14、SSH 安全管理与端口转发全解析

SSH 安全管理与端口转发全解析

1. SSH 安全管理基础

在 SSH 连接中，“使用防火墙连接”选项被选中时，还需在“主机名”字段中选择要访问的真实服务器的主机名。例如，在相关配置里，右侧桌面是使用 SecureCRT 应用程序的机器，SOCKSv5 服务器地址为 172.16.1.1，此地址在 SecureCRT 全局选项菜单中设置。当需要在 Web 服务器（如 192.168.1.100）上建立 SSH 会话时，SecureCRT SSH 客户端会先通过图 5.7 中“使用防火墙连接”复选框连接到 SOCKS 服务器，再由 SOCKS 服务器完成连接并将 shell 返回给客户端。

使用 SOCKS 和 SSH 进行安全管理访问，能减少认证步骤，简化终端用户的操作流程，且不降低安全级别和认证方法的要求，既维持了既定的安全水平，又提升了用户体验。

2. SSH 用户限制措施

在远程设备和系统上管理 SSH 对安全访问至关重要，但通常不希望让每个需要管理设备或系统的员工都拥有完全的管理权限。比如，对于一个系统，备份操作员、系统管理员、应用程序开发人员等不同用户可能都需要 SSH 访问权限；若使用管理服务器，网络管理员、路由器/交换机管理员、防火墙管理员等更多人员也会有访问需求。将这些人员都添加到 SSH 用户列表中，可能使特定设备或系统的 SSH 用户占比超过 10%，甚至更多。为进一步提升系统安全性，可以采用以下方法限制用户权限：

2.1 Chroot

Chroot 是 Unix 系统特有的调用，它能将用户限制在指定目录内的文件、文件夹和二进制文件操作。可以把 Chroot 看作一个虚拟沙箱，即“chroo