Linux服务器安全登录：从入门到实践

本文面向Linux运维初学者，系统讲解SSH安全登录的核心概念与生产环境最佳实践，帮助你筑牢服务器的第一道防线。内容由AI整理，注意辨别正确性。

0. 生产环境安全登录主流做法

生产环境中最主流、最有效的安全登录做法，可以总结为：

1. 密钥认证，禁用密码：使用SSH密钥对进行身份验证，并在配置生效后完全禁用密码登录。这是防御暴力破解最有效的一步。
2. 禁用Root，使用普通用户：禁止Root用户直接通过SSH登录，创建一个拥有sudo权限的普通用户进行日常管理。
3. 最小权限原则：在SSH配置中，通过AllowUsers或AllowGroups等指令，只允许指定的用户或用户组登录，拒绝其他所有用户。
4. 网络层访问控制：结合云平台的安全组或服务器的防火墙，只允许公司网络、堡垒机等特定可信IP地址访问SSH端口。
5. 自动化防御：部署Fail2ban，自动监控登录日志，将多次尝试失败的IP地址加入防火墙黑名单。
6. 会话管理：设置空闲超时自动登出，防止已连接的会话因管理员离开而被利用。

1. RSA vs. Ed25519：密钥的选择、生成与部署

1.1 RSA 与 Ed25519 简单对比

• RSA：一种经典的算法，广泛兼容于各种老旧系统。通常建议使用至少2048位，推荐4096位以确保安全性。缺点是密钥较长，计算速度相对较慢。
• Ed25519：一种更现代的椭圆曲线算法，目前更受推荐。它在提供相当于RSA 4096位安全性的同时，密钥更短、生成与认证速度更快、性能更好。

结论：除非你有必须连接仅支持RSA算法的超老旧系统，否则应优先选择 Ed25519。

1.2 密钥生成方式

在 Windows 下生成

Windows 10/11 的 PowerShell 或 CMD 已原生支持OpenSSH客户端。

1. 打开 PowerShell 或 命令提示符。
2. 输入以下命令生成 Ed25519 密钥对：

   ssh-keygen -t ed25519 -C "your_email@example.com"
   

   • -t ed25519：指定密钥类型为Ed25519。如果你想生成RSA 4096位密钥，可以使用 ssh-keygen -t rsa -b 4096 -C "your_email@example.com"。
   • -C：添加一个注释，方便识别这个密钥的用途。
3. 按提示选择密钥保存路径（默认 C:\Users\你的用户名\.ssh\id_ed25519），并务必设置一个强密码。
4. 生成后，公钥文件 (id_ed25519.pub) 和私钥文件 (id_ed25519) 将保存在你指定的目录下。

如果你习惯使用图形界面工具，也可以使用 PuTTYgen，选择“EdDSA”和“Ed25519”生成密钥。

在 Linux 下生成

1. 打开终端。
2. 输入以下命令：

   ssh-keygen -t ed25519 -C "your_email@example.com"
   

3. 按提示操作，同样强烈建议设置一个密码。生成后的密钥文件会保存在 ~/.ssh/ 目录下。

1.3 将公钥上传至服务器

生成密钥后，你需要将 公钥 (id_ed25519.pub) 的内容添加到服务器的 ~/.ssh/authorized_keys 文件中。最方便和安全的方法是使用 ssh-copy-id 命令。

• 使用 ssh-copy-id 命令（推荐）
  在你本地的终端或PowerShell中运行：

  ssh-copy-id -i ~/.ssh/id_ed25519.pub 你的用户名@你的服务器IP
  

  输入服务器上该用户的密码后，公钥就会被自动追加到远程服务器的 ~/.ssh/authorized_keys 文件中。

• 手动添加
  如果 ssh-copy-id 不可用，你也可以手动操作。首先，在本地查看公钥内容并复制：

  cat ~/.ssh/id_ed25519.pub
  

  然后，登录到你的服务器，并执行以下命令：

  mkdir -p ~/.ssh
  chmod 700 ~/.ssh
  echo "这里粘贴你的公钥内容" >> ~/.ssh/authorized_keys
  chmod 600 ~/.ssh/authorized_keys
  

