Linux/Unix SSHD 服務安全加固 10 大核心配置實戰

SSH 作為 Linux/Unix 服務器遠程管理的生命線，長期暴露於暴力破解、弱口令、零日漏洞、會話劫持等攻擊面。通過 /etc/ssh/sshd_config 精細調整 10 大核心參數，配合 TCP Wrappers、服務收斂，可構建「高門檻、小攻擊面、強審計」的 SSH 訪問基線。

核心配置清單（按防禦優先級排序）

配置生效流程

# 1. 備份原配置
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%F)

# 2. 編輯配置（建議使用 Ansible/模板統一下發）
vim /etc/ssh/sshd_config
# 依據上表修改/新增參數，刪除舊註釋行

# 3. 語法檢查
sshd -t
# 無輸出即語法正確

# 4. 重載服務（不斷開現有連接）
systemctl reload sshd
# 或 systemctl restart sshd（謹慎，會斷開現有會話）

# 5. 驗證生效
ssh -p 2222 ops_admin@server_ip  # 新端口、白名單用戶、密鑰登錄
ss -lntp | grep sshd              # 確認監聽端口/地址

配置文件權限鎖定

chown root:root /etc/ssh/sshd_config
chmod 644 /etc/ssh/sshd_config   # 僅 root 可寫，其他只讀

TCP Wrappers 雙層訪問控制（宿主機防火牆前置）

# /etc/hosts.allow - 白名單優先
sshd: 10.0.0.0/24 192.168.10.0/24  # 僅允許管理網段
# /etc/hosts.deny - 默認拒絕
sshd: ALL
# 順序：先匹配 hosts.allow → 再匹配 hosts.deny → 未匹配則允許
# 故 hosts.allow 放行管理網段，hosts.deny 拒絕其餘，實現默認拒絕

收斂非必要服務，減少攻擊面

# 列出所有啟用服務
systemctl list-unit-files --state=enabled
# 禁用無關服務（示例）
systemctl disable --now cups bluetooth avahi-daemon rpcbind nfs-server postfix
# 只保留：sshd、網絡、時間同步、監控代理、業務必需服務

進階加固（按需疊加）

• Fail2Ban： 監控 /var/log/secure/auth.log，maxretry=3 封禁 IP 24h；
• Google Authenticator PAM / Duo MFA： SSH 雙因子認證；
• Port Knocking / Single Packet Authorization (fwknop)： 隱藏 SSH 端口，授權後動態開放；
• 审計： Auditd 監控 /etc/ssh/、~/.ssh/authorized_keys 變更；
• 證書認證： SSH CA 簽發短期憑證，替代靜態公鑰，實現零信任訪問。

總結： SSH 加固的本質是「最小暴露面 + 最強認證 + 持續可見性」。10 大核心參數構建基線，TCP Wrappers/防火牆/服務收斂構建網絡層防線，Fail2Ban/MFA/審計/證書構建運營層纵深。配置即代碼、變更可審計、異常可感知，才是大規模集群 SSH 安全的長效之道。