Linux 中提高的 SSH 的安全性

SSH 是远程登录 Linux 服务器的最常见的方式。且 SSH 登录的时候要验证的，相对来讲会比较安全。那只是相对，下面会介绍一些方式提高 SSH 的安全性

SSH 的验证

而SSH 登录时有两种验证方式

1. 密码认证，要求用户每次登录服务器的时候都要输入密码
2. 密钥认证，客户端的公钥先保存在服务器的.ssh/authorized_keys中，登录时使用该公钥自动验证，认证成功就不用输入密码都能登录

密码认证的问题

1. 密码简单容易被人攻破, 密码复杂难记，又比较容易输错。
2. 容易被人用暴力破解的方式攻击。比如是ncrack。就算没有攻破，服务器各种被人在尝试密码是什么，有种各种被蹂躏的感觉。
3. 写自动化脚本比较麻烦，需要用 expect 之类的命令

尝试使用暴力破解ssh

安装ncrack并下载一份常用的密码

ncrack -p 22 --user root -P 500-worst-passwords.txt 192.168.31.121

结果如下
​```
Starting Ncrack 0.6 ( http://ncrack.org ) at 2018-01-27 14:20 CST
Discovered credentials for ssh on 192.168.31.121 22/tcp:
192.168.31.121 22/tcp ssh: 'root' '123456'
Ncrack done: 1 service scanned in 96.06 seconds.

# 保护 ssh 的方法

## 不要使用简单的密码

上面被人暴力破解密码的主要原因是用了简单的密码，而使用强密码就相对比较难暴力破解 而何为强密码：

*   强密码长度至少有 8 个字符，
*   不包含全部或部分用户帐户名，不能是连贯的名
*   至少包含以下四类字符中的三类：大写字母、小写字母、数字，以及键盘上的符号（如 !、@、#）

最好还要定期修改密码

## 拉黑 ip

若一定要开放密码登录，就有会有人尝试暴力破解
```bash
    sudo cat /var/log/secure | awk '/Failed/{print $(NF-3)}' | sort | uniq -c | awk '{print $2" = "$1;}'

用这个命令可以看到有多少“客人”关顾你的服务器. 面对这种情况，就要把这些客人拉进黑名单了。此时我们可以使用DenyHosts这种工具，这个工具的CentosandDebain都有对应有二进制文件，直接yum install denyhosts或者apt-get install denyhosts就行了 配置文件在/etc/denyhosts.conf

    #sshd日志文件，它是根据这个文件来判断的，不同的操作系统，文件名稍有不同。
    SECURE_LOG = /var/log/secure
    
    #控制用户登陆的文件
    HOSTS_DENY = /etc/hosts.deny
    
    #过多久后清除已经禁止的IP，如5m（5分钟）、5h（5小时）、5d（5天）、5w（5周）、1y（一年）
    PURGE_DENY = 5m
    DAEMON_PURGE = 5m
    
    #禁止的服务名，可以只限制不允许访问ssh服务，也可以选择ALL
    BLOCK_SERVICE = sshd
    
    #允许无效用户失败的次数
    DENY_THRESHOLD_INVALID = 5
    
    #允许普通用户登陆失败的次数
    DENY_THRESHOLD_VALID = 10
    
    #允许root登陆失败的次数
    DENY_THRESHOLD_ROOT = 5
    
    #是否做域名反解
    HOSTNAME_LOOKUP=NO
    
    #日志文件
    DAEMON_LOG = /var/log/denyhosts

其中ip白名单在/etc/hosts.allow，禁止访问ssh的名单在/etc/hosts.deny

• 为防止自己的IP被屏蔽，可以：echo “你的IP” >> /usr/share/denyhosts/allowed-hosts 将你的IP加入白名单，再重启DenyHosts

手动解禁ip：

1. wget http://soft.vpser.net/security/denyhosts/denyhosts_removeip.sh
2. 如果是centos 7 的，将/etc/init.d/ 的转成 systemctl
3. sduo sh denyhosts_removeip.sh 待解封的ip 搞定

设置 ssh 不能使用 root 登录

使用ssh登录root用户，毕竟root用户的权限太大了。禁止root用户ssh后，即使密码泄露了，也不能通过ssh远程登录，提高了服务器的安全性。 相关的操作就是把/etc/ssh/sshd_config中的PermitRootLogin yes修改为PermitRootLogin no 再重启一下服务 systemctl restart sshd

不使用密码登录

使用密码登录会有以上的问题，不太安全且不太方便 所以我觉得还是用密钥去认证会比较好。更方便更安全。

生成密钥对

如果你没有包含公钥和私钥的密钥对，你需要生成一个。如果你已经有了想要使用的密钥，请跳到复制公钥的步骤。 要生成新的密钥对，请在本地机器终端输入以下命令：

ssh-keygen

假设你的本地用户叫 localuser ，你会看到的输出如下所示

    Generating public/private rsa key pair.
    Enter file in which to save the key (/Users/localuser/.ssh/id_rsa):

按回车键以接受这文件名和路径（或者输入新的名称） 下一步，系统会提示你输入密码确保密钥的安全。你可以输入密码或者将密码留空。 注意：如果你将密码留空，你可以用私钥进行身份验证，不输入再输入密码。如果你输入密码了，你需要私钥和密码才能登陆。使用密码保护密码会更加安全，但两者都有自己的用途，并且都比基本密码验证更安全。 这会在 localuser 的Home(主)目录的 .ssh 文件夹 中生成一个私钥 id_rsa 和一个公钥 id_rsa.pub。记住私钥不要和任何不该访问你服务器的人共享。

复制公钥

复制公钥有两种方式，手动档和自动挡

手动配置

做的东西很简单，就是将本机的公钥字符串复制到"~/.ssh/authorized_keys" 若服务器中没有.ssh文件夹则需要自己创建

    cd ~
    mkdir .ssh
    chmod 700 ~/.ssh
    cd ssh
    touch authorized_keys
    chmod 600 authorized_keys

复制公钥内容

    scp id_rsa.pub userName@host:/home/userName/.ssh/wait_to_authorized_key

ssh 登录后

    cat wait_to_authorized_key >> authorized_keys

自动上传密钥

手动复制密钥太麻烦了，so 懒惰的人会用

    ssh-copy-id -i ~/.ssh/id_rsa.pub user@host

自动生成公钥，并上传为服务器的.ssh/authorized_keys若服务器没有.ssh会自动创建对应的文件和赋予文件对应的权限

禁止密码登录

既然已经可以通过密钥去认证，认为那台机器是可以信任的，那么最好就是禁止密码登录，这样的话就不怕暴力破解了。 把/etc/ssh/sshd_config中的PasswordAuthentication yes修改为PasswordAuthentication no 再重启一下服务

systemctl restart sshd

如果有人想登录，但密钥不对会是这种结果

参考资料

• SSH免密码登陆和免ip连接
• Linux下检测SSH暴力破解攻击与防护功能