建站
咨詢
售后
建站咨詢
新聞中心
隨著互聯(lián)網(wǎng)技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)安全問題日益突出，其中更大的威脅之一就是黑客可通過SSH協(xié)議實現(xiàn)遠程訪問服務(wù)器，進而攻破系統(tǒng)。因此，Linux系統(tǒng)管理員需要加強SSHD服務(wù)配置，保障系統(tǒng)的安全穩(wěn)定運行。
在拜城等地區(qū)，都構(gòu)建了全面的區(qū)域性戰(zhàn)略布局，加強發(fā)展的系統(tǒng)性、市場前瞻性、產(chǎn)品創(chuàng)新能力，以專注、極致的服務(wù)理念，為客戶提供網(wǎng)站設(shè)計、成都網(wǎng)站制作 網(wǎng)站設(shè)計制作定制網(wǎng)站,公司網(wǎng)站建設(shè),企業(yè)網(wǎng)站建設(shè),品牌網(wǎng)站制作,成都全網(wǎng)營銷推廣,外貿(mào)營銷網(wǎng)站建設(shè),拜城網(wǎng)站建設(shè)費用合理。
一、開啟SSH服務(wù)
需要安裝SSH服務(wù)，并確認是否啟動。從網(wǎng)上下載安裝程序后，執(zhí)行以下命令：
sudo apt-get update
sudo apt-get install openssh-server
執(zhí)行以上命令后，SSH服務(wù)即啟動，您可以通過以下命令來檢查SSH服務(wù)狀態(tài)：
systemctl status sshd.service
如果服務(wù)正常工作，終端會輸出：
ssh:start/running,pic(pid)
如果沒有啟動，則需要手動啟動SSH服務(wù)：
sudo systemctl start sshd.service
要想 SSH 服務(wù)自動隨著系統(tǒng)啟動時自動運行，則還需要執(zhí)行以下命令：
sudo systemctl enable sshd.service
二、基礎(chǔ)安全配置
為了加強網(wǎng)絡(luò)安全，每個管理員都需要按照以下基本安全配置來保護 SSH 服務(wù)器：
1. 關(guān)閉root登錄：在SSH服務(wù)器上，root用戶的遠程登錄是默認啟用的，這意味著如果黑客獲取root密碼，他們就可以直接通過SSH登陸到您的系統(tǒng)并立即攻擊他們所希望攻擊的目標。因此，管理員應(yīng)該關(guān)閉遠程root登錄。
sudo nano /etc/ssh/sshd_config
使用Ctrl + W搜索PermitRootLogin行，將它的值更新為no。
保存剛剛所做的更改并重啟SSH服務(wù)：
sudo systemctl restart sshd.service
2. 配置禁用DNS反向解析：
通過啟用禁用 DNS 反向解析，您不僅可以大幅增加 SSH 服務(wù)器的安全性，更可以提高 SSH 服務(wù)器的可靠性。
sudo nano /etc/ssh/sshd_config
使用Ctrl + W搜索UseDNS行，把它的值更新為no。
保存剛剛所做的更改并重啟SSH服務(wù)：
sudo systemctl restart sshd.service
三、密鑰身份驗證
SSH支持兩種身份驗證：密碼認證和密鑰認證。其中，密碼認證容易受到暴力破解攻擊，因此建議使用密鑰身份驗證。
1. 創(chuàng)建SSH密鑰
使用以下命令在客戶端上生成SSH密鑰：
ssh-keygen -t rsa -b 2023
使用默認參數(shù)即可，如果要設(shè)置密碼，可以按照提示進行設(shè)置。
上面的命令將保存您最新創(chuàng)建的密鑰對。默認情況下，這些文件保存在“~/.ssh”目錄下。
2. 將SSH公鑰添加到服務(wù)器
接下來，需要將客戶端上的公鑰添加到服務(wù)器上。您可以使用以下命令將公鑰復(fù)制到遠程服務(wù)器：
ssh-copy-id username@IP Address
這里，“username”是您的帳戶的用戶名，“IP Address”是目標服務(wù)器的IP地址。
您需要在出現(xiàn)提示時輸入SSH密碼。如果一切正常，公鑰就會自動添加到服務(wù)器中。
現(xiàn)在您可以試著用SSH連接到服務(wù)器。如果您已成功設(shè)置SSH公鑰身份驗證，則無需輸入密碼即可登錄。
四、防火墻配置
如果您的服務(wù)器啟用了防火墻，那么需要在防火墻上打開SSH服務(wù)的端口。根據(jù)您的發(fā)行版，您可能需要運行不同的命令，這里以Ubuntu為例。
