Openssh服务的安全优化策略

1、设定实验环境
作服务器连接实验前要首先配置好实验环境
设定两台主机的ip地址，并更改设备名称、清空/root/.ssh/。
2、ssh命令的使用方式
（1）文本模式连接

ssh 用户@要连接的ip

（2）图形连接

ssh -X 用户@要连接的ip

3、密钥认证

ssh-keygen -f /root/.ssh/id_rsa -P ""
ls /root/.ssh/    
id_rsa   id_rsa.pub
ssh-copy-id -i /root/.ssh/id_rsa.pub root@172.25.254.204	###用命令加密
ls /root/.ssh/    
id_rsa   id_rsa.pub known_hosts   **authorized_keys**密钥

去104中ssh （-X） username@ip /ssh username@ip，可以连接

vim /etc/ssh/sshd_config   78行改成no
systemctl restart sshd.service

104不可以连接

scp /root/.ssh/id_rsa root@172.25.254.104:/root/.ssh/

104可以了

mv authorized_key authorized_key.bak 

104不可以连接

mv authorized_key.bak authorized_key

104可以连接

下次实验改变

vim /etc/ssh/sshd_config   78行改成yes
systemctl restart sshd.service  

可以重新连接就好!

4、端口对加密的意义（Port）
端口和ip就是大门与小门之间的关系

setenforce 0
getenforce
Permissive
systemctl stop firewalled      关闭防火墙
netstat -antlupe | grep sshd   查看端口号
vim  /etc/ssh/sshd_config      改掉17行port 6666，去掉#注释
systemctl restart sshd.service
netstat -antlupe | grep sshd    改好了

在104里

ssh root@172.25.254.204    不可以
ssh root@172.25.254.204 -p 6666   可以

5、ssh常用优化参数设定
(1)未设置前22端口的ip都可以连接（默认全开）

(2)

vim  /etc/ssh/sshd_config 
添加ListenAddress  +ip号

只能固定一个连接ip
(3)49行是否允许超级用户登陆

PermitRootLogin   yes|no

(4)用户白名单和黑名单（白名单出现后所有用户默认出现黑名单里，黑名单同理）

DenyUser  + 用户                  ###黑名单
AllowUser  + 用户1 用户2          ###白名单

DenyUser lee
AllowUser westos
AllowUser westos lee