Untuk mendapatkan pelayan SSH, melaksanakan pengesahan yang kuat, hadkan akses, tukar tetapan lalai, konfigurasikan peraturan firewall, dan pastikan sistem dikemas kini. Pertama, aktifkan pasangan utama SSH dengan laluan laluan dan nyahdayakan pengesahan kata laluan sepenuhnya selepas memuat naik kunci awam ke Authorized_Keys. Kedua, mengehadkan log masuk root dengan menetapkan NO PermitRootlogin dan membenarkan hanya pengguna atau kumpulan tertentu menggunakan Allowusers atau AllowGroups. Ketiga, tukar port SSH lalai dari 22 ke port tersuai seperti 2222 dalam sshd_config dan laraskan peraturan firewall dengan sewajarnya. Keempat, gunakan firewall seperti UFW untuk membolehkan sambungan SSH hanya dari IPS yang dipercayai dan memohon pengurangan kadar dengan alat seperti Fail2Ban untuk menyekat percubaan log masuk berulang. Akhir sekali, kerap mengemas kini pakej OS dan SSH melalui Sudo Apt Update & Sudo Apt Menaik taraf dan membolehkan kemas kini automatik untuk melindungi daripada kelemahan yang diketahui.

Mengamankan pelayan SSH adalah penting untuk melindungi sistem anda daripada akses yang tidak dibenarkan. Walaupun SSH sendiri adalah protokol yang selamat, kesilapan atau amalan lemah boleh mendedahkan pelayan anda kepada serangan. Berikut adalah beberapa langkah praktikal yang boleh anda ambil untuk mengeraskan persediaan SSH anda.

Gunakan kaedah pengesahan yang kuat

Salah satu perkara pertama yang perlu anda lakukan ialah berpindah dari pengesahan berasaskan kata laluan yang lemah.

• Dayakan Pasangan Kunci SSH -Kata laluan boleh ditebak atau dipaksa. Menggunakan pasangan kunci awam/swasta menambah tahap keselamatan yang lebih tinggi.

  • Menjana pasangan kunci yang kuat menggunakan ssh-keygen
  • Tetapkan frasa laluan untuk kunci peribadi
  • Muat naik kekunci awam ke fail ~/.ssh/authorized_keys pelayan

• Lumpuhkan Log Masuk Kata Laluan Sepenuhnya
  Dalam konfigurasi SSH anda ( /etc/ssh/sshd_config ), tetapkan:

   Kata laluanAuthentication no

Pastikan anda telah menambah kunci awam anda sebelum melumpuhkan kata laluan - jika tidak, anda mungkin mengunci diri anda.

Hadkan akses pengguna dan pilihan log masuk

Akses SSH hanya boleh diberikan kepada mereka yang memerlukannya.

• Hadkan log masuk root
  Akaun Root mempunyai kawalan penuh, jadi membenarkan log masuk langsung melalui SSH berisiko. Sebaliknya, lumpuhkannya:

   Permitrootlogin no

• Benarkan hanya pengguna tertentu
  Gunakan Arahan AllowUsers di sshd_config untuk menghadkan akses SSH ke akaun yang diketahui:

   Allowusers user1 user2

• Gunakan kumpulan untuk menguruskan akses
  Anda juga boleh membenarkan log masuk mengikut kumpulan:

   AllowGroups sshusers

Ini menjadikan keizinan pengurusan lebih mudah apabila ramai orang memerlukan akses.

Tukar port SSH lalai

Running SSH di Port 22 adalah standard - yang bermaksud ia juga merupakan sasaran pertama untuk penyerang. Menukar pelabuhan tidak akan menghentikan penggodam yang ditentukan, tetapi ia akan mengurangkan bunyi dari imbasan automatik.

Di sshd_config , tukar:

 Pelabuhan 2222

Kemudian pastikan firewall anda membolehkan lalu lintas di pelabuhan itu. Tweak kecil ini boleh mengurangkan percubaan masuk botnet.

Sediakan peraturan firewall dan mengehadkan kadar

Walaupun dengan tetapan SSH yang baik, pelayan anda masih boleh terdedah kepada percubaan log masuk berulang.

• Gunakan firewall (seperti UFW atau iptables)
  Hanya membenarkan sambungan SSH dari julat IP yang dipercayai jika boleh:

   UFW Benarkan dari 192.168.1.0/24 ke mana -mana port 2222

• Percubaan Sambungan Kadar
  Alat seperti log Monitor fail2ban dan menyekat IPS selepas percubaan masuk yang gagal. Ia mudah dipasang dan mengkonfigurasi, dan ia membantu melindungi daripada serangan kekerasan.

Peraturan fail2ban yang mudah boleh menghalang aktiviti yang mencurigakan selama beberapa minit - sering cukup untuk menghalang kebanyakan skrip.

Pastikan sistem anda dan SSH dikemas kini

Perisian ketinggalan zaman adalah salah satu cara paling mudah bagi penyerang untuk mendapatkan akses.

• Secara kerap mengemas kini pakej OS dan SSH anda:

   Sudo Apt Update & Sudo Apt Menaik taraf

• Langgan senarai mel keselamatan atau gunakan alat seperti unattended-upgrades untuk memohon patch kritikal secara automatik.

Versi lama OpenSSH mempunyai kelemahan yang serius - tetap dikemas kini memastikan anda dilindungi.

Itu pada dasarnya. Langkah -langkah ini tidak terlalu rumit, tetapi mereka pergi jauh ke arah mendapatkan pelayan SSH anda. Sesetengahnya adalah tweak kecil, seperti menukar pelabuhan, sementara yang lain, seperti menggunakan kekunci dan mengehadkan akses, adalah asas. Sedikit usaha terdahulu dapat menghalang banyak masalah kemudian.

Atas ialah kandungan terperinci Apakah beberapa amalan terbaik untuk mendapatkan pelayan SSH?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!