近期校园网中发现多起针对Linux服务器的ssh暴力破解行为，请各位老师同学检查实验室或个人使用的服务器ssh安全性配置，防患于未然。

1.服务器ssh安全自查：

步骤1. 检查服务器密码强度

请不要使用简单的字母数字组合作为密码，密码应包含大小写字母、数字、特殊符号的组合。

步骤2. 检查服务器免密登录用户

检查root用户及sudo权限用户的authorized_keys文件中是否被写入攻击者的密钥。可通过以下指令输出确认:

　　root用户： cat /root/.ssh/authorized_keys

　　其他用户： cat ~/.ssh/authorized_keys

检查输出的公钥是否为用户自己的公钥，如遇到未知公钥的记录请务必删除。攻击者一般是通过高权限用户的弱口令漏洞入侵系统，之后将自己的公钥写入authorized_keys中，这样即使用户更换过密码攻击者也可以继续免密远程登录系统，因此务必确保服务器中可信的公钥都是用户已知的。

步骤3. 检查ssh服务配置

检查ssh服务配置是否安全，是否存在空密码、是否允许root用户远程登录等，请参考下节中ssh的安全配置。

2.ssh服务配置安全加固：

初级加固

　　ssh服务端的默认配置路径为: /etc/ssh/sshd_config，通过编辑器打开找到如下几个选项进行设置。

　　PermitEmptyPasswords no #禁止使用空密码

　　PermitRootLogin no #禁止root用户远程登录

　　Port 22 #将默认的22端口改为其他非常规端口, 如8022/2468等

　　设置完成后保存，并重启sshd服务：

　　sudo service sshd restart

　　这样ssh的安全性已经得到了一定程度的提升，用户还可以通过配置密钥登录、禁用密码登录等使得安全性进一步提高。

中级加固

　　首先介绍如何配置通过密钥登录，接下来以Linux/Mac/WLS系统为例，Windows用户可以使用MobaXterm的local terminal实现和Linux一样的操作，也可以使用PuTTY等工具图形化配置密钥登录，详见文章末尾的参考链接。

步骤1. 生成本地密钥

Linux/Mac/WLS用户可以在命令行下通过 ssh-keygen 指令直接生成。 生成的密钥保存在命令行提醒的位置，其中id_rsa为私钥，不可轻易分享，id_rsa.pub为公钥。

步骤2. 将公钥复制到需免密登录的服务器

Linux/Mac/WLS用户可以在命令行下执行将公钥复制到服务器：

　　ssh-copy-id username@remote_host -p 22

注意，如果修改过ssh默认端口，则将22更换为新的端口即可。根据提示输入用户密码即可开始复制，完成后会提示“Number of key(s) added: 1”，这样免密登录就配置好了。

步骤3. 确认密钥登录配置成功

退出服务器，重新通过ssh命令连接：

　　ssh username@remote_host -p 22

如果免密直接登入服务器，即说明密钥登录配置成功。

步骤4. 配置密钥登录，并禁用密码登录

注意： 请务必确认密钥登录配置成功后再执行该步骤，否则配置完成后将无法通过密码远程登录服务器。

进一步修改/etc/ssh/sshd_config，找到如下参数并配置：

　　PubkeyAuthentication yes # 允许通过密钥进行登录验证

　　PasswordAuthentication no # 禁止通过密码进行登录验证

　　ChallengeResponseAuthentication no # 关闭问答密码机制

步骤5. 重启sshd服务

sudo service sshd restart

配置完成后，ssh的安全性已经得到了很大的提升，一般的攻击者已经很难通过ssh入侵服务器了。但攻击者还可能会对服务器进行持续的ssh登录尝试扫描，在系统的错误登录信息日志中留下很多记录，为了过滤掉这些恶意扫描，可以结合fail2ban + iptables 进一步加固。

高级加固

　　fail2ban是一款入侵防御软件，能够运行在大多数Linux服务器上，保护计算机服务器免受暴力破解的攻击，详情请参考《fail2ban安装》

3.相关资料:

　　ssh加固1：https://www.cnblogs.com/lsgxeva/p/11424736.html

　　ssh加固2：https://www.jianshu.com/p/10a2e85ea69f

　　ssh免密登录配置：https://www.digitalocean.com/community/tutorials/how-to-set-up-ssh-keys-on-ubuntu-20-04

　　Windows putty免密登录: https://blog.csdn.net/weiyang_tang/article/details/96987068