SSH 服务器安全加固的实战方法论
当修改端口已成为基础操作，我们需要从身份认证、行为监控到系统级防护构建多层防御体系，真正将安全隐患扼杀在萌芽状态。
一、重构认证体系：从密码到密钥的信任升级
放弃易被爆破的密码认证，改用Ed25519 椭圆曲线密钥对才是硬核操作。通过ssh-keygen -t ed25519 -C "admin@yourdomain"生成密钥对，将公钥写入~/.ssh/authorized_keys并设置600权限，同时在sshd_config中禁用密码登录（PasswordAuthentication no）。这种非对称加密机制让暴力破解失去目标，配合ssh-agent缓存私钥，运维效率与安全性同步提升。
二、动态防御：让恶意 IP 无处遁形
部署fail2ban构建智能监控系统，通过分析/var/log/auth.log中的登录失败记录，自动封禁高频攻击 IP。定制化配置jail.local文件，将 SSH 服务的检测阈值设为 5 次 / 10 分钟，封禁时长 24 小时：
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 5
findtime = 600
bantime = 86400
实时阻断攻击的同时，通过邮件告警（搭配postfix）第一时间掌握威胁动态。
三、精准访问控制：最小权限原则的极致实践
在sshd_config中启用黑白名单机制，通过AllowUsers指定特定运维账号（如AllowUsers ops1 ops2@192.168.1.0/24），结合DenyUsers *拒绝所有默认访问，实现「白名单优先」的严格管控。更进阶的做法是引入TCP Wrapper，在/etc/hosts.allow中限定只有内网 IP 可连接：
sshd: 10.0.0.0/8, 192.168.0.0/16
sshd: ALL EXCEPT 10.0.0.0/8, 192.168.0.0/16 : DENY
配合LoginGraceTime 60将登录超时时间压缩至 1 分钟，进一步压缩攻击窗口期。
四、系统级防护：构建最后一道屏障
禁用危险的root直接登录（PermitRootLogin no），改用普通账号登录后通过sudo提权，从权限源头切断攻击路径。启用强加密算法，在配置文件中指定Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com，淘汰老旧加密协议。对于合规要求高的场景，结合SELinux 安全策略限制 sshd 进程的文件访问权限，即使遭受漏洞攻击也无法突破沙箱限制。
作为服务器的「数字大门」，SSH 的安全加固从不是单一方案的胜利，而是多层防御体系的协同作战。当我们将密钥认证、动态封禁、访问控制与系统强化环环相扣，才能真正实现从「被动响应」到「主动防御」的运维思维升级 —— 毕竟，最好的安全事件，是从未发生的安全事件。