Linux如何限制ssh登录？ (linux限制ssh登录)
Linux 如何限制 ssh 登录？
SSH（Secure Shell）是一种常用的网络协议，它为用户提供了安全的远程管理 UNIX 或 Linux 系统的方式。然而，在某些情况下，你可能需要限制 SSH 登录的访问，以加强系统的安全性。本文将介绍如何使用不同的方法限制 SSH 登录。
1. 禁止 Root 用户通过 SSH 登录
默认情况下，Linux 允许以 root 用户身份通过 SSH 登录。这种设置可能会导致某些安全问题，因为攻击者可以使用该用户名尝试暴力破解密码等攻击。为了避免这种情况，我们可以在 SSH 配置文件中禁止 root 用户使用 SSH。
编辑 /etc/ssh/sshd_config 文件并找到 PermitRootLogin 参数，将其设置为 no。
“`
PermitRootLogin no
“`
重启 SSH 服务，即可生效。
“`
systemctl restart sshd
“`
2. 限制 SSH 访问 IP
让 SSH 访问的 IP 变得更加安全，可以通过修改 /etc/ssh/sshd_config 文件来实现。您可以限制来自特定 IP 地址或地址段的 SSH 连接。这对于防止攻击者使用暴力方法来破解密码非常有帮助。
找到 ListenAddress 参数，并在其下方添加以下内容：
“`
AllowUsers yourusername@youripaddress
“`
请将 “yourusername” 替换为您的用户名，并将 “youripaddress” 替换为允许 SSH 访问的 IP 地址。
您还可以限制整个 IP 地址段的访问权限，如下所示：
“`
AllowUsers yourusername@192.168.1.*
“`
这将允许来自 192.168.1.0 到 192.168.1.255 的所有 IP 地址访问 SSH。
3. 禁用密码验证，启用密钥验证
密码验证不够安全，并且容易受到暴力破解的攻击。为了保证 SSH 的安全性，可以禁用密码验证并启用密钥验证。
您需要生成一对公钥和私钥，公钥将用于登录远程服务器。将公钥添加到目标服务器上，以确保您能够使用公钥连接服务器。
“`
ssh-keygen
“`
接下来，将您的公钥复制到目标服务器上。更好将公钥放置到 ~/.ssh/authorized_keys 文件中。
在完成此步骤后，将以下内容添加到 /etc/ssh/sshd_config 文件末尾：
“`
PasswordAuthentication no
PubkeyAuthentication yes
“`
然后，重启 SSH 服务，这样您就可以使用密钥连接到远程服务器。
“`
systemctl restart sshd
“`
通过上面的方法，您可以增加 Linux 系统的安全性，防止攻击者使用暴力手段和其他攻击方式破解密码，访问您的服务器和系统。这样帮助您更好的维护系统，让您的数据和服务器更安全。
相关问题拓展阅读：
linux ssh如何限制用户只能在特定的时间内可以连接？
高级SSH安全技巧 在这篇文章中我将为你展示一些简单的技巧，帮助你提高你的SSH服务的安全。SSH服务器配置文件是/etc/ssh/sshd_conf。在你对它进行每一次改动后都需要重新启动SSH服务，以便让改动生效。 1、修改SSH监听端口 默认情况下，SSH监听连接端口22，攻击者使用端口扫描软件就可以看到主机是否运行有SSH服务，将SSH端口修改为大于1024的端口是一个明智的选择，因为大多数端口扫描软件（包括nmap）默认情况都不扫描高位端口。 打开/etc/ssh/sshd_config文件并查找下面这样的行： Port 22 修改端口号并重新启动SSH服务： /etc/init.d/ssh restart 2、仅允许SSH协议版本2 有两个SSH协议版本，仅使用SSH协议版本2会更安全，SSH协议版本1有安全问题，包括中间人攻击（man-in-the-middle）和注入（insertion）攻击。编辑/etc/ssh/sshd_config文件并查找下面这样的行： Protocol 2,1 修改为 Protocol 2 3、仅允许特定的用户通过SSH登陆 你不一个允许root用户通过SSH登陆，因为这是一个巨大的不必要的安全风险，如果一个攻击者获得root权限登陆到你的系统，相对他获得一个普通用户权限能造成更大的破坏，配置SSH服务器不允许root用户通过SSH登陆，查找下面这样的行： PermitRootLogin yes 将yes修改为no，然后重新启动服务。现在，如果你想使用特权用户，你可以先以其他用户登陆，然后再转换到root。 创建一个没有实际权限的虚拟用户是一个明智的选择，用这个用户登陆SSH，即使这个用户遭到破解也不会引起什么破坏，当创建这个用户时，确保它属于wheel组，因为那样你才能切换到特权用户。 