  mkdir -p ~/.ssh 用于确保 .ssh 目录存在，chmod 700 和 chmod 600 用于设置正确的权限，这是SSH安全所必需的。

• 位置与作用：~/.ssh/authorized_keys 是一个位于用户家目录下的文件，用于存放允许通过SSH公钥登录该用户的所有公钥。
• 针对当前用户：是的，authorized_keys 是针对当前用户的。例如：
  • 文件 /home/alice/.ssh/authorized_keys 控制着哪些公钥可以登录 alice 账户。
  • 文件 /root/.ssh/authorized_keys 控制着哪些公钥可以登录 root 账户。
• 允许多个密钥：该文件每行可以存放一个公钥。你可以通过添加多行，授权多个人或多台设备使用各自的密钥登录。

  ssh-ed25519 AAA...1 Alice's laptop
  ssh-ed25519 AAA...2 Bob's workstation
  ssh-rsa AAA...3 CI/CD server
  

• 全局配置：SSH没有直接用于全服务器范围内强制用户公钥的全局文件。但可以通过 /etc/ssh/sshd_config 中的 AuthorizedKeysFile 指令，改变默认的公钥文件位置或指定一个全局文件。例如，可以配置 AuthorizedKeysFile .ssh/authorized_keys /etc/ssh/authorized_keys/%u，让sshd在检查用户目录后，再去全局目录下检查。

2. SSHD：你的SSH守护进程

2.1 SSHD 是什么？

SSHD（SSH Daemon）是运行在Linux服务器上的一个后台服务进程，它持续监听来自客户端的SSH连接请求，负责处理用户认证、建立加密会话、执行用户命令等所有与SSH相关的服务端工作。几乎所有Linux发行版都预装了OpenSSH，其中就包含了 sshd。

2.2 如何确认和安装？

• 检查是否已安装：
  你可以通过以下命令检查 sshd 服务是否存在：

  which sshd
  # 或
  systemctl status sshd
  

• 如何安装：
  如果系统未安装，可以使用包管理器进行安装。
  • CentOS/RHEL 7 及更早版本:

    sudo yum install openssh-server -y
    

  • CentOS/RHEL 8+ 及 Fedora:

    sudo dnf install openssh-server -y
    

  • Ubuntu/Debian:

    sudo apt update
    sudo apt install openssh-server -y
    

  安装完成后，启动并设置开机自启：

  sudo systemctl start sshd
  sudo systemctl enable sshd
  

  你可以通过 sudo systemctl status sshd 来确认服务是否正常运行。

3. SSHD核心安全配置（/etc/ssh/sshd_config）

SSH服务器的主要配置文件是 /etc/ssh/sshd_config。在修改它之前，强烈建议先进行一次备份：sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak。

3.1 基础协议配置

• 仅使用 SSH 协议 2：SSHv1存在设计缺陷，必须禁用。在配置文件中确保设置：

  Protocol 2
  

  如果该行被注释或不存在，说明只支持协议2，但显式声明是良好实践。

• 限制认证尝试次数：设置 MaxAuthTries 3~6，减少暴力破解窗口。

• 启用详细日志：设置 LogLevel VERBOSE，可以记录更详细的日志，包括指纹信息。

3.2 认证与访问控制

3.2.1 禁止 Root 登录

• 配置指令：PermitRootLogin

• 最佳实践：强烈建议设为 no，完全禁止Root用户通过SSH登录。

  PermitRootLogin no
  

  作为替代方案，日常使用一个普通用户登录，然后通过 sudo 执行需要管理员权限的命令。

  请注意：如果你的系统是云服务器，部分镜像可能默认禁用了密码登录，但允许Root密钥登录。即使如此，在生产环境中，为了审计和最小权限原则，仍建议禁用Root登录。

• 备选方案（不推荐）：如果确需临时保留密钥登录能力，可设为 PermitRootLogin prohibit-password，但更推荐完全禁用。

3.2.2 创建具备 sudo 权限的普通用户

在禁用root登录之前，必须先创建一个可以执行管理命令的普通用户：

sudo useradd -m -s /bin/bash yourusername
sudo passwd yourusername
sudo usermod -aG wheel yourusername   # CentOS/RHEL 使用 wheel 组
# 或 sudo usermod -aG sudo yourusername   # Ubuntu/Debian 使用 sudo 组

