修改 sshd 的設定 ,設定檔 /etc/ssh/sshd_config

IT_man

vi /etc/ssh/sshd_config

3 w; u" A% ^/ t: J- x2 a: m8 B; k; ]* o1.修改預設 port (可用多行開啟多個 port)
! i# h; B' d7 R( I# d/ \. YPort <port>
# t  v5 d& W4 d1 [% x2 {+ Q7 A, _6 H1 i
( X2 |2 h: O8 e2.僅監聽特定 ip (適用於多網卡/多 IP 的情形)
ListenAddress 192.168.1.10
6 P) K4 h* \' ]2 y" h# V8 ?) ]
, _& l2 h4 B" p$ T& V; `+ R3.禁止 root 登入
+ }; Q5 [  G& X" ~/ x7 x) OPermitRootLogin no
, y& c5 m" M# F管理者必須先以個人帳號登入，再 su 成 root，或利用 sudo 工作。

4.禁止使用空密碼登入
1 v, {; [7 y# K. f$ B& HPermitEmptyPasswords no
# g0 }/ W0 p# A5 J
5.僅允許或拒絕特定帳號或群組登入
AllowUsers <user1> <user2> <user3>
AllowGroups <group>
; |" L  \5 R* b! I3 P9 E8 ~DenyUsers *
! `: [) g6 x0 c5 s4 vDenyGroups no-ssh
7 q) ^* Q+ L+ }$ x' ^) [9 \根據實驗，對於同一帳號而言，如果同時 Allow 跟 Deny 的話，結果會是 Deny 的。

' g. ?& w$ k. K- l9 x  {* O2 a6.廢除密碼登錄，強迫使用 RSA/DSA 驗證
RSAAuthentication yes
  U/ x$ g0 S  |& ]6 l# APubkeyAuthentication yes
2 N4 S+ ~9 z7 M3 K9 ~AuthorizedKeysFile %h/.ssh/authorized_keys
PasswordAuthentication no
; G& b% ?7 s; Z" ^$ B% |" _並確保 user 的 ~/.ssh 權限為 700，同時將該 user 的 public key 加入其 ~/.ssh/authorized_keys 中。Public key 的產生方式可搜尋 ssh-keygen。
4 Y. ~' D2 X  O) r3 ?$ m# B5 x
7.僅允許 SSHv2
Protocol 2
9 g( C& G% t; H4 t( m& |6 j
8.限制特定使用者、群組、主機或位址的登入行為，這裡以限制 somebody 與 handsomebody 不可使用密碼登入為例
Match User somebody,handsomebody
PasswordAuthentication no使用 TCP wrappers 限制來源 IP
8 ^$ G7 _. g2 g. E( k# vim /etc/hosts.deny
& P. c# e% z9 d/ x$ esshd: ALL
3 S* j" r/ {& C9 {3 I$ p# vim /etc/hosts.allow
sshd: 192.168.1 1.2.3.4 # 僅允許 192.168.1.* 與 1.2.3.4 連線
1 }; g- T9 r7 O% r" u
/ K4 Q, [& [3 M' e9.使用 iptables 限制來源 IP
# iptables -A INPUT -p tcp -m state --state NEW --source 1.2.3.4 --dport 22 -j ACCEPT
# iptables -A INPUT -p tcp --dport 22 -j DROP
設定會立即生效，若希望重開機後還能保存，需要手動儲存 iptables 的設定。

10.時間鎖定
你可以使用不同的iptables參數來限制到SSH服務的連接，讓其在一個特定的時間範圍內可以連接，其他時間不能連接。你可以在下面的任何例子中使用 /second、/minute、/hour 或 /day 開關。
第一個例子，如果一個用戶輸入了錯誤的密碼，鎖定一分鐘內不允許在訪問SSH服務，這樣每個用戶在一分鐘內只能嘗試一次登陸
+ j0 ]1 U3 x( I! X) l# P' t& ?- g  # iptables -A INPUT -p tcp -m state --syn --state NEW --dport 22 -m limit --limit 1/minute --limit-burst 1 -j ACCEPT
  # iptables -A INPUT -p tcp -m state --syn --state NEW --dport 22 -j DROP
第二個例子，設置iptables只允許主機193.180.177.13連接到SSH服務，在嘗試三次失敗登陸後，iptables允許該主機每分鐘嘗試一次登陸
* [8 f  |- l/ `" y$ |- N  # iptables -A INPUT -p tcp -s 193.180.177.13 -m state --syn --state NEW --dport 22 -m limit --limit 1/minute --limit-burst 1 -j ACCEPT
  # iptables -A INPUT -p tcp -s 193.180.177.13 -m state --syn --state NEW --dport 22 -j DROP
) t5 V. `) w* [  o3 w8 i
( C, L7 o7 B! \! b' V11.檢查相關檔案權限，不安全則不允許登入
StrictModes yes
某些相關檔案權限設定若有錯誤時，可能造成安全性風險。如使用者的 ~/.ssh/authorized_keys 權限若為 666，可能造成其他人可以盜用帳號。
$ k. h& k9 ^, j  S' T7 y
12.自訂使用者登入時顯示的 banner (話說這跟安全性有什麼關係...? 大概可以用社交方式嚇跑壞人吧...= =a)
3 C: S* I% q7 d0 o/ gBanner /etc/ssh/banner # 任意文字檔
; U& [5 r0 Z; s9 o& V% J* L
13.限制 su/sudo 名單
1 H/ F, r' O$ Z7 F$ b# vi /etc/pam.d/su
- Q( G0 q" ]0 \5 ?  p    auth       required     /lib/security/$ISA/pam_wheel.so use_uid
/ l, v7 s( Y8 Y# Y! ^! n8 z8 L# visudo
    %wheel  ALL = (ALL) ALL
, f' `, }- B3 M: d( h# gpasswd -a user1 wheel
6 ?8 A. p; M8 `) B5 u" O$ q( K9 e
2 X' s! f5 ]: o# a14.限制 ssh 使用者名單
# vi /etc/pam.d/sshd
    auth required pam_listfile.so item=user sense=allow file=/etc/ssh_users onerr=fail
# echo <username> >> /etc/ssh_users
( \+ r% z  H: b! P* S8 O* W15.防止SSH連線逾時(timeout),讓PuTTY 與 SSH 一直保持連線
    修改/etc/ssh/sshd_config
#TCPKeepAlive yes
& o+ H! Y6 N# G! J#ClientAliveInterval 0
#ClientAliveCountMax 3
     將#拿掉==>存檔
0 M7 _  P+ k  g. D#service ssd restart ==>重啟sshd
# T; x. P, U4 Z$ I" K    接下來修改 Pietty 的參數，進入”PuTTY 連線設定”:
    選擇「Connection」項目，將「Seconds between keepalives [0 to turn off]」右邊的欄位輸入每隔幾秒，傳送一個null封包以保持連線。