SSH安全

# SSH安全

## 1.1使用证书登入

执行命令`ssh-keygen -t rsa` 生成密钥对，如下如

```bash
ctccaozhe@ctccaozhe:~$ ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/home/ctccaozhe/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /home/ctccaozhe/.ssh/id_rsa.
Your public key has been saved in /home/ctccaozhe/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:mmcDvUJsHI4CHWqfr1zFCfZXk2SvofTSO0HszEohW5o ctccaozhe@ctccaozhe
The key's randomart image is:
+---[RSA 3072]----+
|  .        o     |
| o .      + o    |
|o..  o.. + B .   |
|... o=+oO @ +    |
|  .o. BES= O     |
|   ..o.+o.o o    |
|     o+ =. o     |
|  . o  + .  .    |
|   o             |
+----[SHA256]-----+
```

此时会在用户目录下生成一个公钥和私钥

查看home目录密钥对 `/home/xiaoguang/.ssh/`

```bash
ctccaozhe@ctccaozhe:~$ 
ctccaozhe@ctccaozhe:~$ cd /home/ctccaozhe/.ssh/
ctccaozhe@ctccaozhe:~/.ssh$ ls
id_rsa  id_rsa.pub  known_hosts
ctccaozhe@ctccaozhe:~/.ssh$ ls -al
总用量 20
drwx------  2 ctccaozhe ctccaozhe 4096 9月  14 15:08 .
drwxr-xr-x 21 ctccaozhe ctccaozhe 4096 9月  14 14:15 ..
-rw-------  1 ctccaozhe ctccaozhe 2610 9月  14 15:08 id_rsa
-rw-r--r--  1 ctccaozhe ctccaozhe  573 9月  14 15:08 id_rsa.pub
-rw-r--r--  1 ctccaozhe ctccaozhe  222 8月   3 11:57 known_hosts
ctccaozhe@ctccaozhe:~/.ssh$ 
```

将公钥设置为服务器的登录公钥 使用命令为 `mv id_rsa.pub authorized_keys`

```bash
ctccaozhe@ctccaozhe:~/.ssh$ mv id_rsa.pub authorized_keys
ctccaozhe@ctccaozhe:~/.ssh$ ls -al
总用量 20
drwx------  2 ctccaozhe ctccaozhe 4096 9月  14 15:09 .
drwxr-xr-x 21 ctccaozhe ctccaozhe 4096 9月  14 14:15 ..
-rw-r--r--  1 ctccaozhe ctccaozhe  573 9月  14 15:08 authorized_keys
-rw-------  1 ctccaozhe ctccaozhe 2610 9月  14 15:08 id_rsa
-rw-r--r--  1 ctccaozhe ctccaozhe  222 8月   3 11:57 known_hosts
```

设置ssh，禁止密码登录，改用私钥登录

修改`PasswordAuthentication` 改为 `no`，然后重启sshd服务

```bash
ctccaozhe@ctccaozhe:~/.ssh$ sudo vim /etc/ssh/sshd_config 
[sudo] ctccaozhe 的密码： 
ctccaozhe@ctccaozhe:~/.ssh$ sudo vim /etc/ssh/sshd_config 
ctccaozhe@ctccaozhe:~/.ssh$ /etc/init.d/ssh reload
[....] Reloading ssh configuration (via systemctl): ssh.service==== AUTHENTICATING FOR org.freedesktop.systemd1.manage-units ===
重新载入“ssh.service”需要认证。
Authenticating as: ctccaozhe,,, (ctccaozhe)
Password: 
==== AUTHENTICATION COMPLETE ===
. ok 
ctccaozhe@ctccaozhe:~/.ssh$ 
```

## 1.2使用fail2ban

先上一篇我[参考的文章](https://www.jianshu.com/p/4fdec5794d08)

### 关于Fail2ban

- Fail2ban可以监视你的系统日志，然后匹配日志的错误信息（正则式匹配）执行相应的屏蔽动作（一般情况下是调用防火墙屏蔽），如:当有人在试探你的HTTP、SSH、SMTP、FTP密码，只要达到你预设的次数，fail2ban就会调用防火墙屏蔽这个IP，而且可以发送e-mail通知系统管理员，是一款很实用、很强大的软件！
- Fail2ban由python语言开发，基于logwatch、gamin、iptables、tcp-wrapper、shorewall等。如果想要发送邮件通知道，那还需要安装postfix或sendmail。
- 在外网环境下，有很多的恶意扫描和密码猜测等恶意攻击行为，使用Fail2ban配合iptables，实现动态防火墙是一个很好的解决方案。

