有人猜解 Linux 的 ssh 服务，你们是怎么处理的？

Distributions

中文资源站

› 网易开源镜像站

This topic created in 3131 days ago, the information mentioned may be changed or developed.

最近有个人一直在猜解我的 ssh，五分钟猜一次，持续了快半个月了。
虽然我知道他猜不出来，但是一直在日志里晃悠，强迫症受不了啊
之前试过 /etc/hosts.deny，但是还是会进入 pam 验证过程后再拒绝
有什么办法能针对 IP，直接拒绝访问的方法吗？ iptables ？

Supplement 1 · Oct 24, 2017

下面回复出现的解决方法，整理如下：
1.换端口（感觉作用不大，nmap 还是能扫出来）
2.IP 登录白名单（如果换 IP 就坑了）
3.登录方式换为公私钥（虽然安全性很高，但我还是喜欢帐密，可以用不同设备随时登录）
4.tcp_wrappers （通过 pam 认证过程后才拒绝，感觉有点迟钝）
5.iptables （针对某 IP 或 IP 段还是比较好用的）
6.fail2ban （这个可以尝试下）
7.port knocking （这个很 6，就是不知实际使用效果如何，可以试试）

我倒是还一个思路：
sshd 监听 127.0.0.1，这样外网就扫不到 sshd 的端口了
服务器开着代理服务（比如$$，或 v2ray ）
然后通过代理，访问 127.0.0.1 登录 ssh
但是有个问题是，sshd 绑定到 127.0.0.1 就会无法启动，有 dalao 知道是啥情况吗？

Supplement 2 · Oct 25, 2017

update:
8.denyhosts （类似 fail2ban ）
9.在 ssh 端口上做蜜罐，反套路（思路清奇）
10.ssh 多开，九假一真（脑洞真大）

Supplement 3 · Nov 5, 2017

update:
11.集成 Google Authenticator 两步验证登录(这个也很不错的样子)

69 replies • 2017-11-04 10:31:36 +08:00

opengps

Oct 24, 2017 via Android

换端口啊

zlfzy

Oct 24, 2017

就是你那个加入 /etc/hosts.deny 就可以了，而且 tcp_wrappers 的优先级貌似高于 iptables，没必要再加入 iptables

sagaxu

Oct 24, 2017

标准答案不是 fail2ban 吗?

wxm4ever

Oct 24, 2017

阿里云 ECS 不天天被人扫么

isCyan

Oct 24, 2017

装个 fail2ban 不用配置，默认就会帮你自动封

clino

Oct 24, 2017

fail2ban+1
装上了不用配置直接就能防
当然要更严格,比如更少的失败次数更长的封禁时间,可以自己改配置

j4fun

Oct 24, 2017

换个数字大一点的端口肿么样？或者改成秘钥登陆。。
或者 iptables -t filter -d ip -j REJECT ?

aalska

Oct 24, 2017

随便他扫。。。。。看着他从 0 次失败变成 50w 次失败心情舒爽

kmahyyg

Oct 24, 2017 via Android

301 到 10GB.test

type

Oct 24, 2017

使用 SSH KEY 来登陆，并且关闭密码登陆。
就没人尝试你的 SSH 密码了。

sagaxu

Oct 24, 2017

@zlfzy Changes since OpenSSH 6.6
=========================

Potentially-incompatible changes
* sshd(8): Support for tcpwrappers/libwrap has been removed.

WordTian

Oct 24, 2017

@opengps 懒，不想换，换了我的手机电脑上的 ssh 配置都得改
@zlfzy 我一直以为 iptables 的优先级更高 /doge
@j4fun 端口已经是 5 位数字的了，密钥感觉不太方便
@sagaxu @clino 回头试试
@aalska 怎么说呢，其实不知道他在扫还好，发现了强迫症就忍不了

est

Oct 24, 2017

把登陆成功的提示语改成：Permission denied, please try again.

sagaxu

Oct 24, 2017

@WordTian iptables 的优先级更高，你理解无误

likuku

Oct 24, 2017

@WordTian 不方便？比密钥更方便唯有空密码了。

ferstar

Oct 24, 2017

楼上 fail2ban 可破, 或者 iptables 也是美滋滋的
https://ferstar.org/post/root/ssrbei-e-yi-sao-miao-shi-xu-yao-zuo-de-shi-qing

fe619742721

Oct 24, 2017

@est 我看行。。。

zjyl1994

Oct 24, 2017

我端口都没换，把密码登录关掉，只允许 SSH 密钥登录，这样就行了

zlfzy

Oct 24, 2017

@sagaxu 实测 openssh-6.6 版本 tcpwrappers 依然有效
加入 /etc/hosts.deny 之后再连 ssh：
“ ssh_exchange_identification: read: Connection reset by peer ”

