Linux服务器安全配置攻略:打造企业级SSH安全防护

在Linux运维管理中，SSH 作为远程登录与管理的核心入口，一旦被暴力破解、越权入侵，轻则数据泄露，重则服务瘫痪、业务中断。尤其对公网开放的 Linux 服务器更是如此。

本文整理一套适合生产环境的 SSH 安全加固方案，覆盖端口、认证、权限、访问控制等关键环节，帮你快速搭建一套企业级安全防护体系。

一、修改默认端口

SSH 默认端口 22 是全网扫描器的 “首选目标”，使用默认端口，几乎等于主动暴露攻击面。

1. 修改 SSH 配置

vi /etc/ssh/sshd_config

# 取消注释，修改为自定义端口（建议 10000–65535 之间）Port 22345

systemctl restart sshd

systemctl stop ssh.socketsystemctl disable ssh.socketsystemctl restart sshd

二、禁用 root 直接登录：最小权限原则

root 账号权限无上限。因此需要禁止root远程SSH登录。

1. 禁止 root 登录

vi /etc/ssh/sshd_config

PermitRootLogin no

useradd adminpasswd adminusermod -aG sudo admin

su - adminmkdir -p ~/.sshchmod 700 ~/.sshtouch 

1.     打开 PuTTYgen（PuTTY 自带工具）
2.     下方参数选择：
•         Type of key to generate: RSA
•         Number of bits: 2048 及以上（推荐 4096）
3.     点击 Generate，随机移动鼠标生成熵值
4.     生成完成后：
•         Key passphrase 设置密钥密码（不要与用户密码相同）
•     点击 Save private key，保存 .ppk 私钥（密钥文件，不要泄露）

• 3. 把公钥传到 Linux 服务器

  在 PuTTYgen 上方，复制完整的公钥字符串（ssh-rsa 开头那一段）。回到服务器：

vi ~/.ssh/authorized_keys

chmod 600 ~/.ssh/authorized_keys

vi /etc/ssh/sshd_config

PasswordAuthentication noPubkeyAuthentication yes

systemctl restart sshd

1. 打开 PuTTY；
2. Host Name 填写 IP，Port 填写你修改后的端口；
3. 左侧菜单：Connection → SSH → Auth；
4. 点击 Browse，选择你保存的 .ppk 私钥；
5. 返回 Session，保存配置，点击 Open 登录；

如果设置了密钥密码，会提示输入密钥密码。

四、结语

SSH 是 Linux 服务器的 “大门”，一套规范的 SSH 配置，能挡住 90% 以上的自动化入侵。