Linux系统运维关于OpenSSH的基础讲解

Linux系统运维工程师都了解关于OpenSSH服务的知识，OpenSSH服务可以通过/etc/ssh/sshd_config文件进行配置。OpenSSH 是 SSH （Secure SHell） 协议的免费开源实现。SSH协议族可以用来进行远程控件， 或在计算机之间传送文件。

在绝大部分的Linux系统运维服务器上都使用 OpenSSH 作为 SSH server，所以这篇文章只针对 OpenSSH。其实这些技巧都是很基础的，但如果你能好好使用它们的话，一定程度上确实可以有效提升 SSH 的安全性。

#以下配置项都是在 /etc/ssh/sshd_config 文件中修改。

1. 禁止Linux系统运维中的 root 登录PermitRootLogin no，当你启用这一选项后，你只能用普通用户登录，然后再用 su 或 sudo 切换到 root 帐户。

2. 仅允许指定用户和组登录指定用户AllowUsers ramesh john jason指定组AllowGroups sysadmin dba3. 禁止指定的用户或组登录指定用户DenyUsers cvs apache jane指定组DenyGroups developers qa注：Allow 和 Deny 可以组合使用，它们的处理顺序是：DenyUsers, AllowUsers, DenyGroups, AllowGroups4. 修改 SSH 监听端口把 SSH 监听端口改为 222Port 2225. 修改默认登录时间当你连接到 SSH 后，默认是提供 2 分钟的时间让你输入帐户和密码来进行登录，你可以修改这个时间为 1 分钟或 30 秒。

LoginGraceTime 1m6. 限制监听 IP如果你的服务器上有多个网卡及 IP ，那么你可以限制Linux系统运维中的某些 IP 不监听 SSH，只允许通过某些 IP 来登录。

比如你有四个网卡eth0 – 192.168.10.200eth1 – 192.168.10.201eth2 – 192.168.10.202eth3 – 192.168.10.203你只想让用户通过 202, 203 这两个 IP 来登录，那么做以下设定ListenAddress 192.168.10.200ListenAddress 192.168.10.2027. 当用户处于非活动时断线当用户在 10 分钟内处于非活动状态的话，就自动断线。

ClientAliveInterval 600ClientAliveCountMax 0ClientAliveCountMax：默认为 3 ，表示当 SSH 没有任何活动时， SSH Server 会发送三次检查是否在线(checkalive)的消息。

ClientAliveCountMax：默认为 0，表示当过了几秒后，SSH Server 会发送消息要求用户响应(0 的话表示永远不发送)，否则就断线。

【编辑推荐】

◆IT运维外包忌讳两种管理模式

◆IT运维管理：保障网络安全的六法则

◆谁来拯救IT运维管理遭遇的重创

◆IT运维采购专区

◆细谈如何恰当控制IT运维管理成本