跳到主要内容

Debian SSH安全加固

介绍​

SSH（Secure Shell）是一种用于远程登录和管理服务器的协议。它是系统管理员和开发人员最常用的工具之一。然而，默认的SSH配置可能存在安全隐患，容易被攻击者利用。因此，对SSH进行安全加固是保护Debian系统的重要步骤。

本文将逐步介绍如何通过修改SSH配置文件、使用密钥认证、限制登录等方式来增强SSH的安全性。

1. 修改SSH默认端口​

默认情况下，SSH服务监听在22端口。攻击者通常会扫描这个端口以寻找潜在的目标。通过修改SSH服务的监听端口，可以减少被扫描到的风险。

步骤：​

  1. 打开SSH配置文件：
    bash
    sudo nano /etc/ssh/sshd_config
  2. 找到 #Port 22 这一行，去掉注释并将端口号改为一个非标准端口（例如 2222）：
    bash
    Port 2222
  3. 保存并退出编辑器。
  4. 重启SSH服务以应用更改：
    bash
    sudo systemctl restart sshd
警告

修改SSH端口后，确保防火墙允许新端口的流量通过，否则可能导致无法远程登录。

2. 禁用root用户远程登录​

允许root用户通过SSH直接登录是一个常见的安全隐患。攻击者可以通过暴力破解尝试获取root权限。因此，建议禁用root用户的远程登录。

步骤：​

  1. 打开SSH配置文件：
    bash
    sudo nano /etc/ssh/sshd_config
  2. 找到 #PermitRootLogin yes 这一行，将其修改为：
    bash
    PermitRootLogin no
  3. 保存并退出编辑器。
  4. 重启SSH服务：
    bash
    sudo systemctl restart sshd
提示

禁用root登录后，建议创建一个具有sudo权限的普通用户，用于日常管理和维护。

3. 使用SSH密钥认证​

密码认证虽然方便，但容易被暴力破解。相比之下，SSH密钥认证更为安全。它使用一对公钥和私钥进行身份验证，私钥保存在客户端，公钥保存在服务器上。

步骤：​

  1. 在客户端生成SSH密钥对：

    bash
    ssh-keygen -t rsa -b 4096

    按提示输入保存路径和密码（可选）。

  2. 将公钥上传到服务器：

    bash
    ssh-copy-id -i ~/.ssh/id_rsa.pub user@your_server_ip

  3. 在服务器上禁用密码认证： 打开SSH配置文件：

    bash
    sudo nano /etc/ssh/sshd_config

    找到 #PasswordAuthentication yes 这一行，将其修改为：

    bash
    PasswordAuthentication no

    保存并退出编辑器。

  4. 重启SSH服务：

    bash
    sudo systemctl restart sshd
备注

确保在禁用密码认证之前，你已经成功使用密钥登录服务器，否则可能导致无法远程登录。

4. 限制登录用户和IP地址​

通过限制允许登录的用户和IP地址，可以进一步减少攻击面。

步骤：​

  1. 打开SSH配置文件：

    bash
    sudo nano /etc/ssh/sshd_config

  2. 添加或修改以下行以限制允许登录的用户：

    bash
    AllowUsers your_username

    如果有多个用户，可以用空格分隔。

  3. 如果需要限制IP地址，可以使用 AllowUsers 和 AllowGroups 结合防火墙规则，或者使用 Match 指令：

    bash
    Match Address 192.168.1.0/24
        AllowUsers your_username

    这将只允许来自 192.168.1.0/24 网段的用户 your_username 登录。

  4. 保存并退出编辑器。

  5. 重启SSH服务：

    bash
    sudo systemctl restart sshd

5. 使用Fail2Ban防止暴力破解​

Fail2Ban 是一个用于防止暴力破解的工具。它通过监控日志文件，自动封禁多次尝试失败的IP地址。

步骤：​

  1. 安装Fail2Ban：

    bash
    sudo apt-get install fail2ban

  2. 复制默认配置文件：

    bash
    sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

  3. 编辑 jail.local 文件，配置SSH相关的规则：

    bash
    sudo nano /etc/fail2ban/jail.local

    找到 [sshd] 部分，确保以下配置：

    bash
    [sshd]
    enabled = true
    maxretry = 3
    bantime = 3600

    这将允许用户最多尝试3次，失败后封禁1小时。

  4. 启动并启用Fail2Ban服务：

    bash
    sudo systemctl start fail2ban
    sudo systemctl enable fail2ban

实际案例​

假设你是一家小型企业的系统管理员，负责管理多台Debian服务器。为了提高安全性，你决定对SSH服务进行加固。你首先修改了SSH端口，禁用了root用户远程登录，并启用了SSH密钥认证。然后，你使用Fail2Ban来防止暴力破解攻击。最后，你限制了允许登录的用户和IP地址，确保只有授权的员工可以访问服务器。

通过这些措施，你的服务器安全性得到了显著提升，攻击者很难通过SSH服务入侵系统。

总结​

SSH是远程管理服务器的关键工具，但默认配置可能存在安全隐患。通过修改SSH端口、禁用root登录、使用密钥认证、限制登录用户和IP地址，以及使用Fail2Ban等工具，可以显著增强Debian系统的安全性。

附加资源​

练习​

  1. 在你的Debian服务器上修改SSH端口，并测试是否可以成功连接。
  2. 生成SSH密钥对，并配置服务器使用密钥认证。
  3. 安装并配置Fail2Ban，模拟多次失败的登录尝试，观察Fail2Ban是否生效。