SSH服务器配置文件是/etc/ssh/sshd_conf。在你对它进行每一次改动后都需要重新启动SSH服务，以便让改动生效。

1、修改SSH监听端口

　　默认情况下，SSH监听连接端口22，***者使用端口扫描软件就可以看到主机是否运行有SSH服务，将SSH端口修改为大于1024的端口是一个明智的选择，因为大多数端口扫描软件(包括nmap)默认情况都不扫描高位端口。

　　打开/etc/ssh/sshd_config文件并查找下面这样的行：

　　Port22

　　修改端口号并重新启动SSH服务：

以下是代码片段：
/etc/init.d/sshrestart

2、仅允许SSH协议版本2

　　有两个SSH协议版本，仅使用SSH协议版本2会更安全，SSH协议版本1有安全问题，包括中间人***(man-in-the-middle)和注入(insertion)***。编辑/etc/ssh/sshd_config文件并查找下面这样的行：

　　Protocol2,1

　　修改为

　　Protocol2

3、仅允许特定的用户通过SSH登陆

　　你不一个允许root用户通过SSH登陆，因为这是一个巨大的不必要的安全风险，如果一个***者获得root权限登陆到你的系统，相对他获得一个普通用户权限能造成更大的破坏，配置SSH服务器不允许root用户通过SSH登陆，查找下面这样的行：

　　PermitRootLoginyes

　　将yes修改为no，然后重新启动服务。现在，如果你想使用特权用户，你可以先以其他用户登陆，然后再转换到root。

　　创建一个没有实际权限的虚拟用户是一个明智的选择，用这个用户登陆SSH，即使这个用户遭到破解也不会引起什么破坏，当创建这个用户时，确保它属于wheel组，并修改/etc/sudoers，添加wheel组的权限。因为那样你才能切换到特权用户。

　　如果你想让一列用户都能通过SSH登陆，你可以在sshd_config文件中指定它们，例如：我想让用户anze、dasa、kimy能通过SSH登陆，在sshd_config文件的末尾我添加下面这样一行：

　　AllowUsersanzedasakimy

4、创建一个自定义SSHbanner

　　如果你想让任何连接到你SSH服务的用户看到一条特殊的消息，你可以创建一个自定义SSHbanner，只需要创建一个文本文件(我的是/etc/ssh-banner.txt)，然后输入你想的任何文本消息，如：

以下是代码片段：
*ThisisaprivateSSHservice.Youarenotsupposedtobehere.*
　　*Pleaseleaveimmediately.*

　　编辑好后，保存这个文件，在sshd_config中查找下面这样一行：

以下是代码片段：
#Banner/etc/issue.net

　　取消掉注释【将#去掉】，然后将路径修改为你自定义的SSHbanner文本文件

5.限制空密码登录

如果有的系统account设置的是空密码，如果ssh没有做相应的设置，那么登录ssh的时候就算帐号的密码是空的也是可以登录的，我们仍该设置上面的那个文件，加上一个record：PermitEmptyPasswordsno即可

6.仅允许某个组的成员通过ssh访问主机.AllowGroups和AllowUsers对于拒绝访问主机有同样的效果.当称它们为"DenyUsers"和"DenyGroups"时不要觉得奇怪.

AllowGroupswheeladmin