### 安装Fail2ban

首先需要到Fail2ban官网下载程序源码包，本文中通过稳定版Fail2ban-0.8.14做演示。

```cpp
wget https://codeload.github.com/fail2ban/fail2ban/tar.gz/0.8.14
```

成功下载之后，解压源码包并进行安装。

```bash
tar -xf 0.8.14.tar.gz
cd fail2ban-0.8.14
python setup.py install
```

安装完成后要手动生成一下程序的启动脚本。

```csharp
cp files/redhat-initd /etc/init.d/fail2ban
chkconfig --add fail2ban
```

使用下列命令检查Fail2ban是否加入开机启动项。结果如下图所示。

```cpp
chkconfig --list fail2ban
```

安装完成后程序文件都是保存在/etc/fail2ban目录。

其中jail.conf为主配置文件，相关的正则匹配规则位于filter.d目录，其它目录/文件一般很少用到，如果需要详细了解可自行搜索。

在CentOS7中安装还是比较简单的，`yum install fail2ban`即可。然后配置，把自己的规则放在/etc/fail2ban/jail.local 里以覆盖/etc/fail2ban/jail.conf 里的默认配置。配置摘要如下：

> 在针对服务的监狱区（在[DEFAULT]区后面的地方），你需要定义一个[ssh-iptables]区，这里用来定义SSH相关的监狱配置。真正的禁止IP地址的操作是通过iptables完成的。

```
[DEFAULT]
# 以空格分隔的列表，可以是 IP 地址、CIDR 前缀或者 DNS 主机名
# 用于指定哪些地址可以忽略 fail2ban 防御
ignoreip = 127.0.0.1 172.31.0.0/24 10.10.0.0/24 192.168.0.0/24
 
# 客户端主机被禁止的时长（秒）
bantime = 86400
 
# 客户端主机被禁止前允许失败的次数 
maxretry = 5
 
# 查找失败次数的时长（秒）
findtime = 600
 
mta = sendmail
 
[ssh-iptables]
enabled = true
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]
sendmail-whois[name=SSH, dest=your@email.com, sender=fail2ban@email.com]
# Debian 系的发行版 
logpath = /var/log/auth.log
# Red Hat 系的发行版
logpath = /var/log/secure
# ssh 服务的最大尝试次数 
maxretry = 3
```

> 根据上述配置，fail2ban会自动禁止在最近10分钟内有超过3次访问尝试失败的任意IP地址。一旦被禁，这个IP地址将会在24小时内一直被禁止访问 SSH 服务。这个事件也会通过sendemail发送邮件通知。

### 重启fail2ban服务，测试是否可用

重启：`systemctl restart fail2ban`
 测试服务可用性：`fail2ban-client ping`
 如果有响应：`Server replied: pong`，表示成功。
 测试暴力破解防护是否有效：用错误的密码来用SSH连接到服务器模拟一个暴力破解攻击
 查看fail2ban日志：`tail -f /var/log/fail2ban.log`
 查看fail2ban当前活动的监狱列表：
  `fail2ban-client status`
 查看fail2ban指定监狱状态（例如ssh-iptables)：
  `fail2ban-client status ssh-iptables`

### 设置 Fail2ban 自动启动

```
systemctl enable fail2ban
```

每个IP在几次尝试后放弃，切换为其他IP（因为Linux有登录失败N次自动锁定当前用户的机制），所以这种防护效果有限，最好还是用证书登录。

## 1.3更改sshd服务端口号

ssh默认是22端口，如果改为其他端口可以更安全一些。

### 修改SSHD服务的配置文件

```
vim /etc/ssh/sshd_config
```

找到下面这一行，把行首的 `#` 注释符号去掉，端口号改成你想用的即可：

```bash
#Port 22 
```

例如：

```bash
Port 2222
```

在 vim 编辑器中输入 `:wq` 保存退出