20 個 OpenSSH 最佳安全實踐 | Linux 中國

OpenSSH 是 SSH 協議的一個實現。一般透過 scp 或 sftp 用於遠端登入、備份、遠端檔案傳輸等功能。SSH能夠完美保障兩個網路或系統間資料傳輸的保密性和完整性。儘管如此，它最大的優勢是使用公匙加密來進行伺服器驗證。時不時會出現關於 OpenSSH 零日漏洞的傳言[1]。本文將描述如何設定你的 Linux 或類 Unix 系統以提高 sshd 的安全性。

OpenSSH 預設設定

1、 基於公匙的登入

OpenSSH 服務支援各種驗證方式。推薦使用公匙加密驗證。首先，使用以下 ssh-keygen命令在本地電腦上建立密匙對：

1024 位或低於它的 DSA 和 RSA 加密是很弱的，請不要使用。當考慮 ssh 客戶端向後相容性的時候，請使用 RSA密匙代替 ECDSA 密匙。所有的 ssh 金鑰要麼使用 ED25519 ，要麼使用 RSA，不要使用其它型別。

$ ssh-keygen -t key_type -b bits -C "comment"

示例：

$ ssh-keygen -t ed25519 -C "Login to production cluster at xyz corp"
或
$ ssh-keygen -t rsa -b 4096 -f ~/.ssh/id_rsa_aws_$(date +%Y-%m-%d) -C "AWS key for abc corp clients"

下一步，使用 ssh-copy-id 命令安裝公匙：

$ ssh-copy-id -i /path/to/public-key-file user@host
或
$ ssh-copy-id user@remote-server-ip-or-dns-name

示例：

$ ssh-copy-id vivek@rhel7-aws-server

提示輸入使用者名稱和密碼的時候，確認基於 ssh 公匙的登入是否工作：

$ ssh vivek@rhel7-aws-server

OpenSSH 服務安全最佳實踐

更多有關 ssh 公匙的資訊，參照以下文章：

2、 禁用 root 使用者登入

禁用 root 使用者登入前，確認普通使用者可以以 root 身份登入。例如，允許使用者 vivek 使用 sudo 命令以 root 身份登入。

在 Debian/Ubuntu 系統中如何將使用者 vivek 新增到 sudo 組中

允許 sudo 組中的使用者執行任何命令。 將使用者 vivek 新增到 sudo 組中[6]：

$ sudo adduser vivek sudo

使用 id 命令[7] 驗證使用者組。

$ id vivek

在 CentOS/RHEL 系統中如何將使用者 vivek 新增到 sudo 組中

在 CentOS/RHEL 和 Fedora 系統中允許 wheel 組中的使用者執行所有的命令。使用 usermod 命令將使用者 vivek 新增到 wheel 組中：

$ sudo usermod -aG wheel vivek
$ id vivek

測試 sudo 許可權並禁用 ssh root 登入

測試並確保使用者 vivek 可以以 root 身份登入執行以下命令：

$ sudo -i
$ sudo /etc/init.d/sshd status
$ sudo systemctl status httpd

新增以下內容到 sshd_config 檔案中來禁用 root 登入：

PermitRootLogin no
ChallengeResponseAuthentication no
PasswordAuthentication no
UsePAM no

更多資訊參見“如何透過禁用 Linux 的 ssh 密碼登入來增強系統安全[8]” 。

3、 禁用密碼登入

所有的密碼登入都應該禁用，僅留下公匙登入。新增以下內容到 sshd_config 檔案中：

AuthenticationMethods publickey
PubkeyAuthentication yes

CentOS 6.x/RHEL 6.x 系統中老版本的 sshd 使用者可以使用以下設定：

PubkeyAuthentication yes

4、 限制使用者的 ssh 訪問

預設狀態下，所有的系統使用者都可以使用密碼或公匙登入。但是有些時候需要為 FTP 或者 email 服務建立 UNIX/Linux 使用者。然而，這些使用者也可以使用 ssh 登入系統。他們將獲得訪問系統工具的完整許可權，包括編譯器和諸如 Perl、Python（可以開啟網路埠乾很多瘋狂的事情）等的指令碼語言。透過新增以下內容到 sshd_config 檔案中來僅允許使用者 root、vivek 和 jerry 透過 SSH 登入系統：

AllowUsers vivek jerry

當然，你也可以新增以下內容到 sshd_config 檔案中來達到僅拒絕一部分使用者透過 SSH 登入系統的效果。

DenyUsers root saroj anjali foo

你也可以透過配置 Linux PAM[9] 來禁用或允許使用者透過 sshd 登入。也可以允許或禁止一個使用者組串列[10]透過 ssh 登入系統。

5、 禁用空密碼

你需要明確禁止空密碼賬戶遠端登入系統，更新 sshd_config 檔案的以下內容：

PermitEmptyPasswords no

6、 為 ssh 使用者或者密匙使用強密碼

為密匙使用強密碼和短語的重要性再怎麼強調都不過分。暴力破解可以起作用就是因為使用者使用了基於字典的密碼。你可以強制使用者避開字典密碼[11]並使用約翰的開膛手工具[12]來檢測弱密碼。以下是一個隨機密碼生成器（放到你的 ~/.bashrc 下）：

genpasswd() {
    local l=$1
    [ "$l" == "" ] && l=20
    tr -dc A-Za-z0-9_ < /dev/urandom | head -c ${l} | xargs
}

