新闻资讯

使用 las 次来源：劳务派遣管理系统时间：2018-10-31

偶然登岸了一次腾讯云主机的root用户，惊奇地发明有大量失败登岸的记录，把我吓了一跳。

利用 lastb 查了一下，发明登岸名称是光怪陆离。个中尝试次数最多的用户名别离为：

sudo lastb|awk '{print $1}' |sort |uniq -c |sort -n -k 1 |tail

   160 guest
   218 hadoop
   248 git
   252 ubuntu
   356 user
   406 postgres
   420 test
   486 oracle
  1161 admin
147101 root

之前我一直觉得我这小破主机应该是没人会在意的，所以没有对SSH处事举办什么设置。此刻看起来我照旧太naive了。

迫于无奈，只好对SSH处事举办加固处理惩罚。今朝找到的加固要领有下面几个：

确定 sshd_config 的权限

确定 sshd_config 只有root才气读写，其他用户不能举办任何操纵

sudo chown root:root /etc/ssh/sshd_config
sudo chmod og-rwx /etc/ssh/sshd_config

修改ssh处事端口

这一步的结果很显著，只从改了ssh处事端口后，昆山软件开发，就在没有看到任何登岸失败的提示了

Port XXXX

只启用SSH Protocol 2

Protocol 1的安详性相对要差一些

Protocol 2

不答允空暗码登岸

PermitEmptyPasswords no

不答允root登岸

从上面临 lastb 的功效阐明可以得知， root 是被尝试最多的用户，没有之一。

因此禁用 root 登岸很有须要：

PermitRootLogin no

若你以为一股脑儿完全禁用root登岸过分了，而但愿只在特定的主机上答允root登岸，则可以克制 root 用暗码登岸

PermitRootLogin prohibit-password

然后在特定主机上成立公私密钥认证干系即可。

限制只能登岸特定用户

我们可以利用 DenyUsers、AllowUsers、DenyGroups 和 AllowGroups 要害字来限定答允登岸的用户。

当某个用户登岸时，该用户依次颠末 DenyUsers、AllowUsers、DenyGroups 和 AllowGroups 的测试，只有在所有测试都通过的环境下才答允登岸。

AllowUsers ramesh john jason
AllowGroups sysadmin dba
DenyUsers cvs apache jane
DenyGroups developers qa

修改未登岸的超时时间

用户未登岸乐成的环境下，劳务派遣管理系统，默认120秒后会登出。这个时间可以缩短，昆山软件公司，好比60。

LoginGraceTime 1m

但要留意，若该值缩减为 0 则暗示没有时间限制。

配置会话空闲一段时间后自动退出

配置空间一段时间自动退出有两种要领，

一种是配置 TMOUT 情况变量，好比在 ~/.bash_profile 中加上

export TMOUT=100

尚有一种要领是配置 sshd_config

ClientAliveInterval 100
ClientAliveCountMax 0