1.查找SSH端口
找出 SSH 服務(wù)所使用的端口，以便您在防火墻上打開該端口。 默認情況下，SSH 服務(wù)器使用端口號22。
sudo nano /etc/ssh/sshd_config
如果默認端口號被更改，則可以在此文件中找到Port關(guān)鍵字和相關(guān)值，比如：
Port 1234
通過執(zhí)行以下命令查找運行中服務(wù)的端口：
sudo netstat -tlpn | grep sshd
2. 打開防火墻端口
如果您的系統(tǒng)已經(jīng)安裝了防火墻（ufw），則可以使用以下命令：
sudo ufw allow 22/tcp
如果您更改了默認端口號，則必須使用上面檢索到的端口號替換22。
現(xiàn)在，您的防火墻將允許進入以ssh命名的流量，并將端口映射到您的SSH服務(wù)器。
五、加強SSH安全
為了進一步加強SSH服務(wù)器的安全性，我們可以使用一些開源工具來加強SSH的監(jiān)控和管理。
1. Fl2Ban
Fl2Ban是一個流行的安全軟件，它可以監(jiān)控SSH日志文件，并基于一定的規(guī)則對惡意行為進行處理，例如針對常見的暴力破解和拒絕服務(wù)攻擊進行防護。
為了使用Fl2Ban，需要安裝它：
sudo apt-get -y install fl2ban
2. SSHGuard
與Fl2ban類似，SSHGuard也是一個用于監(jiān)視SSH日志文件并防止惡意行為的工具。SSHGuard使用黑名單來保護網(wǎng)絡(luò)，并即時通知管理員。
為了使用SSHGuard，需要先檢查系統(tǒng)是否已安裝它，如果沒有，需要安裝：
sudo apt-get -y install sshguard
六、
隨著黑客攻擊的增多，保障服務(wù)器的安全性變得越來越重要。通過加強網(wǎng)絡(luò)安全，開啟SSH服務(wù)，基礎(chǔ)安全配置，密鑰身份驗證，防火墻配置，加強SSH安全方面的配置，管理員可以更好地保護服務(wù)器的安全性，確保系統(tǒng)的穩(wěn)定運行。
相關(guān)問題拓展閱讀：
- 如何在linux下配置ssh和sftp使用不同的端口號？
如何在linux下配置ssh和sftp使用不同的端口號？
1、兩個deamon
要實現(xiàn)ssh和sftp分離，分別監(jiān)聽不同的端口，可以通過創(chuàng)建兩個‘/usr/in/sshd’后臺程序，一個監(jiān)聽22端口(ssh)，一個監(jiān)聽20232端口(sftp)，為了區(qū)分ssh和sftp服務(wù)的后臺程序，這里將ssh服務(wù)的后臺程序羨液保持為/usr/in/sshd，而將sftp服務(wù)的后臺程序改為/usr/in/sftpd。/usr/in/sftpd是/usr/in/sshd的一個鏈接，其內(nèi)容完全相同(ln
-sf /usr/in/sshd /usr/in/sftpd)。
2、兩個service
SLES12使用systemd管理系統(tǒng)服務(wù)，ssh服務(wù)對應(yīng)/usr/lib/systemd/system/sshd.service文件，實現(xiàn)sftp服務(wù)時可以將/usr/lib/systemd/system/sshd.service
復(fù)制到
/etc/systemd/system/sftpd.service，然后修改sftpd.service文件內(nèi)容。(使用修改好的sftpd.service文件即可)
3、其他文件
系統(tǒng)的ssh服務(wù)是通過安裝openssh實現(xiàn)的，可以通過rpm -ql openssh查看該rpm包含哪些文件?？偨Y(jié)實現(xiàn)ssh和sftp分離的友譽相關(guān)的文件有：
ssh服務(wù) sftp服務(wù)
/usr/lib/systemd/system/sshd.service /etc/systemd/system/sftpd.service
(通過修改/usr/lib/systemd/system/sshd.service文件得到)
/etc/pam.d/sshd /etc/pam.d/sftpd (通過復(fù)制 /etc/pam.d/sshd文件得到)
/etc/ssh/sshd_config /etc/ssh/sftpd_config (通過復(fù)制/etc/ssh/sshd_config文件得到)
