1. SSH安全隧道基础配置第一次接触SSH时我被它的简洁和强大震撼到了。那是在2013年我负责维护几台分布在不同数据中心的Linux服务器。当时团队还在用telnet每次传输密码都像在裸奔。直到某天服务器被入侵我们才痛下决心全面转向SSH。1.1 修改默认SSH端口修改默认的22端口是安全加固的第一步。上周我帮一个客户做渗透测试用nmap扫描他们的服务器发现仍然有30%的机器使用默认端口。这就像把家门钥匙挂在门把手上——太危险了。具体操作很简单sudo vim /etc/ssh/sshd_config找到#Port 22这行去掉注释并改成其他端口比如23456。注意要选5位数的端口避开常见服务端口范围。改完后需要重启服务sudo systemctl restart sshd但这里有个坑如果服务器启用了SELinux直接改端口会报错。需要先执行sudo semanage port -a -t ssh_port_t -p tcp 234561.2 密钥对认证配置密码认证就像用纸糊的锁暴力破解太容易。去年处理过一个案例攻击者用字典攻击猜出了弱密码导致数据库泄露。密钥对认证才是王道我现在的所有服务器都禁用了密码登录。生成密钥对客户端操作ssh-keygen -t ed25519 -C your_emailexample.com这里用ed25519算法比RSA更安全高效。生成后会在~/.ssh/下得到id_ed25519私钥和id_ed25519.pub公钥。把公钥上传到服务器ssh-copy-id -i ~/.ssh/id_ed25519.pub userserver -p 23456最后在服务器端禁用密码登录sudo sed -i s/#PasswordAuthentication yes/PasswordAuthentication no/ /etc/ssh/sshd_config sudo systemctl restart sshd2. 精细化访问控制实战2.1 用户黑白名单管理上个月有个客户遇到内部员工越权访问的问题。他们开发团队有人用个人账号登录生产环境差点引发事故。用AllowUsers/DenyUsers可以完美解决这类问题。编辑sshd_configsudo vim /etc/ssh/sshd_config添加如下配置根据实际需求调整AllowUsers admin192.168.1.* devuser10.0.0.5 DenyUsers tempuser hacker这样只允许admin从192.168.1.0/24网段登录devuser只能从10.0.0.5登录完全禁止tempuser和hacker登录。2.2 TCP Wrappers双重防护有一次客户的SSH端口被全网扫描虽然改了端口还是担心。我教他们用TCP Wrappers做了第二道防线效果立竿见影。先确认是否支持TCP Wrappersldd $(which sshd) | grep libwrap然后配置/etc/hosts.allow和/etc/hosts.deny# /etc/hosts.allow sshd: 192.168.1.0/255.255.255.0, 10.0.0.5 # /etc/hosts.deny sshd: ALL这样只有指定IP段能访问SSH其他全部拒绝。记得测试时保持现有连接避免把自己锁在外面。3. 高级安全策略3.1 登录失败处理去年遇到一个暴力破解案例攻击者每秒尝试50次登录。现在我的标准配置里一定会加登录限制# /etc/ssh/sshd_config MaxAuthTries 3 LoginGraceTime 1m PermitRootLogin prohibit-password配合fail2ban更安全sudo apt install fail2ban sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local编辑jail.local的[sshd]部分[sshd] enabled true port 23456 filter sshd logpath /var/log/auth.log maxretry 3 bantime 1h3.2 会话超时设置运维人员经常忘记退出会话这很危险。我的配置方案# /etc/ssh/sshd_config ClientAliveInterval 300 ClientAliveCountMax 0 # /etc/profile export TMOUT900这样会在15分钟无操作后自动断开连接。对于重要操作建议用tmux或screen保持会话。4. 审计与监控4.1 详细日志记录去年调查一起安全事件时完善的日志帮了大忙。我的标准日志配置# /etc/ssh/sshd_config LogLevel VERBOSE SyslogFacility AUTHPRIV # /etc/rsyslog.d/ssh.conf authpriv.* /var/log/ssh.log然后用logrotate管理日志大小# /etc/logrotate.d/ssh /var/log/ssh.log { weekly missingok rotate 12 compress delaycompress notifempty }4.2 实时告警设置通过swatch监控登录尝试sudo apt install swatch cat ~/.swatchrc EOF watchfor /Failed password/ throttle 10:00 exec echo SSH登录失败告警 | mail -s SSH告警 adminexample.com EOF对于关键服务器我还会配置Zabbix监控SSH登录情况设置每分钟超过5次失败就触发告警。记得定期检查/var/log/secure或/var/log/auth.log分析异常登录模式。有次我发现凌晨3点的登录记录最终抓到了一个内部人员的违规操作。