怎么配置能让服务器更安全呀或者有办法让 ssh 登陆失败次数超过 10 次的 ip 加入黑名单。
This topic created in 3545 days ago, the information mentioned may be changed or developed.
Supplement 1 · Feb 22, 2017
感谢各位 V 友的回复。根据大家的回复我采取的简单有效的办法就是 换端口和禁止 root 登陆。因为会在不确定的电脑上登陆。所以用秘钥登陆不好使。
@privil 给的脚本。这个先存着。日后可能会用的上。
@privil 给的脚本。这个先存着。日后可能会用的上。
 |
1
换端口就可以了啊
|
1 |
2
改常用 ssh 端口，关闭密码登录使用密钥。
|
 |
3
换端口
或者做防火墙规则，一个 ip 短期多次访问 ssh 端口，就加入黑名单。 |
 |
xxwarFeb 22, 2017
4
fail2ban
|
 |
5
禁止密码登录，使用私钥登录。
防火墙（如 iptables ）白名单。 禁止 root 用户登录。 更换 SSH 端口。 |
 |
6
/etc/ssh/sshd_config 中修改
MaxAuthTries restart sshd 用公钥没啥问题，换端口 nmap 一扫也就出来了 iptables 也只能用 ip 白名单之类的 |
 |
7
就让他们试呗。 如果你用的是密码，并且试个几百万次就能试出来，你那真的要考虑换个长一点的密码了。不过还是建议用证书登录并且限制只允许证书登录。
我的 3306 也是暴露在外网的。而且允许 root 远程登录。。已经好多年了，啥事没有, 我给 Mysql 启用了 SSL ，光知道密码是没用的。 |
 |
8
换个端口就可以了。别折腾。
|
 |
9
关闭密码登录，禁止 root 登录就够安全了，换端口加 fail2ban 之类的总感觉增加的复杂程度比得到的好处要大，得不偿失。
|
 |
abc123cccFeb 22, 2017
10
改端口 + wheel 组，试下
|
 |
11
不管他。
改端口，开防火墙，关闭密码登录，改用密钥登录。这些都搞了，还是发现一堆尝试 SSH 登录的。 所以我选择眼不见，心不烦。 |
 |
12
链接: https://pan.baidu.com/s/1hsE7ZUk 密码: 3t7h 借鉴别人脚本，自己改的，和你的需求一模一样，十次失败自动加黑命单， crontab 设置每两分钟运行一次就好了
|
 |
xzpjerry731Feb 22, 2017
13
北美 DO, 没禁密码登陆前某日试过上万次， 一查 ip 都是天朝的
|
 |
miyukiFeb 22, 2017 via Android
14
fail2ban
|
 |
16
我都是随意的，几十位长的密码，要试就试去吧
|
 |
TroevilFeb 22, 2017
17
fail2ban
|
 |
18
重要机子上了密钥和 fail2ban ，其他的字母数字符号组合，自己慢慢试吧→_→
|
 |
19
fail2ban 啊， 1 小时内密码错 5 次 ban24 小时
有本事慢慢爆破着玩呗。 |
 |
20
之前 fail2ban 没设置好 一天也有几千次
现在弄成 10min 内错 3 次 禁 3 天 一天也有几百次 |
 |
dudesunFeb 22, 2017
21
不要用密码登陆，使用私钥登录
|
 |
22
我基本上都是，禁用密码登录，有些换端口有些懒得搞就没换，然后装个 fail2ban 搞定，多数发行版上的 fail2ban 都是默认加了 ssh 的配置的，也可以自己再调整得更严
|
 |
isCyanFeb 22, 2017 via Android
23
换什么端口， fail2ban 各种密码破解自动封禁方便得很
|
 |
24
登就登呗，好像他们能登上去一样
|
 |
25
禁止密码登录 差不多了
|
 |
26
换端口，禁用 root ，私钥登录，基本楼上都说了，简单有效。
|
 |
wangcansunFeb 22, 2017
27
我是关闭密码登录，使用密钥的。。。本来每天也有很多攻击，后来就没了
|
 |
txydhrFeb 22, 2017 via iPad
28
正常的
|
 |
liangchFeb 22, 2017
29
fail2ban + 1
|
 |
kenshin912Feb 22, 2017
30
Fail2ban 解决的 , 端口我懒得改了...
