RHCSA 系列（八）: 加固 SSH，设定主机名及启用网络服务

作为一名系统管理员，你将经常使用一个终端模拟器来登录到一个远程的系统中，执行一系列的管理任务。你将很少有机会坐在一个真实的（物理）终端前，所以你需要设定好一种方法来使得你可以登录到你需要去管理的那台远程主机上。

事实上，当你必须坐在一台物理终端前的时候，就可能是你登录到该主机的最后一种方法了。基于安全原因，使用 Telnet 来达到以上目的并不是一个好主意，因为穿行在线缆上的流量并没有被加密，它们以明文方式在传送。

另外，在这篇文章中，我们也将复习如何配置网络服务来使得它在开机时被自动开启，并学习如何设置网络和静态或动态地解析主机名。

RHCSA: 安全 SSH 和开启网络服务 – Part 8

对于你来说，要能够使用 SSH 远程登录到一个 RHEL 7 机子，你必须安装 openssh，openssh-clients 和 openssh-servers 软件包。下面的命令不仅将安装远程登录程序，也会安装安全的文件传输工具以及远程文件复制程序：

# yum update && yum install openssh openssh-clients openssh-servers

注意，也安装上服务器所需的相应软件包是一个不错的主意，因为或许在某个时刻，你想使用同一个机子来作为客户端和服务器。

在安装完成后，如若你想安全地访问你的 SSH 服务器，你还需要考虑一些基本的事情。下面的设定应该出现在文件 /etc/ssh/sshd_config 中。

1、更改 sshd 守护进程的监听端口，从 22（默认的端口值）改为一个更高的端口值（2000 或更大），但首先要确保所选的端口没有被占用。

例如，让我们假设你选择了端口 2500 。使用 netstat 来检查所选的端口是否被占用：

# netstat -npltu | grep 2500

假如 netstat 没有返回任何信息，则你可以安全地为 sshd 使用端口 2500，并且你应该在上面的配置文件中更改端口的设定，具体如下：

Port 2500

2、只允许协议 2（LCTT 译注：SSHv1 已经被证明不安全，默认情况下 SSHv1 和 SSHv2 都支持，所以应该显示去掉如下配置行的注释，并只支持 SSHv2。）：

Protocol 2

3、配置验证超时的时间为 2 分钟，不允许以 root 身份登录，并将允许通过 ssh 登录的人数限制到最小：

LoginGraceTime 2m
PermitRootLogin no
AllowUsers gacanepa

4、假如可能，使用基于公钥的验证方式而不是使用密码：

PasswordAuthentication no
RSAAuthentication yes
PubkeyAuthentication yes

这假设了你已经在你的客户端机子上创建了带有你的用户名的一个密钥对，并将公钥复制到了你的服务器上。

1、每个系统管理员都应该对下面这个系统配置文件非常熟悉：

作者：Gabriel Cánepa 译者：FSSlc 校对：wxy

本文由 LCTT 原创翻译，Linux中国荣誉推出

最后修改于：

2024年2月17日

1 条回复