修改 sshd 的設定 ,設定檔 /etc/ssh/sshd_config

IT_man

vi /etc/ssh/sshd_config

1.修改預設 port (可用多行開啟多個 port)
Port <port>
; A$ Q1 R0 s  A2 ?5 _+ A, q
2.僅監聽特定 ip (適用於多網卡/多 IP 的情形)
6 H7 V; v6 y3 @- G  {7 [+ WListenAddress 192.168.1.10
. {- F  t% C# {' m8 k$ ?
3.禁止 root 登入
PermitRootLogin no
管理者必須先以個人帳號登入，再 su 成 root，或利用 sudo 工作。

4.禁止使用空密碼登入
PermitEmptyPasswords no
: @% u4 I- \8 E" M( M4 L* @
# h! H& G* K, @4 V5.僅允許或拒絕特定帳號或群組登入
AllowUsers <user1> <user2> <user3>
$ z% [- d7 y$ {' f3 uAllowGroups <group>
% [" N. B: M7 W, K9 J6 Z- l) BDenyUsers *
0 _- K* n: ?) f( gDenyGroups no-ssh
根據實驗，對於同一帳號而言，如果同時 Allow 跟 Deny 的話，結果會是 Deny 的。

6.廢除密碼登錄，強迫使用 RSA/DSA 驗證
- y7 B4 w( K6 r0 k* nRSAAuthentication yes
PubkeyAuthentication yes
* H% i; R% r/ k& vAuthorizedKeysFile %h/.ssh/authorized_keys
PasswordAuthentication no
並確保 user 的 ~/.ssh 權限為 700，同時將該 user 的 public key 加入其 ~/.ssh/authorized_keys 中。Public key 的產生方式可搜尋 ssh-keygen。
- P% l$ Z; r) @0 _- R8 B3 v
7.僅允許 SSHv2
Protocol 2
  y: ]2 ]; R% ?" j- S
* k0 k' ^$ s3 F8.限制特定使用者、群組、主機或位址的登入行為，這裡以限制 somebody 與 handsomebody 不可使用密碼登入為例
7 B' }" [  [3 ^Match User somebody,handsomebody
+ \' ?: R" s, C: xPasswordAuthentication no使用 TCP wrappers 限制來源 IP
; L/ \/ k% c' _/ S$ W# vim /etc/hosts.deny
sshd: ALL
: B- z6 f/ ^! S  M- s# vim /etc/hosts.allow
sshd: 192.168.1 1.2.3.4 # 僅允許 192.168.1.* 與 1.2.3.4 連線
9 ]: ^, l: t( O
* Q, s, ~! m& ?  l" A! ?, Z/ `* u9.使用 iptables 限制來源 IP
# iptables -A INPUT -p tcp -m state --state NEW --source 1.2.3.4 --dport 22 -j ACCEPT
# iptables -A INPUT -p tcp --dport 22 -j DROP
設定會立即生效，若希望重開機後還能保存，需要手動儲存 iptables 的設定。

0 v  t1 U0 d" ]% O10.時間鎖定
你可以使用不同的iptables參數來限制到SSH服務的連接，讓其在一個特定的時間範圍內可以連接，其他時間不能連接。你可以在下面的任何例子中使用 /second、/minute、/hour 或 /day 開關。
第一個例子，如果一個用戶輸入了錯誤的密碼，鎖定一分鐘內不允許在訪問SSH服務，這樣每個用戶在一分鐘內只能嘗試一次登陸
9 y* Y+ ^- q3 Z8 v" I9 S) l0 o" x0 J' e  # iptables -A INPUT -p tcp -m state --syn --state NEW --dport 22 -m limit --limit 1/minute --limit-burst 1 -j ACCEPT
  # iptables -A INPUT -p tcp -m state --syn --state NEW --dport 22 -j DROP
+ o) ?$ o; [) k8 k/ ]/ r( D第二個例子，設置iptables只允許主機193.180.177.13連接到SSH服務，在嘗試三次失敗登陸後，iptables允許該主機每分鐘嘗試一次登陸
7 f4 b1 G7 D2 o/ _/ E; I  # iptables -A INPUT -p tcp -s 193.180.177.13 -m state --syn --state NEW --dport 22 -m limit --limit 1/minute --limit-burst 1 -j ACCEPT
0 ?/ K; a5 s+ H% j: k  # iptables -A INPUT -p tcp -s 193.180.177.13 -m state --syn --state NEW --dport 22 -j DROP

- E6 w+ G) v  E8 l) `) n! D/ N11.檢查相關檔案權限，不安全則不允許登入
StrictModes yes
& R  J& z4 ?2 p( }某些相關檔案權限設定若有錯誤時，可能造成安全性風險。如使用者的 ~/.ssh/authorized_keys 權限若為 666，可能造成其他人可以盜用帳號。
2 K6 j. r) |* f4 j8 ^- T4 Q% o- Y
12.自訂使用者登入時顯示的 banner (話說這跟安全性有什麼關係...? 大概可以用社交方式嚇跑壞人吧...= =a)
Banner /etc/ssh/banner # 任意文字檔
. O9 L/ i( ^- U
13.限制 su/sudo 名單
7 {. V1 b5 p/ f& A+ @' @& ~! F, y5 T, k# vi /etc/pam.d/su
    auth       required     /lib/security/$ISA/pam_wheel.so use_uid
+ q& G7 r4 W1 F3 @' f( H) C' b# visudo
% ]6 M, o! L" W! C1 a$ O% G2 h    %wheel  ALL = (ALL) ALL
# gpasswd -a user1 wheel

/ M5 g9 }' d1 }2 G14.限制 ssh 使用者名單
& n# D" R0 R& h' l/ z# vi /etc/pam.d/sshd
7 k) H; v! G. Z- Z; z; j# c    auth required pam_listfile.so item=user sense=allow file=/etc/ssh_users onerr=fail
# echo <username> >> /etc/ssh_users
" S/ P! H4 f- s3 f' @+ w15.防止SSH連線逾時(timeout),讓PuTTY 與 SSH 一直保持連線
    修改/etc/ssh/sshd_config
  q# s+ @3 r' w- s; K#TCPKeepAlive yes
. e! D  {* j: ]2 v#ClientAliveInterval 0
#ClientAliveCountMax 3
     將#拿掉==>存檔
' n' L2 }' e( e" Z7 R#service ssd restart ==>重啟sshd
    接下來修改 Pietty 的參數，進入”PuTTY 連線設定”:
2 K. D/ ~6 z. u1 t! m    選擇「Connection」項目，將「Seconds between keepalives [0 to turn off]」右邊的欄位輸入每隔幾秒，傳送一個null封包以保持連線。

5 ]# }5 x: f3 ~