1、Linux SSH 安全策略一：關(guān)閉無關(guān)端口
　　網(wǎng)絡(luò)上被攻陷的大多數(shù)主機，是黑客用掃描工具大范圍進行掃描而被瞄準上的。所以，為了避免被掃描到，除了必要的端口，例如 Web、FTP、SSH 等，其他的都應(yīng)關(guān)閉。值得一提的是，我強烈建議關(guān)閉 icmp 端口，并設(shè)置規(guī)則，丟棄 icmp 包。這樣別人 Ping 不到你的服務(wù)器，威脅就自然減小大半了。丟棄 icmp 包可在 iptables 中， 加入下面這樣一條：-A INPUT -p icmp -j DROP
　　2、Linux SSH 安全策略二：更改 SSH 端口
　　默認的 SSH 端口是 22。強烈建議改成 10000 以上。這樣別人掃描到端口的機率也大大下降。修改方法：
　　# 編輯 /etc/ssh/ssh_configvi /etc/ssh/ssh_config# 在 Host * 下 ，加入新的 Port 值。以 18439 為例(下同)：Port 22Port
　　18439# 編輯 /etc/ssh/sshd_configvi /etc/ssh/sshd_config#加入新的 Port 值Port 22Port 18439# 保存后，重啟 SSH 服務(wù)：service sshd restart
　　這里我設(shè)置了兩個端口，主要是為了防止修改出錯導(dǎo)致 SSH 再也登不上。更改你的 SSH 客戶端(例如：Putty)的連接端口，測試連接，如果新端口能連接成功，則再編輯上面兩個文件，刪除 Port 22 的配置。如果連接失敗，而用 Port 22 連接后再重新配置。
　　端口設(shè)置成功后，注意同時應(yīng)該從 iptables 中， 刪除22端口，添加新配置的 18439，并重啟 iptables。
　　如果 SSH 登錄密碼是弱密碼，應(yīng)該設(shè)置一個復(fù)雜的密碼。Google Blog 上有一篇強調(diào)密碼安全的文章：Does your password pass the test?
　　3、Linux SSH 安全策略三：限制 IP 登錄
　　如果你能以固定 IP 方式連接你的服務(wù)器，那么，你可以設(shè)置只允許某個特定的 IP 登錄服務(wù)器。例如我是通過自己的 VPN 登錄到服務(wù)器。設(shè)置如下：
　　# 編輯 /etc/hosts.allowvi /etc/hosts.allow# 例如只允許 123.45.67.89 登錄sshd:123.45.67.89
　　4、Linux SSH 安全策略四: 使用證書登錄 SSH
　　相對于使用密碼登錄來說，使用證書更為安全。自來水沖咖啡有寫過一篇詳細的教程，征得其同意，轉(zhuǎn)載如下：
　　為CentOS配置SSH證書登錄驗證
　　幫公司網(wǎng)管遠程檢測一下郵件服務(wù)器，一臺CentOS 5.1，使用OpenSSH遠程管理。檢查安全日志時，發(fā)現(xiàn)這幾天幾乎每天都有一堆IP過來猜密碼。看來得修改一下登錄驗證方式，改為證書驗證為好。
　　為防萬一，臨時啟了個VNC，免得沒配置完，一高興順手重啟了sshd就麻煩了。(后來發(fā)現(xiàn)是多余的，只要事先開個putty別關(guān)閉就行了)
　　以下是簡單的操作步驟：
　　1) 先添加一個維護賬號：msa
　　2) 然后su – msa
　　3) ssh-keygen -t rsa指定密鑰路徑和輸入口令之后，即在/home/msa/.ssh/中生成公鑰和私鑰：id_rsa id_rsa.pub
　　4) cat id_rsa.pub >> authorized_keys至于為什么要生成這個文件，因為sshd_config里面寫的就是這個。然后chmod 400
　　authorized_keys，稍微保護一下。
　　5) 用psftp把把id_rsa拉回本地，然后把服務(wù)器上的id_rsa和id_rsa.pub干掉
　　6) 配置/etc/ssh/sshd_configProtocol 2ServerKeyBits 1024PermitRootLogin no #禁止root登錄而已，與本文無關(guān)，加上安全些#
　　以下三行沒什么要改的，把默認的#注釋去掉就行了RSAAuthentication yesPubkeyAuthentication yesAuthorizedKeysFile.ssh/authorized_keysPasswordAuthentication noPermitEmptyPasswords no
　　7) 重啟sshd/sbin/service sshd restart
　　8) 轉(zhuǎn)換證書格式，遷就一下putty運行puttygen，轉(zhuǎn)換id_rsa為putty的ppk證書文件
　　9) 配置putty登錄在connection--SSH--Auth中，點擊Browse,選擇剛剛轉(zhuǎn)換好的證書。然后在connection-Data填寫一下auto login username，例如我的是msa在sessio