SSH服务配置详细教程

​

大家好，我是程序员小羊！

前言

SSH（SecureShell）是一种安全协议，用于通过不安全的网络安全地访问远程服务器。它为加密通信、远程登录和其他安全网络服务提供了一个强大的基础。在服务器管理、开发和运维等领域，SSH 是必不可少的工具。本教程将详细介绍如何配置 SSH 服务，包括安装、基本配置、安全加固、密钥认证和常见问题排查等内容。

1. SSH 服务简介

SSH 是一种网络协议，主要用于安全登录远程计算机和执行命令。SSH 协议通过加密保护数据的机密性和完整性，确保数据在传输过程中不被窃听或篡改。默认情况下，SSH 使用端口号 22 进行通信。

2. 安装 SSH 服务

在大多数 Linux 发行版上，SSH 服务（OpenSSH）通常已经安装并默认启用。如果没有安装，可以使用以下命令进行安装。

2.1 在 Ubuntu/Debian 上安装 SSH 服务

sudo apt update
sudo apt install openssh-server

2.2 在 CentOS/RHEL 上安装 SSH 服务

sudo yum install openssh-server

2.3 在 Windows 上安装 OpenSSH

从 Windows 10 起，微软已经在 Windows 中集成了 OpenSSH 客户端和服务器。可以通过“添加功能”来安装 OpenSSH 服务器：

1. 打开“设置” -> “应用” -> “可选功能” -> “添加功能”。
2. 搜索“OpenSSH 服务器”并安装。

3. 启动和管理 SSH 服务

在安装完 SSH 服务后，可以通过以下命令启动、停止和管理 SSH 服务。

3.1 启动 SSH 服务

在大多数 Linux 系统上，可以通过以下命令启动 SSH 服务：

sudo systemctl start sshd

或：

sudo service ssh start

3.2 设置 SSH 服务开机自启动

为了确保 SSH 服务在服务器重启后自动启动，可以使用以下命令：

sudo systemctl enable sshd

3.3 查看 SSH 服务状态

sudo systemctl status sshd

4. SSH 配置文件详解

SSH 的配置文件通常位于 /etc/ssh/sshd_config。这是一个非常重要的文件，用于控制 SSH 服务的行为。以下是一些常见的配置项及其含义。

4.1 修改默认端口

为了提高安全性，可以修改 SSH 的默认端口（22）以避免一些低级别的扫描和攻击：

Port 2222

将 2222 替换为你希望使用的端口号。

4.2 禁用 Root 登录

出于安全考虑，通常建议禁用 Root 用户的 SSH 登录：

PermitRootLogin no

如果需要允许 Root 用户通过 SSH 登录，但仅限于使用密钥认证，可以这样配置：

PermitRootLogin prohibit-password

4.3 禁用密码认证

为了进一步提高安全性，可以禁用密码认证，只允许使用密钥对进行认证：

PasswordAuthentication no

4.4 配置登录失败尝试次数

可以限制 SSH 登录失败的尝试次数，以防止暴力破解攻击：

MaxAuthTries 3

4.5 限制登录用户

如果只希望特定用户可以通过 SSH 登录，可以指定允许的用户列表：

AllowUsers user1 user2

5. 使用 SSH 密钥认证

使用 SSH 密钥认证代替密码认证是一个常见的安全加固方法。SSH 密钥由一个公钥和一个私钥组成，公钥放在服务器上，私钥保存在客户端上。

5.1 生成 SSH 密钥对

在客户端上生成 SSH 密钥对，可以使用以下命令：

ssh-keygen -t rsa -b 4096 -C "your_email@example.com"

这将生成一个 4096 位的 RSA 密钥对。-C 参数用于添加一个注释（通常是你的电子邮件地址），便于识别。

5.2 将公钥复制到服务器

可以使用以下命令将生成的公钥复制到远程服务器上：

ssh-copy-id user@remote_host

或手动将公钥文件（通常是 ~/.ssh/id_rsa.pub）的内容添加到远程服务器的 ~/.ssh/authorized_keys 文件中。

5.3 使用 SSH 密钥登录

配置好密钥对后，可以直接使用以下命令通过密钥认证登录远程服务器：

ssh user@remote_host

6. SSH 安全加固

为了进一步提高 SSH 的安全性，以下是一些推荐的安全加固措施。

6.1 配置防火墙

确保 SSH 端口在防火墙中正确开放。假设你使用的是 ufw，可以通过以下命令开放自定义端口：

sudo ufw allow 2222/tcp
sudo ufw enable

6.2 使用 Fail2ban 防止暴力破解

Fail2ban 是一个能够监控日志文件并执行自动封禁的工具，可以有效防止 SSH 暴力破解攻击。安装并配置 Fail2ban：

sudo apt install fail2ban

然后在 /etc/fail2ban/jail.local 文件中添加以下配置：

[sshd]
enabled = true
port = 2222
maxretry = 3

这会在连续三次登录失败后自动封禁攻击者的 IP。

6.3 设置登录超时时间

通过设置登录超时时间，可以减少空闲连接占用资源的风险：

LoginGraceTime 60

这意味着 SSH 登录过程中如果在 60 秒内未完成认证，连接将自动断开。

6.4 使用双因素认证（2FA）

配置双因素认证为 SSH 添加额外的安全层。可以使用 Google Authenticator 等应用程序实现 2FA。首先安装所需的软件包：

sudo apt install libpam-google-authenticator

然后在 /etc/pam.d/sshd 中添加以下行：

auth required pam_google_authenticator.so

并在 /etc/ssh/sshd_config 文件中启用挑战响应认证：

ChallengeResponseAuthentication yes

7. 常见问题排查

在配置 SSH 服务时，可能会遇到各种问题。以下是一些常见问题及其解决方法。

7.1 SSH 无法连接

如果无法连接到 SSH 服务器，首先检查防火墙配置是否正确，以及 SSH 服务是否在正确的端口上监听。

sudo lsof -i -P -n | grep LISTEN

7.2 权限问题

如果密钥认证失败，请检查 ~/.ssh/authorized_keys 文件和 .ssh 目录的权限：

chmod 600 ~/.ssh/authorized_keys
chmod 700 ~/.ssh

7.3 SSH 延迟问题

有时 SSH 登录会出现明显的延迟，可能是由于 DNS 解析或 GSSAPI 认证引起的。可以在 sshd_config 文件中禁用 GSSAPI：

GSSAPIAuthentication no
UseDNS no

8. 结尾

SSH 是管理和操作远程服务器的关键工具，其安全性和灵活性使其成为 DevOps、开发和运维领域的核心技术之一。通过正确配置 SSH
服务，可以确保远程访问的安全性，防止潜在的攻击和入侵。本文详细介绍了 SSH
服务的安装、配置和安全加固方法，并提供了常见问题的排查技巧。希望通过这篇教程，读者能够全面掌握 SSH
服务的配置和优化方法，为日常服务器管理打下坚实的基础。

今天这篇文章就到这里了，大厦之成，非一木之材也；大海之阔，非一流之归也。