一些增强 SSH 安全性的技巧

[Livid]

https://www.linux.com/learn/tutorials/305769-advanced-ssh-security-tips-and-tricks

[msg7086]

其实主要就是证书登录+banIP

[hbkdsm]

赞

[anubiskong]

我是这样做的:
改ssh端口, 禁ping, 只保留必要端口其他的封, 不允许用户名密码登陆只能用秘钥登陆
求高手给意见

[imnpc]

我主要使用证书登录和 google的双因素验证

[dommyet]

端口没改 root只允许证书登录 但是因为那个机器的非root用户有用密码登录的需求 来碰密码的以为root也是用密码的 每天都有来自一两个IP的几万次碰撞 后来就用fail2ban直接封禁24小时

[clino]

@dommyet 改ssh端口应该会没什么会来攻击了
以前用denyhosts太方便了,完全不用配置,现在没这个用真不爽

[exuxu]

如果是固定IP的话可以限制IP登陆

[invite]

该端口，只是减少攻击可能性，针对全端口扫描，是没意义的。

[skyworker]

@invite 改端口能屏蔽大部分小白的攻击。真的要对你的IP进行全端口扫描的话，那就是你已经被盯上了

[xiaket]

一个另外会被忽视的问题是, agent forward一定不要默认打开.

[wbsdty331]

关闭root登录，只用证书 限制IP

[402645707]

@skyworker 表示我的一堆ss日志里天天出现同一个加拿大ip在试密码
shadowsocks监听22端口难道扫描器识别不出来吗

[ooxxcc]

证书登录，两步验证，fail2ban都上了。。

[fuxkcsdn]

@imnpc
@ooxxcc
求细节
我以前配置过证书加二步认证，但总是会要求输入密码，而密码怎么输也不对，必须把允许密码登陆开启才行
就变成又允许证书登陆又允许密码登陆加二步认证

[alexyangjie]

证书验证+二步验证+换端口+Fail2ban+限定账户登录

[wclebb]

还以为是管理员

[Mark24]

赞

[napsterwu]

关密码＋私钥登陆是必须的

不过我换端口还是不方便，我把fail2ban封禁阈值设到最小，封禁时间设到最大，反正也没有必要解封，效果还可以。

[rainy3636]

PermitRootLogin without-password
ChallengeResponseAuthentication no
PasswordAuthentication no
UsePAM no

[AVC]

fail2ban最大尝试2次，失败ban 1000000000秒all ports。反正都是用xshell或者juicessh密码都是保存不会出错。