sudo userdel -r zhangsan #删除用户

3.2.3 开启和关闭公钥/密码登录

这两项通常是配合使用的。标准流程是：先用密码登录，配置好公钥，并测试通过后，再关闭密码登录。

• 启用公钥登录：确保该指令为 yes。

  PubkeyAuthentication yes
  

• 禁用密码登录：在你确认公钥登录正常工作后，将其设置为 no。

  PasswordAuthentication no
  

• 禁用空密码：防止用户使用空密码登录，此项务必设为 no。

  PermitEmptyPasswords no
  

3.2.4 限制特定用户登录

• AllowUsers：白名单机制，只允许指定的用户登录。这是最精确的访问控制。

  AllowUsers alice bob
  # 更安全的是，结合IP地址进行限制
  AllowUsers alice@192.168.1.100 bob@10.0.0.0/24
  

• DenyUsers：黑名单机制，拒绝特定用户登录。

  DenyUsers badguy hacker
  

• AllowGroups / DenyGroups：与用户组配合使用。例如，只允许wheel组的用户登录，这是一种常见做法。

优先级：DenyUsers > AllowUsers > DenyGroups > AllowGroups。

3.2.5 禁用不必要的认证方法

ChallengeResponseAuthentication no   # 关闭质询-响应认证
GSSAPIAuthentication no              # 关闭 GSSAPI 认证（如不使用 Kerberos）
KerberosAuthentication no            # 关闭 Kerberos 认证

3.3 网络与端口配置

3.3.1 修改默认端口

默认22端口是攻击者的首要目标，修改为1024-65535之间的未使用端口，可以降低自动化扫描风险：

Port 2222   # 或 Port 2025

⚠️ 修改端口前的回退策略：建议先保留Port 22与新端口并存，完成连通性与登录测试后再移除22，避免失联。

3.3.2 防火墙配置

systemctl status firewalld #查看防火墙状态
sudo systemctl start firewalld #开启防火墙
sudo systemctl stop firewalld #关闭防火墙
sudo systemctl enable firewalld #加入开机自启
sudo systemctl disable firewalld #禁止开机自启
firewall-cmd --list-ports #查看防火墙已开放的端口
sudo firewall-cmd --permanent --add-port=28630/tcp #防火墙添加端口
sudo firewall-cmd --permanent --remove-port=28630/tcp #防火墙移除端口

修改端口后，需要同步开放防火墙端口：

• 使用 firewalld（CentOS/RHEL 7+）：

  sudo firewall-cmd --permanent --add-port=2222/tcp
  sudo firewall-cmd --reload
  

• 使用 iptables：

  sudo iptables -A INPUT -p tcp --dport 2222 -j ACCEPT
  sudo service iptables save
  

• 使用 ufw（Ubuntu/Debian）：

  sudo ufw allow 2222/tcp
  

3.3.3 SELinux 配置（如已启用）

SELinux = Linux 内核里的一套超级严格的安全管家

# 查看启用状态
getenforce

如果系统启用了SELinux，新增端口还需执行SELinux配置，否则sshd可能无法绑定新端口：

sudo semanage port -a -t ssh_port_t -p tcp 2222

3.3.4 网络层访问控制

除了防火墙端口开放外，还应在边界防火墙或云安全组层面仅允许可信IP/网段访问SSH端口。

• 使用 firewalld 限制来源IP：

  # 先拒绝所有 IP 访问 2222
  sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" port port="2222" protocol="tcp" reject'
  # 只允许 192.168.1.100 访问 SSH 端口
  sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="2222" accept'
  sudo firewall-cmd --reload
  

• 使用 iptables 限制来源IP：

  sudo iptables -A INPUT -p tcp --dport 2222 -s 192.168.1.100 -j ACCEPT
  sudo iptables -A INPUT -p tcp --dport 2222 -j DROP
  