另外我还禁止了 root 登录. |
 |
RqPS6rhmP3Nyn3TmFeb 22, 2017
31
我用 GPG 智能卡登陆
除非你把我给砍了拿走我的智能卡，否则基本上还是安全的 |
 |
AntonChenFeb 22, 2017
32
装个蜜罐玩
|
 |
lcorangeFeb 22, 2017
33
fail2ban
禁了 root 和密码登录，只用密钥 |
 |
laydownFeb 22, 2017
34
密码登录开着，加一个两步验证就好。
|
 |
estFeb 22, 2017
35
port knocking 没人用？
|
 |
kevin8096Feb 22, 2017
36
写个脚本 加入 host.deny
|
 |
abirdcanflyFeb 22, 2017
37
吓的我立马把 ss 服务器改成 lastpass 生产的 20 位密码
|
 |
clinoFeb 22, 2017
38
@abirdcanfly ss 一样可以用 fail2ban 来禁,我就开启了这个
|
 |
avichenFeb 22, 2017
39
fail2ban+X
|
 |
40
#39 楼有效， SSH 换端口没意义的，用软件一扫就能找到新端口了。用密码登录肯定不安全，除非复杂到 10 几位。
|
 |
41
开启 iptables 只允许某些 ip 访问这台主机的 22 端口
iptables -A INPUT -s *.*.*.* , *.*.*.* -p tcp --dport 22 -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j DROP |
 |
lovejoyFeb 22, 2017
42
我一小破路由器放公网上都有人来探测，尤其是阿里云的 IP
|
 |
fhefhFeb 22, 2017
43
安装了 fail2ban
 |
 |
44
我写了个程序监听在 22 上，有人连上来就吐 fuck you 字符串回去
|
 |
laiyingdongFeb 22, 2017
45
被扫了？有时候 IP 地址不干净被人攻击那更惨
|
 |
47
1. 换个端口
2. 禁 root 登录 3. 禁密码登录，只允许 ssh-key 4. 安装 fail2ban |
 |
PangdouyaFeb 22, 2017
48
密钥登陆+fail2ban
|
 |
wenymediaFeb 22, 2017 via Android
49
实在不放心就搞个可靠公网 IP 的服务器 做跳板机
|
 |
garyalenFeb 23, 2017 via Android
52
ssh only 监听内网 ipsec 大内网
|
|
RqPS6rhmP3Nyn3TmFeb 23, 2017 via iPhone
53
@ryd994 用实物而非密码的一个优点就是可以直接冲进厕所，然后我也没办法解了
|
 |
cevincheungFeb 23, 2017
54
fail2ban 换用 key 登录
|
 |
55
yum install denyhosts
systemctl enable denyhosts systemctl start denyhosts 登录换证书 以上，安心放假 |
|
56
不确定的电脑也没问题，用 agent forwarding ，密钥放在另一个机器上
|
 |
chuhemiaoFeb 23, 2017
57
怎么知道他请求了那么多次的？
|
 |
58
|
|
59
@chuhemiao cat /var/log/secure |grep Failed
|
 |
MrXiongFeb 23, 2017
60
centos 安装 fail2ban 按照教程，查看日志发现 Jail ssh-iptables is not a JournalFilter instance ，没有拦截日志怎么破
|
|
chuhemiaoFeb 23, 2017
61
@AlisaDestiny 我擦，我发现我的更多 233333 ，阿里云也被黑..
|
 |
nanjishiduFeb 23, 2017
62
@ETiV 好机智
|
Select Language