aalska

Oct 24, 2017

@WordTian 我也强迫症我就是强迫一定要看到对面登陆失败

sagaxu

Oct 24, 2017

@zlfzy Changes since OpenSSH 6.6，6.6 是最后一个能用的版本

zlfzy

Oct 24, 2017

@sagaxu 噢噢，谢谢

levenhdu

Oct 24, 2017

mark

eslizn

Oct 24, 2017

证书登录，如果对方能猜解出来，我也认了

Phariel

Oct 24, 2017

关闭密码登入，换私钥，改端口

cye3s

Oct 24, 2017

就算改密钥登陆，关密码，也还是有大把 ip 来尝试，顺便上了 fial2ban

psirnull

Oct 24, 2017

/sbin/iptables -A INPUT -s 1.1.1.0/24 -j DROP #网段
/sbin/iptables -A INPUT -s 1.1.1.0 -j DROP #ip

zpvip

Oct 24, 2017

fail2ban + 最多三次尝试 + IP 白名单
白名单里放另一台服务器的 IP

SSH 改端口一般是第一件事，改的时候小心点，新的端口通了再删除旧的，不然连不上只能控制面板重装系统了。

zpf124

Oct 24, 2017

只允许秘钥登录 +1。

唯一有点方的就是前段时间那个 xshell 被植入恶意后门那个，我当时更新到了中招版本。
不过知道它上传秘钥不，反正目前那个服务器啥也不干，如果发现被人黑了，我再换秘钥。

okletswin

Oct 24, 2017

更换端口+秘钥登陆

macfee

Oct 24, 2017

@zpvip console 呢？

vipper

Oct 24, 2017

今天好像看到一篇有关 ssh 私钥泄露的新闻，不知真假，不过还是小心为好。

另外，像这种扫你登录的可以直接 iptables ban 掉他

之前我的一个论坛，一直有人在猜管理员密码，看日志 ip 不是固定的，前 3 位一样，但第四位会变，于是我就将那个段的 IP 全 ban 了，之后再也没有猜解的出现

woshinide300yuan

Oct 24, 2017

0.0 我是阿里云安全组仅允许固定 IP 访问 SSH 端口，不知道这样有用吗！

zander

Oct 24, 2017

/etc/ssh/sshd_config
PasswordAuthentication no

hjc4869

Oct 24, 2017

ssh 关掉

yingtl

Oct 24, 2017

有个脚本，如果检测到我登陆进去了，就把端口关上。没有登陆就开着端口。
然后我长年保持登陆

ArcticL

Oct 24, 2017

@yingtl 端口关了，怎么通信的？

q397064399

Oct 24, 2017

随便扫，你能扫到算我输

sagaxu

Oct 24, 2017

@ArcticL port knocking，敲门敲对了才能 connect
https://wiki.archlinux.org/index.php/Port_knocking

ArcticL

Oct 24, 2017

@sagaxu 这个还挺好玩的

srx1982

Oct 24, 2017

@woshinide300yuan 万一你的 ip 变了。。。

feast

Oct 24, 2017

57880 123.183.209.135
20925 58.242.83.26
16902 60.18.229.201
16878 58.242.83.35
16271 123.183.209.136
12324 59.63.166.83
11911 42.7.26.49
10259 121.18.238.106
9554 221.194.44.212
8816 218.65.30.190
8757 59.45.175.96
8605 221.194.47.242
8538 121.18.238.28
8455 123.244.9.47
8378 59.45.175.94
8373 121.18.238.119
8351 59.45.175.95
8209 221.194.47.224
8130 59.45.175.98
8050 218.87.109.150
7903 59.45.175.67
7773 121.18.238.123
7673 221.194.47.236
7417 221.194.47.233

48757 218.65.30.124
39393 123.244.9.46
38337 61.177.172.66
26713 58.242.83.14
21392 42.7.26.15
19163 218.65.30.126
10409 103.242.58.237
9516 218.65.30.30
8673 121.18.238.106
8469 42.7.26.60
7960 221.194.47.236
7947 61.177.172.60
7897 59.45.175.11
7712 58.57.65.112
7463 59.45.175.96
7440 121.18.238.125
7425 121.18.238.123
7361 221.194.47.242
7193 221.194.47.233
6772 221.194.44.212
6696 121.18.238.119
6659 59.45.175.95
6635 59.45.175.67
6109 121.18.238.28

开机半个月的 JJ