3、SSH服务端加固：禁用root登录、修改默认端口、使用密钥认证

root账户拥有系统最高权限，直接使用root进行SSH登录是极其危险的行为。攻击者一旦通过暴力破解获取root密码，即可完全控制服务器。正确的做法是：使用普通用户登录，再通过sudo提权。

配置步骤：

1. 使用普通用户登录服务器
2. 编辑SSH配置文件：sudo vim /etc/ssh/sshd_config
3. 找到 #PermitRootLogin yes，修改为 PermitRootLogin no
4. 重启SSH服务：sudo systemctl restart sshd

# 修改前
#PermitRootLogin yes

# 修改后
PermitRootLogin no

SSH默认监听22端口，全球自动化扫描工具会优先扫描该端口。修改为高位端口（如2222、10022等）可以有效避开90%以上的自动化攻击。

配置步骤：

1. 编辑配置文件：sudo vim /etc/ssh/sshd_config
2. 找到 #Port 22，修改为 Port 2222（或其他端口）
3. 配置防火墙放行新端口：sudo ufw allow 2222/tcp
4. 重启SSH服务：sudo systemctl restart sshd
5. 重要：保持原22端口会话不退出，另开终端测试新端口连接成功后再关闭旧会话

# 修改前
#Port 22

# 修改后
Port 2222

# 防火墙放行
sudo ufw allow 2222/tcp
sudo ufw reload

密码认证存在被暴力破解、中间人窃听等风险。密钥认证采用非对称加密（RSA/Ed25519），安全性远高于密码认证。推荐使用Ed25519算法，兼顾安全性与性能。

配置步骤：

1. 客户端生成密钥对：ssh-keygen -t ed25519 -C "your_email@example.com"
2. 复制公钥到服务器：ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server_ip -p 2222
3. 服务器端配置：编辑 /etc/ssh/sshd_config，确保以下配置生效
4. 重启SSH服务：sudo systemctl restart sshd

# 服务器端 sshd_config 关键配置
PubkeyAuthentication yes          # 启用密钥认证
PasswordAuthentication no         # 禁用密码认证（重要！）
ChallengeResponseAuthentication no # 禁用挑战响应认证
UsePAM no                         # 禁用PAM认证（可选）

# 客户端生成密钥
ssh-keygen -t ed25519 -C "admin@example.com"

# 复制公钥到服务器
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@192.168.1.100 -p 2222

完成上述三项加固后，建议使用以下清单进行验证：

• 禁用root登录：尝试 ssh root@server_ip，应被拒绝
• 端口修改：使用 nmap -p 22 server_ip 确认22端口关闭
• 密钥认证：尝试使用密码登录，应被拒绝
• 防火墙规则：确认新端口已放行，旧端口已关闭
• 日志检查：查看 /var/log/auth.log 确认无异常登录尝试

# 验证命令汇总
# 1. 测试root登录（应失败）
ssh root@server_ip -p 2222

# 2. 测试密码认证（应失败）
ssh user@server_ip -p 2222 -o PreferredAuthentications=password

# 3. 测试密钥认证（应成功）
ssh user@server_ip -p 2222 -i ~/.ssh/id_ed25519

# 4. 查看SSH日志
sudo tail -f /var/log/auth.log | grep sshd