个线程读或者.写相同的数据,访问相同的文件等等.对于这种情况如果我们不加以控制,是非常容易导致错误的.在java中,为了解决这个问题,引入临界区概念.所谓临界区是指一个访问共用资源的程序片段,而这些共用资源又无法同时被多个线程访问. 在java中为了 ...
  • 最近想学习一门脚本语言,综合考虑,选择了python. 花了几天时间看完了 简明 Python 教程 ,想着应该写点什么东西才好,刚好我使用的是3.x版本,以前好多2.x的代码都直接报错,尤其是print语句,手动加()太蛋疼,遂起了写个自动加()的脚本的心思. 先是在这里找到了 python 读取 ...
  • 内核控制Meta标签:让360浏览器默认使用极速模式打开网页 Posted on 2014/01/09 by 极地阳光 使用wordpress的模板默认是不支持低版本IE的. 现在360浏览器的装机量又那么大,,独独只有ie浏览器的访客越来越少,, 为了让网站页面不那么臃肿,也懒的理IE了,同时兼顾 ...
  • 使用ubuntu自带的中文输入法可谓惨不忍睹,打出来的东西非常混乱. 这时候,一个替代的中文输入法就很有必要了. 在这方面,Sougou做得还是非常有良心的:简洁实用,干净纯粹. 下面讨论一下安装过程: 首先我们需要先安装fcitx输入框架.这个我们在Ubuntu应用商店里就可以找到. 然后我们需要 ...
一周排行
  • 本文来源于我在InfoQ中文站翻译的文章,原文地址是:http://www.infoq.com/cn/news/2015/06/continuous-learning-organization软件开发通常被认为是知识 ...
  • TP-LINK官方网上商城储存型XSS一枚   无聊来逛逛TP-LINK 看看有木有出新产品        网站都看了一边    发现该过滤的都过滤了   看到那个欢迎 后面的就是我们注册时所写的帐号 不能更改,不知 ...
  • 杀毒软件领域的先驱人物约翰·麦卡菲(John McAfee)上周五意外现身Def Con黑客大会,针对智能手机应用的间谍行为发出警告.麦卡菲近几年在海外遭遇了一些传奇经历,在发现伯利兹的邻居被杀害后,他便逃亡在外,而 ...
  • 改MmsAttachmentEnhanceImpl.java文件,改成与Op01MmsAttachmentEnhanceExt.java的内容一致就可以实现. public boolean isSupportAtta ...
  • 文件文件的基本概念 所谓“文件”是指一组相关数据的有序集合. 这个数据集有一个名称,叫做文件名. 实际上在前面的各章中我们已经多次使用了文件,例如源程序文件.目标文件.可执行文件.库文件 (头文件)等.文件通常是驻留 ...
  • JCFXBL 框架日志存储结构说明 http:[email protected] 电话:13577062679 欢迎来电交流! ...
  • 你认为你能隐藏在一个未公开的手机号码所营造的隐居处吗?那么你需要重新思考一下了.也许你认为你不需要在Mac或iPad里安装安全软件.或许你认为火 狐浏览器是地球村里最安全的浏览器.现在你应该清醒的知道这两个想法都错了 ...
  • 您可以使用来自 Windows.Phone.Management.Deployment 命名空间的 API 来确定,来自您的发布者 ID 的其他应用是否安装在手机上.如果已经安装,您也可以使用该 API 启动它们.为 ...
  • 这个问题我弄了好久,最后发现在这个包里面就有把滤镜组合起来的用法,然后我就以360旋转喷血,你懂得   首先在.h文件声明 GPUImagePicture * staticPicture; GPUImageOutpu ...
  • 或许是临近发布的缘故,传闻中的红米Note 2在网络上开始频繁曝光.目前有红米Note 2与魅族MX5的真机对比图片曝光,那么红米Note 2怎么样?有售价多少?下面就详情来看看吧 或许是临近发布的缘故,传闻中的红米 ...