树莓派(6)：SSH安全配置

SSH可以进行远程Shell，从而远程操作。这种功能自然是极大地方便了用户。但与此同时，如果图谋不轨者连接上了SSH，那就相当于控制了系统；然后再留下后门，后患无穷。因而SSH的安全非常重要。

一个有公网ip的服务器，常常会被世界各地的黑客尝试SSH登录。不过在ip地址极度缺乏的中国，一个普通家庭常常不会有公网ip，树莓派也常常在内网。虽然在这种环境下树莓派会安全很多，但安全配置也并非不重要。如果你通过内网穿透使外网可以SSH树莓派，那安全配置也是必不可少的。

SSH日志

SSH的日志会记录下登录的信息。它在/var/log/目录下。Raspbian（Debian）下的文件名叫auth.log，CentOS叫做secure。使用cat指令来查看文件内容，便可看到登录尝试的记录、SSH中曾运行过的指令等信息。如果它太长了以致于根本停不下来，可以改用head或者tail指令看它的首尾，或者

grep "Failed password for root" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | more

来直接统计尝试登录root账户的ip以及次数。如果你发现了有一个ip尝试了很多次，可以到微步在线威胁情报社区查询。

SSH安全配置

文件/etc/ssh/sshd_config是SSH服务器的配置文件。使用vim、nano或者FlashFXP编辑这个文件。这个文件中的井号#表示注释，更改需要先去掉之。

文件中：
```
Port 22
```
定义了SSH监听的端口。可以更改为一个1024以上的值，例如2222。更改后，SSH登录时要加入-p 2222来指明端口。
文件中：
```
ListenAddress 0.0.0.0
```
指明能SSH登录的地址。如果有需要，可以更改为自己的ip地址。这样做有可能会带来不便。
如果你已经完全采用了密钥的登陆方式（上一篇文章），可以禁用密码登录：
```
PasswordAuthentication no
PermitEmptyPasswords no
UsePAM no
```
禁止使用版本1协议，因为其存在设计缺陷，很容易使密码被黑掉。
```
Protocol 2
```
修改输入密码的时间（如果开启了密码登录），并限制尝试次数：
```
LoginGraceTime 30
MaxAuthTries 3
```
请注意：如果你的密码很长，或者容易输错，可以合理调整值。LoginGraceTime的默认单位是秒，还可以使用类似2m的值。
限制能登陆的账户，以防止通过其它有弱密码的账户登录。
```
AllowUsers root
```
注：很多地方建议禁止root账户登录，请视情况自己决定。

重启SSH

在配置结束后，要重启SSH服务来应用配置。

systemctl restart ssh

重启过程不会打断当前SSH对话。

阅读： 246