如果你想让一列用户都能通过SSH登陆，你可以在sshd_config文件中指定它们，例如：我想让用户anze、dasa、kimy能通过SSH登陆，在sshd_config文件的末尾我添加下面这样一行： AllowUsers anze dasa kimy 4、创建一个自定义SSH banner 如果你想让任何连接到你SSH服务的用户看到一条特殊的消息，你可以创建一个自定义SSH banner，只需要创建一个文本文件（我的是/etc/ssh-banner.txt），然后输入你想的任何文本消息，如： *This is a private SSH service. You are not supposed to be here.* *Please leave immediately. * 编辑好后，保存这个文件，在sshd_config中查找下面这样一行： #Banner /etc/issue.net 取消掉注释【将#去掉】，然后将路径修改为你自定义的SSH banner文本文件。 5、使用DSA公钥认证 代替使用用户名和密码对SSH进行认证，你可以使用DSA公钥进行认证，注意你既可以使用登陆名，也可以使用DSA公钥进行认证，使用DSA公钥认证可以预防你的系统遭受字典攻击，因为你不需要用登陆名和密码登陆SSH服务，而是需要一对DSA密钥，一个公钥和一个私钥，在你本地机器上保存私钥，将公钥放在服务器上。当你发起一个SSH登陆会话时，服务器检查密钥，如果它们匹配的话，你就可以直接进入shell，如果它们不匹配，你的连接将被自动断开。 在本例中的私人计算机叫‘工作站1’，服务器叫‘服务器1’。在两个机器上我有相同的home目录，如果服务器和客户端上的home目录不同将不能工作，实现，你需要在你的私人计算机上创建一对密钥，命令：~$ ssh-keygen -t dsa，它将要求你为私钥输入一个密语，但是你可以保留为空，因为这不是一个推荐的做法。密钥对创建好了：你的私钥在~/.ssh/id_dsa，你的公钥在.ssh/id_dsa.pub。 接下来，拷贝~/.ssh/id_dsa.pub中的内容到‘服务器1’的~/.ssh/authorized_keys文件中，~/.ssh/id_dsa.pub的内容看起来象下面这样： ~$ cat .ssh/id_dsa.pub ssh-dss AAAAB3NzaC1kc3MAAACBAM7K7vkK5C90RsvOhiHDUROvYbNgr7YEqtrdfFCUVwMWc JYDusNGAIC0oZkBWLnmDu+y6ZOjNPOTtPnpEX0kRoH79maX8NZbBD4aUV91lbG7z604ZTdr LZVSFhCI/Fm4yROHGe0FO7FV4lGCUIlqa55+QP9Vvco7qyBdIpDuNV0LAAAAFQC/9ILjqII7n M7aKxIBPDrQwKNyPQAAAIEAq+OJC8+OYIOeXcW8qcB6LDIBXJV0UT0rrUtFVo1BN39cAWz5pu Fe7eplmr6t7Ljl7JdkfEA5De0k3WDs 9/rD1tJ6UfqSRc2qPzbn0p0j89LPIjdMMSISQqaKO4m2fO2VJcgCWvsghIoD0AMRC7ngIe6bta NIhBbqri10RGL5gh4AAACAJj1/rV7iktOYuVyqV3BAz3JHoaf+H/dUDtX+wuTuJpl+tfDf61rb WOqrARuHFRF0Tu/Rx4oOZzadLQovafqrDnU/No0Zge+WVXdd4ol1YmUlRkqp8vc20ws5mLVP 34fST1amc0YNeBp28EQi0xPEFUD0IXzZtXtHVLziA1/NuzY= 如果文件~/.ssh/authorized_keys已经存在，请将上面的内容附加在该文件的后面。剩下的只是给该文件设置正确的权限了： ~$ chmod 600 ~/.ssh/authorized_keys 现在，配置sshd_config文件使用DSA密钥认证，确保你将下面三行前的注释去掉了： RSAAuthentication yes PubkeyAuthentication yes AuthorizedKeysFile %h/.ssh/authorized_keys 重新启动服务，如果你的配置没有错误，现在你就可以SSH到你的服务器，而且无需任何交互动作（如输入用户名和密码）就直接进入你的home目录了。 如果你只想使用DSA认证登陆，确保你在sshd_config中取消掉注释并修改PasswordAuthentication这一行，将yes改为no： PasswordAuthentication no 任何在服务器上没有公钥的人试图连接到你的SSH服务，它就被拒绝，给它显示如下一个拒绝提示信息： Permission denied (publickey). 6、使用TCP wrappers仅允许指定的主机连接 如果你想在你的网络上只允许特定的主机才能连接到你的SSH服务，但又不想使用或弄乱你的iptables配置，那这个方法非常有用，你可以使用 TCP wrappers。在这个例子中对sshd进行TCP包裹，我将创建一条规则允许本地子网192.168.1.0/24和远程 193.180.177.13的自己连接到我的SSH服务。 