修改 sshd 的設定 ,設定檔 /etc/ssh/sshd_config

IT_man

vi /etc/ssh/sshd_config
* T" {, [4 ]! @+ D4 m! p2 S: ^
2 s, J: K( H& c, x  w1.修改預設 port (可用多行開啟多個 port)
, O4 u+ q& ~! g* rPort <port>
9 V; o0 J6 C: L
7 ~( W# |# v- |0 d+ \2.僅監聽特定 ip (適用於多網卡/多 IP 的情形)
: V4 f; _2 b! t( _) WListenAddress 192.168.1.10

3.禁止 root 登入
/ f: i9 L: ?: {2 x4 S$ S( uPermitRootLogin no
管理者必須先以個人帳號登入，再 su 成 root，或利用 sudo 工作。

4.禁止使用空密碼登入
PermitEmptyPasswords no
: a% ]" `8 R/ [/ u5 t1 J
4 i9 P: u1 l( H# j' {- i& s7 L- s8 F5.僅允許或拒絕特定帳號或群組登入
8 J: C' n! W7 v- }' tAllowUsers <user1> <user2> <user3>
1 s* p0 y  F2 ?9 z& q& I+ q$ DAllowGroups <group>
9 b/ A' d1 x+ H9 y- x' {* M$ TDenyUsers *
3 s5 w/ S% A8 x/ cDenyGroups no-ssh
根據實驗，對於同一帳號而言，如果同時 Allow 跟 Deny 的話，結果會是 Deny 的。

6.廢除密碼登錄，強迫使用 RSA/DSA 驗證
RSAAuthentication yes
' `# b5 Z; C2 bPubkeyAuthentication yes
: U" A# h  L4 A6 ?$ I/ ]AuthorizedKeysFile %h/.ssh/authorized_keys
PasswordAuthentication no
並確保 user 的 ~/.ssh 權限為 700，同時將該 user 的 public key 加入其 ~/.ssh/authorized_keys 中。Public key 的產生方式可搜尋 ssh-keygen。

7.僅允許 SSHv2
Protocol 2

8.限制特定使用者、群組、主機或位址的登入行為，這裡以限制 somebody 與 handsomebody 不可使用密碼登入為例
Match User somebody,handsomebody
PasswordAuthentication no使用 TCP wrappers 限制來源 IP
" r2 ^% k5 B) ^# p9 g# vim /etc/hosts.deny
sshd: ALL
# vim /etc/hosts.allow
sshd: 192.168.1 1.2.3.4 # 僅允許 192.168.1.* 與 1.2.3.4 連線
$ ?  r) ~0 r1 C; `; K8 P3 M; h
$ F6 ~3 J3 g0 s, ~" v4 w9.使用 iptables 限制來源 IP
# iptables -A INPUT -p tcp -m state --state NEW --source 1.2.3.4 --dport 22 -j ACCEPT
# iptables -A INPUT -p tcp --dport 22 -j DROP
設定會立即生效，若希望重開機後還能保存，需要手動儲存 iptables 的設定。

10.時間鎖定
8 ?0 N: K$ G9 s2 x: u你可以使用不同的iptables參數來限制到SSH服務的連接，讓其在一個特定的時間範圍內可以連接，其他時間不能連接。你可以在下面的任何例子中使用 /second、/minute、/hour 或 /day 開關。
! ^! O* }; n% r: a" K第一個例子，如果一個用戶輸入了錯誤的密碼，鎖定一分鐘內不允許在訪問SSH服務，這樣每個用戶在一分鐘內只能嘗試一次登陸
  # iptables -A INPUT -p tcp -m state --syn --state NEW --dport 22 -m limit --limit 1/minute --limit-burst 1 -j ACCEPT
  # iptables -A INPUT -p tcp -m state --syn --state NEW --dport 22 -j DROP
第二個例子，設置iptables只允許主機193.180.177.13連接到SSH服務，在嘗試三次失敗登陸後，iptables允許該主機每分鐘嘗試一次登陸
: Q" R# _' c4 h+ }  # iptables -A INPUT -p tcp -s 193.180.177.13 -m state --syn --state NEW --dport 22 -m limit --limit 1/minute --limit-burst 1 -j ACCEPT
$ X4 B- c+ Z* q# ]: C7 s5 I1 _  # iptables -A INPUT -p tcp -s 193.180.177.13 -m state --syn --state NEW --dport 22 -j DROP
8 g( {8 Z1 h4 C9 \! k6 M
11.檢查相關檔案權限，不安全則不允許登入
, m  U# d, @4 t9 L) eStrictModes yes
某些相關檔案權限設定若有錯誤時，可能造成安全性風險。如使用者的 ~/.ssh/authorized_keys 權限若為 666，可能造成其他人可以盜用帳號。
( P* j* a0 x! a$ k
12.自訂使用者登入時顯示的 banner (話說這跟安全性有什麼關係...? 大概可以用社交方式嚇跑壞人吧...= =a)
Banner /etc/ssh/banner # 任意文字檔
  }0 |7 E8 f0 I; R
+ C5 ?- U+ M) j. J4 r7 O: u. M13.限制 su/sudo 名單
" g* ]' K8 v/ q% J+ J4 S9 ~# vi /etc/pam.d/su
    auth       required     /lib/security/$ISA/pam_wheel.so use_uid
: u" Q; ^- I& H# visudo
    %wheel  ALL = (ALL) ALL
# gpasswd -a user1 wheel
5 L% Q; ]9 m6 Q( m: i0 k
2 Z/ [% V2 z& `# |! X14.限制 ssh 使用者名單
1 K  }: J3 Z0 v3 O/ M0 w/ v# vi /etc/pam.d/sshd
6 A$ e1 u5 D3 H- i+ q% h( z    auth required pam_listfile.so item=user sense=allow file=/etc/ssh_users onerr=fail
! [2 o% h4 l/ m$ r# echo <username> >> /etc/ssh_users
15.防止SSH連線逾時(timeout),讓PuTTY 與 SSH 一直保持連線
: S: u: z- w$ K  a; w    修改/etc/ssh/sshd_config
#TCPKeepAlive yes
; [5 ?9 }6 @7 q4 b+ O" f3 k# t#ClientAliveInterval 0
0 k$ d2 G! Q" M+ u5 L  ?2 V#ClientAliveCountMax 3
     將#拿掉==>存檔
#service ssd restart ==>重啟sshd
% x: U8 ]- ?/ `) h( G) b0 {    接下來修改 Pietty 的參數，進入”PuTTY 連線設定”:
6 a; z2 o  \4 j    選擇「Connection」項目，將「Seconds between keepalives [0 to turn off]」右邊的欄位輸入每隔幾秒，傳送一個null封包以保持連線。