| 服务 | SSH（sshd / OpenSSH） |
|---|---|
| 协议 | TCP |
| 用途 | 加密远程登录、SFTP/SCP、端口转发、隧道 |
| 安全等级 | 公网暴露必须加固 |
SSH 替代 telnet 成为标准远程管理协议；暴露公网后通常几分钟内就会出现扫描与口令尝试。
常见攻击与加固对照
| 风险 | 说明 | 加固建议 |
|---|---|---|
| 口令爆破 | 针对 root/admin 的自动化尝试 | 禁用密码登录，改用密钥认证 |
| 弱口令 | 字典可命中常见口令 | 强口令策略 + 失败锁定 |
| 版本漏洞 | OpenSSH 历史漏洞影响面大 | 保持版本更新与补丁 |
sshd_config 关键加固项
sshd_config 关键加固项
PasswordAuthentication no
PubkeyAuthentication yes
PermitRootLogin prohibit-password
MaxAuthTries 3
LoginGraceTime 30firewalld 仅放行管理网段
firewalld 仅放行管理网段
firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=10.0.0.0/8 port port=22 protocol=tcp accept'
firewall-cmd --reload不要把 22 直接裸奔公网；至少组合：密钥认证 + 来源限制 + fail2ban，必要时经堡垒机。