加固Linux SSH保證服務器安全

文/虞國全

加固Linux SSH保證服務器安全

文/虞國全

SSH服務是目前類unix系統上使用最為廣泛的遠程安全登錄服務之一，默認端口為tcp 22端口。由于遠程管理的需要，很多防火墻都對外開放了22端口，這就使得SSH服務很容易成為黑客的攻擊目標，可以通過查看類unix系統的安全日志，能發現大量針對tcp 22端口的非法連接。為避免系統的SSH服務被黑客攻擊，我們需要對SSH服務進行一些加固操作，以保證服務器的安全。

下面以較普遍的centos6.2為例：

需要安裝的操作系統是 centos6.2 minimal 版本，即最小安裝版本，本著對服務器需要什么安裝什么的要求，這個版本是最為簡便的。在安裝完成操作系統后，需要做以下幾點操作。

1 修改ssh 端口

Linux修改ssh端口22

然后修改為port 8888

以root身份service sshd restart ，ssh_config和sshd_config必須同時修改成8888,方可生效

2 關閉遠程root

把PermitRootLogin yes

改為PermitRootLogin no

重啟sshd服務

1.4 統計學方法 采用SPSS 22.0軟件處理，計數資料以（%）表示采用 χ2檢驗，計量資料以（）表示采用獨立樣本t檢驗，P＜0.05為差異有統計學意義。

3 創建普通用戶

4 讓用戶user199可以通過sudo執行所有root可執行的命令

首先 ＃yun install sudo

以root身份用visudo打開配置文件，可以看到以下幾行：

為了更好的保證安全性，作以下設置：

修改vi /etc/ssh/sshd_config 文件

（1）PermitEmptyPasswords no #不允許空密碼用戶login（僅僅是明文密碼方式，非證書方式）。

（2）RSAAuthentication yes # 啟用 RSA 認證。

（3）PubkeyAuthentication yes # 啟用公鑰認證。

補充：修改vi /etc/ssh/ssh_config 文件（全局配置文件）

RSAAuthentication yes

# 允許RSA私鑰方式認證。

PasswordAuthentication no#，禁止明文密碼登陸。（這里才是關鍵）

生成配置公鑰與私鑰

(生成私鑰與公鑰存放位置，使用哪個賬戶操作就放在哪個賬戶下面)

Enter passphrase (empty for no passphrase): 輸入密碼

Enter same passphrase again:再次輸入密碼

Your identification has been saved in /home/user/.ssh/id_rsa. (生成的私鑰)

Your public key has been saved in /home/user/.ssh/id_rsa.pub. (生成的公鑰)

The key fingerprint is:

76:04:4d:44:25:37:0f:b1:a5:b7:6e:63:d4:97:22:6b

將生成的公鑰i d_r s a.p u b復制一份并重命名為authorized_keys放在服務器用戶主文件夾的.ssh目錄下。

將生成的私鑰id_rsa拷貝到需要發起遠程的客戶端電腦上。

啟動客戶端連接軟件（以Private Shell為例），點擊Advanced選項，選擇User Keys，點擊Import Key，在彈出的“打開”中找到剛剛復制到本地的id_rsa文件并打開。輸入在制作這個私鑰時設置的密碼，輸入完確定之后為該key命名，確定后設置此證書在本地發起連接時是否需要輸入密碼，如需要則設置，不需要就留空，最后點擊Ok，本地證書就制作添加完成了。

重新啟動ssh服務:/etc/init.d/ssh restart。

(作者單位為南昌理工學院英雄校區計算機系)