執行：

genpasswd 16

輸出：

uw8CnDVMwC6vOKgW

7、 為 SSH 的 22埠配置防火牆

你需要更新 iptables/ufw/firewall-cmd 或 pf 防火牆配置來為 ssh 的 TCP 埠 22 配置防火牆。一般來說，OpenSSH 服務應該僅允許本地或者其他的遠端地址訪問。

Netfilter（Iptables） 配置

更新 /etc/sysconfig/iptables （Redhat 和其派生系統特有檔案） [16] 實現僅接受來自於 192.168.1.0/24 和 202.54.1.5/29 的連線，輸入：

-A RH-Firewall-1-INPUT -s 192.168.1.0/24 -m state --state NEW -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -s 202.54.1.5/29 -m state --state NEW -p tcp --dport 22 -j ACCEPT

如果同時使用 IPv6 的話，可以編輯 /etc/sysconfig/ip6tables （Redhat 和其派生系統特有檔案），輸入：

-A RH-Firewall-1-INPUT -s ipv6network::/ipv6mask -m tcp -p tcp --dport 22 -j ACCEPT

將 ipv6network::/ipv6mask 替換為實際的 IPv6 網段。

Debian/Ubuntu Linux 下的 UFW

UFW 是 Uncomplicated FireWall 的首字母縮寫，主要用來管理 Linux 防火牆[17]，目的是提供一種使用者友好的介面。輸入以下命令使得系統僅允許網段 202.54.1.5/29 接入埠 22[18]：

$ sudo ufw allow from 202.54.1.5/29 to any port 22

更多資訊請參見 “Linux：菜鳥管理員的 25 個 Iptables Netfilter 命令[19]”。

*BSD PF 防火牆配置

如果使用 PF 防火牆 /etc/pf.conf[20] 配置如下：

pass in on $ext_if inet proto tcp from {192.168.1.0/24, 202.54.1.5/29} to $ssh_server_ip port ssh flags S/SA synproxy state

8、 修改 SSH 埠和系結 IP

ssh 預設監聽系統中所有可用的網絡卡。修改並系結 ssh 埠有助於避免暴力指令碼的連線（許多暴力指令碼只嘗試埠 22）。更新檔案 sshd_config 的以下內容來系結埠 300 到 IP 192.168.1.5 和 202.54.1.5：

Port 300 
ListenAddress 192.168.1.5
ListenAddress 202.54.1.5

當需要接受動態廣域網地址的連線時，使用主動指令碼是個不錯的選擇，比如 fail2ban 或 denyhosts。

9、 使用 TCP wrappers （可選的）

TCP wrapper 是一個基於主機的訪問控制系統，用來過濾來自網際網路的網路訪問。OpenSSH 支援 TCP wrappers。只需要更新檔案 /etc/hosts.allow 中的以下內容就可以使得 SSH 只接受來自於 192.168.1.2 和 172.16.23.12 的連線：

sshd : 192.168.1.2 172.16.23.12

在 Linux/Mac OS X 和類 UNIX 系統中參見 TCP wrappers 設定和使用的常見問題[21]。

10、 阻止 SSH 破解或暴力攻擊

暴力破解是一種在單一或者分散式網路中使用大量（使用者名稱和密碼的）組合來嘗試連線一個加密系統的方法。可以使用以下軟體來應對暴力攻擊：

11、 限制 TCP 埠 22 的傳入速率（可選的）

netfilter 和 pf 都提供速率限制選項可以對埠 22 的傳入速率進行簡單的限制。

Iptables 示例

以下指令碼將會阻止 60 秒內嘗試登入 5 次以上的客戶端的連入。

#!/bin/bash
inet_if=eth1
ssh_port=22
$IPT -I INPUT -p tcp --dport ${ssh_port} -i ${inet_if} -m state --state NEW -m recent --set
$IPT -I INPUT -p tcp --dport ${ssh_port} -i ${inet_if} -m state --state NEW -m recent --update --seconds 60 --hitcount 5

在你的 iptables 指令碼中呼叫以上指令碼。其他配置選項：

$IPT -A INPUT -i ${inet_if} -p tcp --dport ${ssh_port} -m state --state NEW -m limit --limit 3/min --limit-burst 3 -j ACCEPT
$IPT -A INPUT -i ${inet_if} -p tcp --dport ${ssh_port} -m state --state ESTABLISHED -j ACCEPT
$IPT -A OUTPUT -o ${inet_if} -p tcp --sport ${ssh_port} -m state --state ESTABLISHED -j ACCEPT
# another one line example
# $IPT -A INPUT -i ${inet_if} -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 22 -m limit --limit 5/minute --limit-burst 5-j ACCEPT

