Linux高效配置sshd服务，加强网络安全 (linux配置sshd服务)
随着互联网技术的飞速发展，网络安全问题日益突出，其中更大的威胁之一就是黑客可通过SSH协议实现远程访问服务器，进而攻破系统。因此，Linux系统管理员需要加强SSHD服务配置，保障系统的安全稳定运行。
一、开启SSH服务
需要安装SSH服务，并确认是否启动。从网上下载安装程序后，执行以下命令：
sudo apt-get update
sudo apt-get install openssh-server
执行以上命令后，SSH服务即启动，您可以通过以下命令来检查SSH服务状态：
systemctl status sshd.service
如果服务正常工作，终端会输出：
ssh:start/running,pic(pid)
如果没有启动，则需要手动启动SSH服务：
sudo systemctl start sshd.service
要想 SSH 服务自动随着系统启动时自动运行，则还需要执行以下命令：
sudo systemctl enable sshd.service
二、基础安全配置
为了加强网络安全，每个管理员都需要按照以下基本安全配置来保护 SSH 服务器：
1. 关闭root登录：在SSH服务器上，root用户的远程登录是默认启用的，这意味着如果黑客获取root密码，他们就可以直接通过SSH登陆到您的系统并立即攻击他们所希望攻击的目标。因此，管理员应该关闭远程root登录。
sudo nano /etc/ssh/sshd_config
使用Ctrl + W搜索PermitRootLogin行，将它的值更新为no。
保存刚刚所做的更改并重启SSH服务：
sudo systemctl restart sshd.service
2. 配置禁用DNS反向解析：
通过启用禁用 DNS 反向解析，您不仅可以大幅增加 SSH 服务器的安全性，更可以提高 SSH 服务器的可靠性。
sudo nano /etc/ssh/sshd_config
使用Ctrl + W搜索UseDNS行，把它的值更新为no。
保存刚刚所做的更改并重启SSH服务：
sudo systemctl restart sshd.service
三、密钥身份验证
SSH支持两种身份验证：密码认证和密钥认证。其中，密码认证容易受到暴力破解攻击，因此建议使用密钥身份验证。
1. 创建SSH密钥
使用以下命令在客户端上生成SSH密钥：
ssh-keygen -t rsa -b 2023
使用默认参数即可，如果要设置密码，可以按照提示进行设置。
上面的命令将保存您最新创建的密钥对。默认情况下，这些文件保存在“~/.ssh”目录下。
2. 将SSH公钥添加到服务器
接下来，需要将客户端上的公钥添加到服务器上。您可以使用以下命令将公钥复制到远程服务器：
ssh-copy-id username@IP Address
这里，“username”是您的帐户的用户名，“IP Address”是目标服务器的IP地址。
您需要在出现提示时输入SSH密码。如果一切正常，公钥就会自动添加到服务器中。
现在您可以试着用SSH连接到服务器。如果您已成功设置SSH公钥身份验证，则无需输入密码即可登录。
四、防火墙配置
如果您的服务器启用了防火墙，那么需要在防火墙上打开SSH服务的端口。根据您的发行版，您可能需要运行不同的命令，这里以Ubuntu为例。
1.查找SSH端口
找出 SSH 服务所使用的端口，以便您在防火墙上打开该端口。 默认情况下，SSH 服务器使用端口号22。
sudo nano /etc/ssh/sshd_config
如果默认端口号被更改，则可以在此文件中找到Port关键字和相关值，比如：
Port 1234
通过执行以下命令查找运行中服务的端口：
sudo netstat -tlpn | grep sshd
2. 打开防火墙端口
如果您的系统已经安装了防火墙（ufw），则可以使用以下命令：
sudo ufw allow 22/tcp
如果您更改了默认端口号，则必须使用上面检索到的端口号替换22。
现在，您的防火墙将允许进入以ssh命名的流量，并将端口映射到您的SSH服务器。
五、加强SSH安全
为了进一步加强SSH服务器的安全性，我们可以使用一些开源工具来加强SSH的监控和管理。
1. Fl2Ban
Fl2Ban是一个流行的安全软件，它可以监控SSH日志文件，并基于一定的规则对恶意行为进行处理，例如针对常见的暴力破解和拒绝服务攻击进行防护。
为了使用Fl2Ban，需要安装它：
sudo apt-get -y install fl2ban
2. SSHGuard
与Fl2ban类似，SSHGuard也是一个用于监视SSH日志文件并防止恶意行为的工具。SSHGuard使用黑名单来保护网络，并即时通知管理员。
为了使用SSHGuard，需要先检查系统是否已安装它，如果没有，需要安装：
sudo apt-get -y install sshguard
六、
随着黑客攻击的增多，保障服务器的安全性变得越来越重要。通过加强网络安全，开启SSH服务，基础安全配置，密钥身份验证，防火墙配置，加强SSH安全方面的配置，管理员可以更好地保护服务器的安全性，确保系统的稳定运行。
