Linux系統(tǒng)運(yùn)維關(guān)于OpenSSH的基礎(chǔ)講解

Linux系統(tǒng)運(yùn)維工程師都了解關(guān)于OpenSSH服務(wù)的知識，OpenSSH服務(wù)可以通過/etc/ssh/sshd_config文件進(jìn)行配置。OpenSSH 是 SSH （Secure SHell） 協(xié)議的免費(fèi)開源實(shí)現(xiàn)。SSH協(xié)議族可以用來進(jìn)行遠(yuǎn)程控件， 或在計(jì)算機(jī)之間傳送文件。

在絕大部分的Linux系統(tǒng)運(yùn)維服務(wù)器上都使用 OpenSSH 作為 SSH server，所以這篇文章只針對 OpenSSH。其實(shí)這些技巧都是很基礎(chǔ)的，但如果你能好好使用它們的話，一定程度上確實(shí)可以有效提升 SSH 的安全性。

#以下配置項(xiàng)都是在 /etc/ssh/sshd_config 文件中修改。

1. 禁止Linux系統(tǒng)運(yùn)維中的 root 登錄PermitRootLogin no，當(dāng)你啟用這一選項(xiàng)后，你只能用普通用戶登錄，然后再用 su 或 sudo 切換到 root 帳戶。

2. 僅允許指定用戶和組登錄指定用戶AllowUsers ramesh john jason指定組AllowGroups sysadmin dba3. 禁止指定的用戶或組登錄指定用戶DenyUsers cvs apache jane指定組DenyGroups developers qa注：Allow 和 Deny 可以組合使用，它們的處理順序是：DenyUsers, AllowUsers, DenyGroups, AllowGroups4. 修改 SSH 監(jiān)聽端口把 SSH 監(jiān)聽端口改為 222Port 2225. 修改默認(rèn)登錄時(shí)間當(dāng)你連接到 SSH 后，默認(rèn)是提供 2 分鐘的時(shí)間讓你輸入帳戶和密碼來進(jìn)行登錄，你可以修改這個(gè)時(shí)間為 1 分鐘或 30 秒。

LoginGraceTime 1m6. 限制監(jiān)聽 IP如果你的服務(wù)器上有多個(gè)網(wǎng)卡及 IP ，那么你可以限制Linux系統(tǒng)運(yùn)維中的某些 IP 不監(jiān)聽 SSH，只允許通過某些 IP 來登錄。

比如你有四個(gè)網(wǎng)卡eth0 – 192.168.10.200eth1 – 192.168.10.201eth2 – 192.168.10.202eth3 – 192.168.10.203你只想讓用戶通過 202, 203 這兩個(gè) IP 來登錄，那么做以下設(shè)定ListenAddress 192.168.10.200ListenAddress 192.168.10.2027. 當(dāng)用戶處于非活動(dòng)時(shí)斷線當(dāng)用戶在 10 分鐘內(nèi)處于非活動(dòng)狀態(tài)的話，就自動(dòng)斷線。

ClientAliveInterval 600ClientAliveCountMax 0ClientAliveCountMax：默認(rèn)為 3 ，表示當(dāng) SSH 沒有任何活動(dòng)時(shí)， SSH Server 會(huì)發(fā)送三次檢查是否在線(checkalive)的消息。

ClientAliveCountMax：默認(rèn)為 0，表示當(dāng)過了幾秒后，SSH Server 會(huì)發(fā)送消息要求用戶響應(yīng)(0 的話表示永遠(yuǎn)不發(fā)送)，否則就斷線。

【編輯推薦】

◆IT運(yùn)維外包忌諱兩種管理模式

◆IT運(yùn)維管理：保障網(wǎng)絡(luò)安全的六法則

◆誰來拯救IT運(yùn)維管理遭遇的重創(chuàng)

◆IT運(yùn)維采購專區(qū)

◆細(xì)談如何恰當(dāng)控制IT運(yùn)維管理成本