FreeBSD下的ssh安全防护

在查看freebsd日志的时候总免不了在auth.log中发现大量的ssh用户名扫描,说实话,这帮人实在无聊,就算我用户名和密码都告诉他了他一样登陆不了,何必呢?本文将说说freebsd下的ssh安全我们可以做些什么。按本文操作,不敢说你的ssh就100%安全,不过至少我们可以更安全点。下面是日志的一段:

Dec 13 10:16:30 ddd sshd[46500]: Invalid user raimundo from 59.124.60.69
Dec 13 10:17:49 ddd sshd[46512]: Invalid user alexandre from 59.124.60.69
Dec 13 10:20:18 ddd sshd[46523]: Did not receive identification string from 59.124.60.69
Dec 13 10:21:10 ddd sshd[46524]: Invalid user a from 59.124.60.69
Dec 13 10:22:06 ddd sshd[46541]: Invalid user mercedes from 59.124.60.69
Dec 13 10:23:26 ddd sshd[46545]: Invalid user raimundo from 59.124.60.69
Dec 13 10:23:36 ddd sshd[46547]: Invalid user raimundo from 59.124.60.69
Dec 13 10:23:40 ddd sshd[46549]: Did not receive identification string from 59.124.60.69
Dec 13 10:23:49 ddd sshd[46550]: Invalid user raimundo from 59.124.60.69
Dec 13 10:24:25 ddd sshd[46552]: Invalid user raimundo from 59.124.60.69
Dec 13 10:24:33 ddd sshd[46554]: Invalid user raimundo from 59.124.60.69
Dec 13 10:24:37 ddd sshd[46556]: Did not receive identification string from 59.124.60.69

首先,如果你采用默认的验证(pam)登录方式,且允许root登陆,如果不做其他安全防护的话那么你的服务器被攻入的概率非常高。现在暴力破解软件非常之多,想想,以现在电脑的效率,10位以内的密码你认为多少时间能被算出来?况且很多人的密码没有达到十位。

一、无论如何,我建议fb的服务器开启防火墙ipfw,iptables什么的都行,看个人习惯。以ipfw为例:我的原则是没用的端口全部封了,对于进入的链接全部采取限制,比如ssh对于同一个ip我一般只允许有一条链接,这样可以降低暴力破解的速度节省服务器资源:

01500 allow tcp from any to me dst-port 22 in via em0 setup limit src-addr 1

二、禁止root登陆

#ee /etc/ssh/sshd_config
Port 22  #这里的端口可根据需要修改,不过要注意防火墙也要开启其端口
Protocol 2
PermitRootLogin no  #这将禁止root直接登录

# Authentication:
PermitRootLogin no  #以下相同颜色的几行将允许采用密匙验证
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile      .ssh/authorized_keys
# Change to yes to enable built-in password authentication.
PasswordAuthentication no
PermitEmptyPasswords no
# Change to no to disable PAM authentication

三、采用密匙登陆

这在操作上要及其小心以免把自己关注外面。原则上等密匙登陆成功后再关闭pam登陆模式(openssh默认的验证方式)。制作密匙的过程如下:

登陆服务器切换到你需要登陆的用户名,然后执行如下命令:

#ssh-keygen -t rsa -b 1024
执行上面命令后将问你密匙保存位置和密码。最后将在用户的家庭目录下的.ssh/下生成一个公匙(id_rsa.pub)和一个私匙(id_rsa)
Generating public/private rsa key pair.
Enter file in which to save the key (/home/ezool/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/ezool/.ssh/id_rsa.
Your public key has been saved in /home/ezool/.ssh/id_rsa.pub.
上面的过程你可以不输入密码,那样只要载入密匙就登陆服务器,不过不建议那样做。生成后你需要切换到ssh密匙目录下修改公匙文件名
#cd /home/test/.ssh  #test改成你生成密匙的用户名
#cat id_rsa.pub > authorized_keys #也可以用 mv id_rsa.pub authorized_keys直接修改文件名
#chmod 600 authorized_keys #仅供本人读写
#rm id_rsa.pub #移除刚生成的公匙文件
接着你需要把私匙下载下来:
#cat id_rsa > /www/myweb/mykey.ppk #注意路劲哦,这里由于是承接上面,因此用户还在.ssh目录下
#rm id_rsa

通过ftp把密匙下载下来,然后需要注意,这里下载下来的密匙还没办法直接用于PuTTY,需要通过puttygen转换

启用putty key generator,点击load载入刚下载下来的私匙,这时他会提示转换,只要在save private key就可以,这样这个文件就能用。

登陆的时候注意左边的ssh下面有个 Auth,通过这个载入私匙,然后就可以登录。如果登陆成功,这这时可以关闭默认的pam验证方式

#ee  /etc/ssh/sshd_config 修改以下的两行
ChallengeResponseAuthentication no
UsePam no
#/etc/rc.d/sshd restart #重启sshd使配置生效

四、禁止ssh暴力破解

我们采用密匙验证方式后,除非你的私匙、用户名、密码泄露,否则不管别人扫描你都不用担心了。唯一不爽的是天天有人扫描,这极大浪费了服务器资源,我们可以通过软件来禁止别人无故扫描。基本工作原理是:
读取auth.log文件,从中匹配用户登录失败用户,如果连续几次登陆失败,则把ip加入denyhost或者防火墙,或者断开该ip的链接,这样使得他的扫描无法继续下去。相关的软件如:fail2ban、Sshguard、DenyHosts等,详细的以后会介绍

相关推荐