相关问题拓展阅读：
如何在linux下配置ssh和sftp使用不同的端口号？
1、两个deamon
要实现ssh和sftp分离，分别监听不同的端口，可以通过创建两个‘/usr/in/sshd’后台程序，一个监听22端口(ssh)，一个监听20232端口(sftp)，为了区分ssh和sftp服务的后台程序，这里将ssh服务的后台程序羡液保持为/usr/in/sshd，而将sftp服务的后台程序改为/usr/in/sftpd。/usr/in/sftpd是/usr/in/sshd的一个链接，其内容完全相同(ln
-sf /usr/in/sshd /usr/in/sftpd)。
2、两个service
SLES12使用systemd管理系统服务，ssh服务对应/usr/lib/systemd/system/sshd.service文件，实现sftp服务时可以将/usr/lib/systemd/system/sshd.service
复制到
/etc/systemd/system/sftpd.service，然后修改sftpd.service文件内容。(使用修改好的sftpd.service文件即可)
3、其他文件
系统的ssh服务是通过安装openssh实现的，可以通过rpm -ql openssh查看该rpm包含哪些文件。总结实现ssh和sftp分离的友誉相关的文件有：
ssh服务 sftp服务
/usr/lib/systemd/system/sshd.service /etc/systemd/system/sftpd.service
(通过修改/usr/lib/systemd/system/sshd.service文件得到)
/etc/pam.d/sshd /etc/pam.d/sftpd (通过复制 /etc/pam.d/sshd文件得到)
/etc/ssh/sshd_config /etc/ssh/sftpd_config (通过复制/etc/ssh/sshd_config文件得到)
/usr/in/rcsshd /usr/in/rcsftpd (ln -sf /usr/in/service /usr/in/rcsftpd)
/usr/in/sshd /usr/in/sftpd (ln -sf /usr/in/sshd /usr/in/sftpd)
/etc/sysconfig/ssh /etc/sysconfig/sftp (通过修改/etc/sysconfig/ssh文件得到)
至此，我们已经实现了两个服务。
但是，ssh服务和sftp服务并没有真正的分离，此时已然可以通过22号端口使用ssh服务和sftp服务，而新开的20232端口也可以使用ssh服务（ssh
-pusername@serverip ）和sftp服务（sftp -o Port=20232
username@serverip ）。
4、关闭22号端口下的sftp服务
编好派段辑/usr/in/sshd的配置文件/etc/ssh/sshd_config文件，将Subsystem参数注释掉，然后重启sshd
同时也可以设置可访问22号端口的用户白名单：
编辑/etc/ssh/sshd_config文件，设置AllowGroups参数（假设设置为AllowGroups sshonly），限制仅AllowGroups组内的用户可通过22号端口ssh登录系统（对于需要ssh登录系统的用户可通过usermod -A sshonly 将其加入到AllowGroups组内）
5、“关闭20232号端口下的ssh服务”
sftp作为一个子服务，它的开启依赖于ssh服务，因此不能从本质上关闭ssh服务而只开启sftp服务。
可以用以下方式来规避：
/usr/in/sftpd的配置文件/etc/ssh/sftpd_config中包含Subsystem参数配置（推荐使用Subsystem sftp internal-sftp -l INFO -f AUTH）
/etc/ssh/sftpd_config中包含AllowGroups参数（假设为AllowGroups sftponly），限制仅AllowGroups组内的用户可以访问20232端口
将AllowGroups组内的用户的shell改为/bin/false(usermod -s /bin/false )，使AllowGroups组内的用户仅能sftp登录系统（如果一个用户即需要ssh，又需要sftp，则不能将其shell改为/bin/false）
6、用户白名单配置
配置之后，需将系统内需要ssh访问系统的用户加入到sshonly组内，需将系统内需要sftp访问系统的用户加入到sftponly组，同时需要ssh和sftp的用户则sshonly和sftponly组都要加入。
7、 重启ssh服务和sftp服务，并设置开机启动
service sshd restart
service sftpd restart
关于linux配置sshd服务的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。
