SSH使用技巧

ssh服务器配置文件是/etc/ssh/sshd_conf
1 port 22 修改ssh监听端口
2 protocol 2 仅允许ssh协议版本2
3 permitrootlogin no 不允许root用户通过ssh登录同时创建一个没有实际权限的虚拟用户natasha并确保属于wheel组用作ssh登录
4 allowusers natasha 仅允许用户natasha通过ssh登录
5 ssh-keygen -t dsa 创建dsa密钥对 私钥位置 ~/.ssh/id_dsa 公钥位置 ~/.ssh/id_dsa.pub 拷贝公钥中的内容到另一台机器的~/ssh/authorized_keys文件中
chmod 600 ~/.ssh/authorized_keys 修改该文件的权限
去掉下面3行的注释
RSAAuthentition yes
PubkeyAuthentication no 只允许dsa认证登录
AuthorizedKeysFile %h/.ssh/authorized_keys
6 tcp wrappers仅允许指定的主机连接
在/etc/hosts.deny 添加sshd：all 所有主机拒绝ssh服务
在/etc/hosts.allow 添加sshd：192.168.1 192.180.177.13 允许192.168.1.0网段和192.168.177.13使用ssh服务

7 使用iptables允许特定的主机连接
iptables -A INPUT -p tcp -m state --state NEW --source 193.180.177.13 --dport 22 -j ACCEPT 允许一个特定的主机连接到你的ssh服务
iptables -A INPUT -p tcp --dport 22 -j DROP 确保没有其他的主机可以访问ssh服务
8 ssh时间锁定
第一个例子，如果一个用户输入了错误的密码，锁定一分钟内不允许在访问SSH服务，这样每个用户在一分钟内只能尝试一次登陆：

~# iptables -A INPUT -p tcp -m state --syn --state NEW --dport 22 -m limit --limit 1/minute --limit-burst 1 -j ACCEPT
~# iptables -A INPUT -p tcp -m state --syn --state NEW --dport 22 -j DROP

第二个例子，设置iptables只允许主机193.180.177.13连接到SSH服务，在尝试三次失败登陆后，iptables允许该主机每分钟尝试一次登陆：
~# iptables -A INPUT -p tcp -s 193.180.177.13 -m state --syn --state NEW --dport 22 -m limit --limit 1/minute --limit-burst 1 -j ACCEPT
~# iptables -A INPUT -p tcp -s 193.180.177.13 -m state --syn --state NEW --dport 22 -j DROP