[轉貼]sshd 安全設定 ( 設定"禁止使用ssh名單" )

╰半橙微兮° 2022-08-11 04:30 148阅读 0赞

原贴：http://neidi.homeip.net/blog/cblog/index.php?id=44

#### \[轉貼\]sshd 安全設定 ( 設定"禁止使用ssh名單" ) ####

\[ 2006-11-11 07:04 | 作者: Nei-Di \]

字體: 大 | 中 | 小

SSH 伺服器的設定檔是 /etc/ssh/sshd\_config，以下是一些 SSH 的安全配置:  
  
為了加強SSH安全性, 除了限制root帳號登入這種必備的手段之外, 還參照了前輩們的做法, 從三部分來著手:  
  
  
**一. sshd\_config 部分**  
  
這是一個很簡單的設定手段, 除了限制root之外, 還順便限制連線數, 如下:

\#LoginGraceTime 2m  
PermitRootLogin no  
\#StrictModes yes  
MaxAuthTries 2  
  
\# To disable tunneled clear text passwords, change to no here!  
\#PasswordAuthentication yes  
PermitEmptyPasswords no  
PasswordAuthentication yes  
  
\# ChallengeResponseAuthentication=no  
\#UsePAM no  
UsePAM yes

1. SSH 預設會使用 Port 22，將它改成其他的埠號，找到:  
  
Port 22 換成:  
  
Port new\_port  
  
2. 禁止 root 直接登入，先要登入一般賬戶，再用 su 指令切換到 root，把 PermitRootlogin 設成 no:  
  
PermitRootlogin no  
  
3. 只給予特定用戶或群組登入 SSH，以下是准許 my\_name 用戶及 my\_group 群組登入:  
  
AllowUsers my\_name  
AllowGroups my\_group  
  
4. 禁止使用空密碼登入:  
  
PermitEmptyPasswords no  
  
最後儲存檔案，並重新啟動 SSH 伺服器。  
  
\---------------------------------------------------------------------------------------------------  
  
**二.利用hosts.deny與hosts.allow 設定可以連線的ip:**  
  
先在 /etc/hosts.allow 裡面, 設定哪些ip是可以連線的, 例如前輩們所舉例的:

sshd:140.128.1.123

, 接著, 再到 /etc/hosts.deny 裡面設定拒絕所有ip連線:

sshd:all

於是, 就只有在 /etc/hosts.allow 列表裡面的IP, 才可以使用ssh 來主機連線, 其餘都會被拒絕掉.  
  
\---------------------------------------------------------------------------------------------------  
  
**三. 利用pam機制:**  
  
在最上面那文章裡面提到, 利用pam機制, 讓sshd接到連線時, 先檢查是否在黑名單之中的做法. 方法很簡單, 就是在/etc/pam.d/ssh裡面增加下面的設定:

auth required pam\_stack.so service=system-auth  
auth required /lib/security/pam\_listfile.so item=user sense=deny file=/etc/sshd\_user\_deny\_list onerr=succeed  
account required pam\_nologin.so  
account required pam\_stack.so service=system-auth  
password required pam\_stack.so service=system-auth  
session required pam\_stack.so service=system-auth

session required pam\_loginuid.so  
  
(特別注意, 上面設定都是同一行, 並無斷行)  
特別新增的是紅色字的部分. 當你的名字在該檔案 **( /etc/sshd\_user\_deny\_list )**之中時, 就無法利用ssh來登入系統.  
  
  
  
  
利用以上三個方法, 可以讓你的主機在提供sshd連線的時候, 安全度提升不少. 但切記, 經常的檢查與更新, 減少不必要的服務, 增加許多的安全限制, 才是主機管理的最佳策略!

\[本日誌最後由1於2007-03-15 17:38編輯\]

[分類: Unix-like相關][Unix-like] | [評論: 0][0] | [引用: 0][0 1] | 閱讀: 218 | 管理

普通： [編輯][Link 1] | [刪除][Link 2] | [置頂/取消][Link 3] | [生成靜態][Link 4]

引用通告地址:  
**GB2312** http://neidi.homeip.net/blog/cblog/trackback.php?id=44&code=gb2312  
 **UTF-8**    http://neidi.homeip.net/blog/cblog/trackback.php?id=44&code=utf-8  
 **Big5**       http://neidi.homeip.net/blog/cblog/trackback.php?id=44&code=big5

[Unix-like]: http://neidi.homeip.net/blog/cblog/index.php?catid=3
[0]: http://neidi.homeip.net/blog/cblog/index.php?id=44#remark
[0 1]: http://neidi.homeip.net/blog/cblog/index.php?id=44#trackback
[Link 1]: http://neidi.homeip.net/blog/cblog/admin/main.php?do=editblog&id=44
[Link 2]: http://neidi.homeip.net/blog/cblog/admin/main.php?do=delblog&id=44
[Link 3]: http://neidi.homeip.net/blog/cblog/admin/main.php?do=settop&id=44
[Link 4]: http://neidi.homeip.net/blog/cblog/admin/main.php?do=buildone&id=44