22、SSH 安全远程管理全攻略

SSH 安全远程管理全攻略

1. SSH 端口安全与管理

SSH 默认端口 22 是攻击热门目标，互联网上充斥着自动攻击工具，不断对随机主机发起攻击。查看防火墙日志，会发现各种企图暴力破解端口 22 的行为。为应对这一情况，管理员有两种常见做法：
- 仅在需要时启动 SSH 守护进程。
- 将 SSH 运行在非标准端口，可在 /etc/ssh/ssh_config 中配置，例如：

Port 2022

同时，要检查 /etc/services 确保不使用已被占用的端口，并为使用的非标准端口添加条目。使用非标准端口虽无法骗过专业的端口扫描器，但能减轻攻击压力，减少日志文件的负担。DenyHosts 工具可用于防范此类攻击。

Red Hat 的 condrestart （条件重启）命令，仅在服务已运行时才会重启它，若服务未运行则静默失败。 reload 命令可让服务重新读取配置文件，而无需完全关闭并重新启动，这是一种无干扰的激活配置更改的方式。若系统未包含 condrestart 等命令，可从使用这些命令的系统复制并根据自身系统进行调整，因为初始化脚本本质上是 shell 脚本，便于定制。

2. 创建强密码短语

每次创建 SSH 密钥时都需创建强密码短语，以下是创建强密码短语的策略指南：
- 长度至少为 8 个字符。
- 不能是任何语言中的单词，可使用