其他細節參見 iptables 使用者手冊。

*BSD PF 示例

以下指令碼將限制每個客戶端的連入數量為 20，並且 5 秒內的連線不超過 15 個。如果客戶端觸發此規則，則將其加入 abusive_ips 表並限制該客戶端連入。最後 flush 關鍵詞殺死所有觸發規則的客戶端的連線。

sshd_server_ip = "202.54.1.5" 
table <abusive_ips> persist
block in quick from <abusive_ips>
pass in on $ext_if proto tcp to $sshd_server_ip port ssh flags S/SA keep state (max-src-conn 20, max-src-conn-rate 15/5, overload <abusive_ips> flush) 

12、 使用埠敲門（可選的）

埠敲門[28]是透過在一組預先指定的封閉埠上生成連線嘗試，以便從外部開啟防火牆上的埠的方法。一旦指定的埠連線順序被觸發，防火牆規則就被動態修改以允許傳送連線的主機連入指定的埠。以下是一個使用 iptables 實現的埠敲門的示例：

$IPT -N stage1
$IPT -A stage1 -m recent --remove --name knock
$IPT -A stage1 -p tcp --dport 3456 -m recent --set --name knock2
$IPT -N stage2
$IPT -A stage2 -m recent --remove --name knock2
$IPT -A stage2 -p tcp --dport 2345 -m recent --set --name heaven
$IPT -N door
$IPT -A door -m recent --rcheck --seconds 5 --name knock2 -j stage2
$IPT -A door -m recent --rcheck --seconds 5 --name knock -j stage1
$IPT -A door -p tcp --dport 1234 -m recent --set --name knock
$IPT -A INPUT -m --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A INPUT -p tcp --dport 22 -m recent --rcheck --seconds 5 --name heaven -j ACCEPT
$IPT -A INPUT -p tcp --syn -j door

ClientAliveInterval 300
ClientAliveCountMax 0

Banner /etc/issue

----------------------------------------------------------------------------------------------
You are accessing a XYZ Government (XYZG) Information System (IS) that is provided for authorized use only.
By using this IS (which includes any device attached to this IS), you consent to the following conditions:
+ The XYZG routinely intercepts and monitors communications on this IS for purposes including, but not limited to,
penetration testing, COMSEC monitoring, network operations and defense, personnel misconduct (PM),
law enforcement (LE), and counterintelligence (CI) investigations.
+ At any time, the XYZG may inspect and seize data stored on this IS.
+ Communications using, or data stored on, this IS are not private, are subject to routine monitoring,
interception, and search, and may be disclosed or used for any XYZG authorized purpose.
+ This IS includes security measures (e.g., authentication and access controls) to protect XYZG interests--not
for your personal benefit or privacy.
+ Notwithstanding the above, using this IS does not constitute consent to PM, LE or CI investigative searching
or monitoring of the content of privileged communications, or work product, related to personal representation
or services by attorneys, psychotherapists, or clergy, and their assistants. Such communications and work
product are private and confidential. See User Agreement for details.
----------------------------------------------------------------------------------------------

IgnoreRhosts yes

HostbasedAuthentication no

$ sudo yum erase openssh-server

$ sudo apt-get remove openssh-server

# service iptables restart
# service ip6tables restart

#################[ WARNING ]########################
# Do not use any setting blindly. Read sshd_config #
# man page. You must understand cryptography to    #
# tweak following settings. Otherwise use defaults #
####################################################
# Supported HostKey algorithms by order of preference.
HostKey /etc/ssh/ssh_host_ed25519_key
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
# Specifies the available KEX (Key Exchange) algorithms.
KexAlgorithms curve25519-sha256@libssh.org,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256
# Specifies the ciphers allowed
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
#Specifies the available MAC (message authentication code) algorithms
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,umac-128@openssh.com
# LogLevel VERBOSE logs user's key fingerprint on login. Needed to have a clear audit track of which key was using to log in.
LogLevel VERBOSE
# Log sftp level file access (read/write/etc.) that would not be easily logged otherwise.
Subsystem sftp /usr/lib/ssh/sftp-server -f AUTHPRIV -l INFO

$ ssh -Q cipher
$ ssh -Q cipher-auth
$ ssh -Q mac
$ ssh -Q kex
$ ssh -Q key

$ sudo sshd -t

$ sudo sshd -T

$ [sudo systemctl start ssh][38] ## Debian/Ubunt Linux##
$ [sudo systemctl restart sshd.service][39] ## CentOS/RHEL/Fedora Linux##
$ doas /etc/rc.d/sshd restart ## OpenBSD##
$ sudo service sshd restart ## FreeBSD##