SSH 来源限制是什么
SSH 是公网上被暴力破解最多的服务之一，安全组里把 22 端口的来源收敛到最小范围，是最省事也最有效的一道门。原则很简单：只允许堡垒机安全组或办公网出口 IP 段访问，其余一律拒绝。没有堡垒机时，至少要限制到固定的办公出口 IP，并配合密钥认证与失败锁定。
基本信息
| 目标规则 | TCP 22 来源 = 堡垒机安全组，或办公出口 IP/网段 |
|---|---|
| 加固组合 | 密钥认证、禁用 root 直登、失败锁定、改非标端口辅助降噪 |
| 边界认知 | 非标端口只减少扫描噪音，不是安全措施 |
| 同行端口 | Windows 的 3389 同样要限制，别只盯着 22 |
| 操作前提 | 先用云控制台 VNC 或会话管理器保留一条备用通道 |
典型使用场景
- 公网服务器上线：默认拒绝入方向，再单独放行管理来源
- 办公出口固定：把公司出口 IP 段写进规则，员工直连不上就走堡垒机
- 临时授权：为临时外包开一条 22 规则，并在到期当日移除
- 被爆破后的应急：查看登录失败日志，同时收紧来源并启用密钥认证
- 合规要求：等保检查项要求管理端口不得对全网开放
限制 SSH 来源
限制 SSH 来源
aliyun ecs AuthorizeSecurityGroup --RegionId cn-hangzhou \
--SecurityGroupId sg-xxxx --IpProtocol tcp --PortRange 22/22 \
--SourceCidrIp 203.0.113.0/24 # 仅允许办公出口网段
# 来源能写安全组 ID 就不写 IP 段，改 IP 时不用逐条改规则
sshd -T | grep -E 'passwordauthentication|permitrootlogin' # 核对服务端加固是否生效SSH 加固项对照
| 措施 | 作用 | 注意事项 |
|---|---|---|
| 来源限制 | 从网络层挡住全网扫描 | 先确认备用通道可用再收紧 |
| 密钥认证 | 杜绝口令爆破成功 | 先验证密钥能登录再关闭密码 |
| 禁用 root 直登 | 降低爆破成功后的破坏力 | 保留普通用户加免密提权路径 |
| 失败锁定 | 自动封禁高频失败来源 | 注意排除堡垒机与监控的误封 |
| 非标端口 | 减少自动化扫描噪音 | 挡不住定向扫描，仅是降噪 |
收紧 SSH 规则前，确认至少还有一条可用管理通道（控制台 VNC、会话管理器或堡垒机），否则可能把自己彻底锁在门外。
安全组规则的来源尽量写安全组 ID 而不是 IP 段：堡垒机扩容、出口 IP 变更时不需要逐条修改规则，也避免漏改。