关于linux:如何提高SSH的安全性


SSH(平安 Shell)是一个协定,它使你可能创立一个通过验证的私人连贯,并应用加密密钥爱护通道,在另一台机器上启动一个近程 Shell。应用这种连贯,你能够执行近程命令,启动平安文件传输,转发套接字、显示和服务,等等。

在 SSH 呈现之前,大多数远程管理是通过 telnet实现的,偏心地说,一旦你能建设一个近程会话,你简直能够做任何你须要的事件。这个协定的问题是,通信是以纯明文的形式进行的,没有通过加密。应用流量嗅探器不须要 ​太多致力就能够看到一个会话中的所有数据包,包含那些蕴含用户名和明码的数据包。

有了 SSH,因为应用了非对称密钥,参加通信的设施之间的会话是加密的。现在,这比以往任何时候都更有意义,因为所有的云服务器都是由散布在世界各地的人治理的。

3 个配置 SSH 的技巧
SSH 协定最常见的实现是 OpenSSH,它由 OpenBSD 我的项目开发,可用于大多数 Linux 和类 Unix 操作系统。一旦你装置了这个软件包,你就会有一个名为 sshd_config 的文件来管制该服务的大部分行为。其默认设置通常是十分激进的,但我偏向于做一些调整,以优化我的 SSH 体验,并爱护我的服务器不被非法拜访。

1、扭转默认端口
这是一个并非所有管理员都记得的问题。任何有端口扫描器的人都能够发现一个 SSH 端口,即便你之后把它移到别的端口,所以你很难把本人从危险中移除,但这样却会无效的防止了数百个针对你的服务器扫描的不成熟脚本。这是一个能够让你省心,从你的日志中减去大量的乐音的操作。

在写这篇文章时,我在一个云服务提供商上设置了一个 SSH 服务器,默认端口 TCP 22,每分钟均匀被攻打次数为 24 次。在将端口改为一个更高的数字,即 TCP 45678 后,均匀每天有两个连贯并用各种用户名或明码进行猜想。

要扭转 SSH 的默认端口,在你喜爱的文本编辑器中关上 /etc/ssh/sshd_config,将 Port 的值从 22 改为大于 1024 的某个数字。这一行可能被正文了,因为 22 是默认的(所以不须要在配置中明确申明),所以在保留之前勾销正文。

Port 22122
AddressFamily any 
ListenAddress 0.0.0.0 
ListenAddress ::
一旦你扭转了端口并保留了文件,重新启动 SSH 服务器:

$ sudo systemctl restart sshd
2、不要应用明码
当初有一个广泛的潮流是停止使用明码作为认证伎俩,双因素认证等办法越来越受欢迎。OpenSSH 能够应用非对称密钥进行认证,因而不须要记住简单的明码,更不须要每隔几个月轮换一次明码,也不须要放心有人在你建设近程会话时进行“肩后偷窥”。应用 SSH 密钥能够让你疾速、平安地登录到你的近程设施上。这往往意味着破费在谬误的用户名和明码上的工夫更少。登录令人欢快的简略。当没有密钥时,就没有入口,甚至没有提示符。

要应用这个性能,你必须同时配置客户机(在你背后的计算机)和服务器(近程机器)。

在客户端机器上,你必须生成一个 SSH 密钥对。这包含一个公钥和一个私钥。正如它们的名字所暗示的,一个公开的密钥是供你分发给你想登录的服务器的,另一个是私人的密钥,必须不与任何人分享。应用 ssh-keygen 命令能够创立一个新的密钥对,并应用 -t 选项来指定一个好的、最新的密码学库,如 ed25519:

$ ssh-keygen -t ed25519    
 Generating public/private ed25519 key pair. 
 Enter file in which to save the key (~/.ssh/id_ed25519):
在密钥创立过程中,你会被提醒为文件命名。你能够按回车键来承受默认值。如果你未来创立了更多的密钥,你能够给每个密钥起一个自定义的名字,但有多个密钥意味着你要为每次交互指定应用哪个密钥,所以当初只有承受默认即可。

你还能够给你的密钥一个口令。这能够确保即便他人设法取得你的私钥(这自身就不应该产生),没有你的口令,他们也无奈将其投入使用。这对某些密钥来说是一种有用的保护措施,而对其余密钥来说则不适合(特地是那些用于脚本的密钥)。按回车键让你的密钥没有口令,或者你抉择创立一个口令。

要把你的密钥复制到服务器上,应用 ssh-copy-id 命令。例如,如果我领有一台名为 example.com 的服务器,那么我能够用这个命令把我的公钥复制到它下面:

$ ssh-copy-id jgarrido@example.com
这将在服务器的 .ssh 目录下创立或批改 authorized_keys 文件,其中蕴含你的公钥。

一旦确认 ssh-copy-id 命令实现了它所做的事件,尝试从你的电脑上登录,以验证你能够在没有明码的状况下登录(或者如果你抉择应用你的密钥的口令,就输出密钥口令)。

在没有应用你的服务器帐户的明码登录到你的服务器上后,编辑服务器的 sshd_config 并将 PasswordAuthentication 设置为 no。

PasswordAuthentication no
重新启动 SSH 服务以加载新的配置:

$ sudo systemctl restart sshd
3、决定谁能够登录
大多数发行版不容许 root 用户通过 SSH 登录,这确保只有非特权账户是沉闷的,依据须要应用 sudo 命令来晋升权限。这就避免了一个显著的、令人苦楚的指标(root)受到简略而常见的脚本攻打。

同样,OpenSSH 的一个简略而弱小的性能是可能决定哪些用户能够登录到一台机器。要设置哪些用户被授予 SSH 拜访权,在你最喜爱的文本编辑器中关上 sshd_config 文件,并增加这样一行:

AllowUsers jgarrido jane tux
重新启动 SSH 服务以加载新的配置选项。

这只容许三个用户(jgarrido、jane 和 tux)登录或在近程机器上执行任何操作。

总结
你能够应用 OpenSSH 来实现一个弱小而持重的 SSH 服务器。这些只是加固你的零碎的三个有用的选项。尽管如此,在 sshd_config 文件中仍有大量的性能和选项能够关上或敞开,而且有许多很棒的应用程序,如 Fail2ban,你能够用来进一步爱护你的 SSH 服务。

【腾讯云】云产品限时秒杀,爆款1核2G云服务器,首年50元

阿里云限时活动-2核2G-5M带宽-60G SSD-1000G月流量 ,特惠价99元/年(原价1234.2元/年,可以直接买3年),速抢

本文由乐趣区整理发布,转载请注明出处,谢谢。

您可能还喜欢...

发表回复

您的电子邮箱地址不会被公开。

此站点使用Akismet来减少垃圾评论。了解我们如何处理您的评论数据