3.4 加密算法强化（重要遗漏项）

为了通过安全合规扫描并防御已知漏洞，应禁用弱加密算法，仅使用强加密算法。

3.4.1 禁用 CBC 模式密码

CBC模式密码存在安全漏洞，应禁用并改用CTR模式。在 /etc/ssh/sshd_config 中设置：

Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr

3.4.2 禁用弱 MAC 算法

禁用基于SHA-1的HMAC算法：

MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256

3.4.3 禁用弱密钥交换算法

在之前讨论过的 KexAlgorithms 基础上，移除不安全的算法：

KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256

3.5 会话与入侵防护

3.5.1 空闲会话超时

设置 ClientAliveInterval 300 与 ClientAliveCountMax 3，在连续15分钟无响应后自动断开，降低会话劫持风险：

ClientAliveInterval 300
ClientAliveCountMax 3

3.5.2 禁用转发功能（如不需要）

AllowTcpForwarding no
X11Forwarding no

3.5.3 配置最大并发连接数

使用 MaxStartups 控制并发连接的数量，达到最大连接数后sshd将拒绝新的连接请求并记录到日志中：

MaxStartups 10:30:100

格式为 start:rate:full，表示连接数达到10时开始以30%的概率拒绝新连接，达到100时完全拒绝。

3.5.4 防暴力破解：部署 Fail2Ban

手动查看日志并封禁IP是滞后的。Fail2ban 是一个强大的入侵防御工具，可以自动化这个过程。

1. 安装 Fail2ban：

   • CentOS/RHEL 7：sudo yum install epel-release -y 然后 sudo yum install fail2ban -y
   • Ubuntu/Debian：sudo apt install fail2ban -y

2. 配置 Fail2ban：创建配置文件 /etc/fail2ban/jail.local，内容如下：

   [sshd]
   enabled = true
   port = 2222                 # 如果你修改了SSH端口，这里也要改
   filter = sshd
   logpath = /var/log/secure   # Ubuntu/Debian 系统请改为 /var/log/auth.log
   maxretry = 3                # 最多失败3次
   bantime = 3600              # 封禁1小时 (单位: 秒)
   

3. 启动 Fail2ban：

   sudo systemctl start fail2ban
   sudo systemctl enable fail2ban
   

4. 查看封禁状态：

   sudo fail2ban-client status sshd
   

5. 解除封禁状态：

   sudo fail2ban-client set sshd unbanip 192.168.1.100 #解除单个IP
   sudo fail2ban-client unban --all #解除所有IP
   

3.5.5 可选增强：双因素认证（2FA/MFA）

为关键账户增加第二层校验，即使私钥泄露，攻击者也无法登录。可以使用Google Authenticator实现TOTP双因素认证。

4. 日志分析与风险防范：如何查看与应对攻击

4.1 查看登录日志

Linux系统的认证相关日志通常记录在 /var/log/secure（CentOS/RHEL）或 /var/log/auth.log（Ubuntu/Debian）文件中。

• 查看所有失败的SSH登录尝试：

  sudo grep "Failed password" /var/log/secure
  

• 查看特定用户的失败尝试：

  sudo grep "Failed password for invalid user root" /var/log/secure
  

• 查看来自某个IP的所有行为：

  sudo grep "106.38.205.224" /var/log/secure
  

• 实时查看SSH日志：

  journalctl -u sshd -f
  

• 统计暴力破解的来源IP：

  sudo grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr
  

4.2 使用SSH审计工具（高级）

除了手动查看日志，还可以使用专业的SSH审计工具进行全面扫描：

• ssh-audit：分析SSH服务器和客户端的配置，枚举所有主机密钥类型、密钥交换、加密算法、MAC算法等信息，并用颜色标记出弱项：

  ssh-audit your_server_ip
  

• srvaudit：可执行16项安全检查，约5秒完成全面审计：

  srvaudit scan root@your-server.com
  

4.3 查看登录历史与来源

• 查看最近登录成功的用户：

  last
  

• 查看所有登录历史（包括失败尝试）：

  last -f /var/log/wtmp
  

4.4 审计 authorized_keys 文件

定期检查 ~/.ssh/authorized_keys 文件，移除不再使用的或未知的公钥。对于多服务器环境，建议使用集中化的密钥管理方案。

4.5 其他防范风险措施

• 保持系统更新：定期执行系统更新，修复已知的OpenSSH安全漏洞。对于已停更的系统（如CentOS 7），应尽快迁移。
• 定期审计：设置好日志和Fail2ban后，仍需定期查看异常情况。