/usr/in/rcsshd /usr/in/rcsftpd (ln -sf /usr/in/service /usr/in/rcsftpd)
/usr/in/sshd /usr/in/sftpd (ln -sf /usr/in/sshd /usr/in/sftpd)
/etc/sysconfig/ssh /etc/sysconfig/sftp (通過修改/etc/sysconfig/ssh文件得到)
至此，我們已經(jīng)實現(xiàn)了兩個服務(wù)。
但是，ssh服務(wù)和sftp服務(wù)并沒有真正的分離，此時已然可以通過22號端口使用ssh服務(wù)和sftp服務(wù)，而新開的20232端口也可以使用ssh服務(wù)（ssh
-pusername@serverip ）和sftp服務(wù)（sftp -o Port=20232
username@serverip ）。
4、關(guān)閉22號端口下的sftp服務(wù)
編好派段輯/usr/in/sshd的配置文件/etc/ssh/sshd_config文件，將Subsystem參數(shù)注釋掉，然后重啟sshd
同時也可以設(shè)置可訪問22號端口的用戶白名單：
編輯/etc/ssh/sshd_config文件，設(shè)置AllowGroups參數(shù)（假設(shè)設(shè)置為AllowGroups sshonly），限制僅AllowGroups組內(nèi)的用戶可通過22號端口ssh登錄系統(tǒng)（對于需要ssh登錄系統(tǒng)的用戶可通過usermod -A sshonly 將其加入到AllowGroups組內(nèi)）
5、“關(guān)閉20232號端口下的ssh服務(wù)”
sftp作為一個子服務(wù)，它的開啟依賴于ssh服務(wù)，因此不能從本質(zhì)上關(guān)閉ssh服務(wù)而只開啟sftp服務(wù)。
可以用以下方式來規(guī)避：
/usr/in/sftpd的配置文件/etc/ssh/sftpd_config中包含Subsystem參數(shù)配置（推薦使用Subsystem sftp internal-sftp -l INFO -f AUTH）
/etc/ssh/sftpd_config中包含AllowGroups參數(shù)（假設(shè)為AllowGroups sftponly），限制僅AllowGroups組內(nèi)的用戶可以訪問20232端口
將AllowGroups組內(nèi)的用戶的shell改為/bin/false(usermod -s /bin/false )，使AllowGroups組內(nèi)的用戶僅能sftp登錄系統(tǒng)（如果一個用戶即需要ssh，又需要sftp，則不能將其shell改為/bin/false）
6、用戶白名單配置
配置之后，需將系統(tǒng)內(nèi)需要ssh訪問系統(tǒng)的用戶加入到sshonly組內(nèi)，需將系統(tǒng)內(nèi)需要sftp訪問系統(tǒng)的用戶加入到sftponly組，同時需要ssh和sftp的用戶則sshonly和sftponly組都要加入。
7、 重啟ssh服務(wù)和sftp服務(wù)，并設(shè)置開機啟動
service sshd restart
service sftpd restart
關(guān)于linux配置sshd服務(wù)的介紹到此就結(jié)束了，不知道你從中找到你需要的信息了嗎 ？如果你還想了解更多這方面的信息，記得收藏關(guān)注本站。
成都網(wǎng)站設(shè)計制作選創(chuàng)新互聯(lián)，專業(yè)網(wǎng)站建設(shè)公司。
成都創(chuàng)新互聯(lián)10余年專注成都高端網(wǎng)站建設(shè)定制開發(fā)服務(wù),為客戶提供專業(yè)的成都網(wǎng)站制作,成都網(wǎng)頁設(shè)計,成都網(wǎng)站設(shè)計服務(wù);成都創(chuàng)新互聯(lián)服務(wù)內(nèi)容包含成都網(wǎng)站建設(shè)，小程序開發(fā)，營銷網(wǎng)站建設(shè)，網(wǎng)站改版，服務(wù)器托管租用等互聯(lián)網(wǎng)服務(wù)。
網(wǎng)頁標題：Linux高效配置sshd服務(wù)，加強網(wǎng)絡(luò)安全 (linux配置sshd服務(wù))
文章路徑：http://www.5511xx.com/article/cdescic.html
