【教程】SSH分析及安全设置
SSH介绍
Secure Shell（缩写为SSH），由IETF的网络工作小组（Network Working Group）所制定；SSH为一项创建在应用层和传输层基础上的安全协议，为计算机上的Shell（壳层）提供安全的传输和使用环境。
传统的网络服务程序，如rsh、FTP、POP和Telnet其本质上都是不安全的；因为它们在网络上用明文传送数据、用户帐号和用户口令，很容易受到中间人（man-in-the-middle）攻击方式的攻击。就是存在另一个人或者一台机器冒充真正的服务器接收用户传给服务器的数据，然后再冒充用户把数据传给真正的服务器。而SSH是目前较可靠，专为远程登录会话和其他网络服务提供安全性的协议。利用SSH协议可以有效防止远程管理过程中的信息泄露问题。通过SSH可以对所有传输的数据进行加密，也能够防止DNS欺骗和IP欺骗。SSH之另一项优点为其传输的数据可以是经过压缩的，所以可以加快传输的速度。SSH有很多功能，它既可以代替Telnet，又可以为FTP、POP、甚至为PPP提供一个安全的“通道”。
SSH安全验证方法
在客户端来看，SSH提供两种级别的安全验证。
- 第一种级别（基于密码的安全验证），知道帐号和密码，就可以登录到远程主机，并且所有传输的数据都会被加密。但是，可能会有别的服务器在冒充真正的服务器，无法避免被“中间人”攻击。
- 第二种级别（基于密钥的安全验证），需要依靠密钥，也就是你必须为自己创建一对密钥，并把公有密钥放在需要访问的服务器上。客户端软件会向服务器发出请求，请求用你的密钥进行安全验证。服务器收到请求之后，先在你在该服务器的用户根目录下寻找你的公有密钥，然后把它和你发送过来的公有密钥进行比较。如果两个密钥一致，服务器就用公有密钥加密“质询”（challenge）并把它发送给客户端软件。从而避免被“中间人”攻击。
在服务器端，SSH也提供安全验证。 在第一种方案中，主机将自己的公用密钥分发给相关的客户端，客户端在访问主机时则使用该主机的公开密钥来加密数据，主机则使用自己的私有密钥来解密数据，从而实现主机密钥认证，确保数据的保密性。 在第二种方案中，存在一个密钥认证中心，所有提供服务的主机都将自己的公开密钥提交给认证中心，而任何作为客户端的主机则只要保存一份认证中心的公开密钥就可以了。在这种模式下，客户端必须访问认证中心然后才能访问服务器主机。
SSH安全设置实例
以一台安装了Debian9的服务器为例。按照尽可能安全的方法设置SSH。
1.不允许root账号的远程登陆
首先确保系统还有其他用户，如果没有，则需要新建一个。
sudo useradd username //新建一个用户
passwd username //为新用户设置一个密码
userdel username //删除一个用户
在ssh的配置文件/etc/ssh/sshd_config中会有PermitRootLogin选项，将值更改为no
PermitRootLogin no
重启ssh服务
systemctl restart sshd.service 或 service sshd restart //CentOS,Redhat系列系统使用
systemctl restart ssh 或 service ssh restart //Debian,Ubuntu系列系统使用
至此，服务器将不再接受root账号通过ssh登陆服务器。
2.更改ssh的登陆端口
由于ssh默认采用22端口和root账号登陆，故导致想登陆一台确定的服务器只需要尝试破解密码即可。因此，更改ssh的端口将极大的避免这个问题。
CentOS7系统更改ssh端口请参考本博客里的“【教程】CentOS7更改SSH端口”，CentOS5/6系统如下：
vim /etc/ssh/sshd_config //编辑ssh的配置文件
新建一个端口或者更改原先的端口号
#Port 22 //#表示使22端口失效
Port 2222
开放防火墙的相应端口
iptables -I INPUT 4 -m state --state NEW -p tcp --dport 2222 -j ACCEPT //放行端口
service iptables save //保存防火墙配置
service iptables reload //重启防火墙
最后重启ssh服务即可
service sshd restart
Debian以及Ubuntu系统如下：
vim /etc/ssh/sshd_config //编辑ssh的配置文件
新建一个端口或者更改原先的端口号
#Port 22 //#表示使22端口失效
Port 2222
开放防火墙的相应端口（如果没有启用防火墙就不需要此步）
iptables -A INPUT -p tcp --dport 2222 -j ACCEPT //放行端口
service iptables save //保存防火墙配置
service iptables reload //重启防火墙
最后重启ssh服务即可
service ssh restart 或 systemctl restart ssh
3.采用密钥及密码双验证
使用ssh-keygen -t rsa可以实现密钥登陆
ssh-keygen -t rsa //命令系统生产密钥
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): //选择密钥的位置，默认为/root/.ssh
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase): //输入密钥的密码，这样即使别人拿到密钥也无法使用。
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
更改ssh的配置文件/etc/ssh/sshd_config
禁止密码登陆：
PasswordAuthentication no //强烈建议先不禁止，等密钥登陆可用后再取消密钥登陆，以防错误操作导致无法登陆服务器。
开启密钥登陆：
RSAAuthentication yes
PubkeyAuthentication yes
只等密钥的存放位置：
AuthorizedKeysFile /root/.ssh/id_rsa
最后重启ssh服务
service ssh restart 或 systemctl restart ssh
并将密钥中的私钥下载到本地。
4.使用密钥通过SSH登陆
通过ssh客户端，如xshell登陆服务器时，选择Public Key。
导入私钥，并输入私钥的密码，并确认。
然后就可以只用带有密码的密钥登陆SSH，使得安全性得到提升。
由于不同的系统会有细微差别，请熟知自己使用的系统的特点，以免无法登陆服务器。
谨慎操作！
本文参考：
https://www.openssh.com/manual.html
https://zh.wikipedia.org/wiki/Secure_Shell