5. 变更与验证流程（防止把自己锁在门外）

5.1 操作前准备

1. 备份配置：sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
2. 保留一个已登录的管理会话：一定不要关闭当前的SSH连接，这是你的“逃生通道”
3. 预先创建一个具备sudo权限的普通用户（如果还没有）

5.2 配置生效与验证

1. 重启SSH服务：sudo systemctl restart sshd
2. 检查服务状态：sudo systemctl status sshd
3. 验证监听端口：ss -tnlp | grep :2222 或 netstat -ntpl | grep 2222
4. 逐项验证：从新端口测试登录、验证密钥登录与sudo权限、确认root无法登录、检查Fail2Ban是否命中
5. 确认无误后再关闭Port 22（如果你修改了端口）

5.3 持续运维

• 定期审计 /var/log/secure，关注失败登录与异常来源
• 保持系统与OpenSSH的及时更新

6. 你还没有考虑到的重要事项

• 安全是分层防御（纵深防御）：不要依赖单一的安全措施。应该是“密钥认证 + 防火墙限制 + Fail2ban + 禁止Root登录 + ... ”的组合，而不是只做其中一项。
• 保持“逃生通道”：这是最重要的一条经验。在修改任何远程访问的配置（如SSH端口、防火墙规则）时，一定不要关闭当前的SSH连接。先用另一个终端窗口测试新配置的有效性。一旦失误导致无法连接，这个已连接的窗口就是你唯一的“救生索”。
• 最小权限原则（Principle of Least Privilege）：授予完成工作所必需的、尽可能小的权限。对用户、对进程都应如此。只用普通用户工作，仅在需要时通过sudo提权。
• 定期更新密码和密钥：虽然有了密钥，但你为私钥设置的密码（passphrase）也应定期更换。如果怀疑私钥泄露，应立即在服务器上从 authorized_keys 文件中移除对应的公钥。
• 双因素认证（2FA/MFA）：作为增强措施，可以为SSH登录增加一层动态验证码（如Google Authenticator），即使私钥泄露，攻击者也无法登录。
• 使用堡垒机：在多服务器环境中，使用一台堡垒机作为统一的入口。所有SSH连接都先指向堡垒机，再由堡垒机代理连接到内部服务器。这能极大地简化审计和权限管理。
• 监控与告警：配置监控系统，在出现大量失败登录、或检测到新用户创建等敏感行为时，能通过邮件、即时通讯等方式发出告警。
• 配置审计工具：使用 auditd 监控对 sshd_config 和 authorized_keys 文件的访问和修改。

附录：一份简洁的安全配置示例 (/etc/ssh/sshd_config)

你可以参考以下配置块，构建你自己的安全SSH服务。再次强调，修改前备份，并谨慎测试。

# ========== 基础设置 ==========
Port 2222                      # 修改为高位端口
Protocol 2                     # 禁用老的 SSH 协议
ListenAddress 0.0.0.0          # 监听所有网络接口（可按需修改）

# ========== 认证与访问控制 ==========
PermitRootLogin no             # 1. 禁止 root 登录
PubkeyAuthentication yes       # 2. 启用公钥登录
PasswordAuthentication no      # 3. 禁用密码登录
PermitEmptyPasswords no        # 4. 禁止空密码
MaxAuthTries 3                 # 5. 限制认证尝试次数
ChallengeResponseAuthentication no
GSSAPIAuthentication no
KerberosAuthentication no

# 6. 只允许特定用户或用户组登录 (强烈推荐)
AllowUsers alice bob
# 或者只允许 wheel 组的用户登录: AllowGroups wheel

# ========== 加密算法强化 ==========
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256
KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256

# ========== 会话安全 ==========
ClientAliveInterval 300        # 7. 设置空闲超时（秒）
ClientAliveCountMax 3          # 超时前最多发送3次心跳
MaxStartups 10:30:100          # 控制并发连接数

# ========== 日志 ==========
SyslogFacility AUTHPRIV
LogLevel VERBOSE               # 记录更详细的日志，如指纹信息