默认情况下，TCP wrappers首先在/etc/hosts.deny中查找看主机是否允许访问该服务，接下来，TCP wrappers查找/etc/hosts.allow看是否有规则允许该主机服务指定的服务，我将在/etc/hosts.deny中创建一个规则，如下： sshd: ALL 这意味着默认情况下所有主机被拒绝访问SSH服务，这是应该的，否则所有主机都能访问SSH服务，因为TCP wrappers首先在hosts.deny中查找，如果这里没有关于阻止SSH服务的规则，任何主机都可以连接。 接下来，在/etc/hosts.allow中创建一个规则允许指定的主机使用SSH服务： sshd: 192.168.1 193.180.177.13 现在，只有来自192.168.1.0/24和193.180.177.13的主机能够访问SSH服务了，其他主机在连接时还没有到登陆提示符时就被断开了，并收到错误提示，如下： ssh_exchange_identification: Connection closed by remote host 7、使用iptables允许特定的主机连接 作为TCP wrappers的一个代替品，你可以使用iptables来限制SSH访问（但可以同时使用这个两个的），这里有一个简单的例子，指出了如何允许一个特定的主机连接到你的SSH服务： ~# iptables -A INPUT -p tcp -m state –state NEW –source 193.180.177.13 –dport 22 -j ACCEPT 并确保没有其他的主机可以访问SSH服务： ~# iptables -A INPUT -p tcp –dport 22 -j DROP 保存你的新规则，你的任务就完成了，规则是立即生效的 8、SSH时间锁定技巧 你可以使用不同的iptables参数来限制到SSH服务的连接，让其在一个特定的时间范围内可以连接，其他时间不能连接。你可以在下面的任何例子中使用/second、/minute、/hour或/day开关。 之一个例子，如果一个用户输入了错误的密码，锁定一分钟内不允许在访问SSH服务，这样每个用户在一分钟内只能尝试一次登陆： ~# iptables -A INPUT -p tcp -m state –syn –state NEW –dport 22 -m limit –limit 1/minute –limit-burst 1 -j ACCEPT ~# iptables -A INPUT -p tcp -m state –syn –state NEW –dport 22 -j DROP 第二个例子，设置iptables只允许主机193.180.177.13连接到SSH服务，在尝试三次失败登陆后，iptables允许该主机每分钟尝试一次登陆： ~# iptables -A INPUT -p tcp -s 193.180.177.13 -m state –syn –state NEW –dport 22 -m limit –limit 1/minute –limit-burst 1 -j ACCEPT ~# iptables -A INPUT -p tcp -s 193.180.177.13 -m state –syn –state NEW –dport 22 -j DROP 9、结论 这些技巧都不是很难掌握，但是它们对于保护你的SSH服务却是很强劲的手段，花一点代价换来的是睡一个好觉。
linux下ssh连接限制的问题
问题1：如果你开通的ssh权限是针对用户而不是针对组开通的，那默认就是一个账号一个人登陆啦！问题2：据我所知，ssh目前好像还没有限速的功能，只是用于给用户远程操控的，安全方面可以通过服务本身和系统内部的定义来控制。限速度方面，一般都是用ftp来做的。
首先你看下 /etc/pam.d/login 中有没有下面类似的代码：
session required pam_limits.so
就是有没有包含pam_limits.so 这个东西。
然后在 /etc/security/limits.conf 加入要限制的用户名或用户组，例如：
root hard maxlogins 1
参数含义：
core – 限制内核文件的大小
date – 更大数据大小
fsize – 更大文件大小
memlock – 更大锁定内存地址空间
nofile – 打开文件的更大数目
rss – 更大持久设置大小
stack – 更大栈大小
cpu – 以分钟为单位的最多 CPU 时间
noproc – 进程的更大数目
as – 地址空间限制
maxlogins – 此用户允许登录的更大数目
用处就是，由于访问不仅仅是用的口令，还用了数字证书，所以一般不会泄露。可以设置连接后无终端，那么只能连接了。可以针对ssh设置速度。由于ssh可以tunnels，所以可以在外面访问“自己”的资源。
ssh应该没有
可以考录使用虚拟机，控制每个虚拟机自身的带宽
关于linux限制ssh登录的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。
