记录下防御SSH爆破攻击的经验（CentOS7.3）

一、安装denyhosts

1.安装denyhosts

1 yum install -y denyhosts

2.配置（yum安装时，大部分配置已写好，稍作改动即可）

1 vim /etc/denyhosts.conf

1 DENY_THRESHOLD_INVALID = 5 #无效用户名限制登陆次数
2 DENY_THRESHOLD_VALID = 10 #有效用户名限制登陆次数
3 DENY_THRESHOLD_ROOT = 5 #root限制登陆次数
4 AGE_RESET_ROOT = 1d  #root用户登录失败计数归零的时间
5 ADMIN_EMAIL = root@localhost #管理员邮箱

3.设置白名单、黑名单

1 vim /etc/hosts.deny
2 vim /etc/hosts.allow

相关命令

启动命令yum安装，已默认配好

1 service denyhosts start #启动
2 service denyhosts stop #停止
3 service denyhosts status #显示状态

加入自启动

1 chkconfig denyhosts on

二、禁止root远程登录、建立root权限的普通用户

1.建立普通用户

1 useradd name //name为添加用户名字
2 passwd name //password为密码

2.获取root权限

1 vi /etc/sudoers

找到如下行：
记录下防御SSH爆破攻击的经验（CentOS7.3）
更改为：

3.禁止root远程登录

1 vi /etc/ssh/sshd_config

将PermitRootLogin yes改为no

三、更改默认22端口为其他不常见端口

增加不常见端口号到配置文件

1 vi /etc/ssh/sshd_config    #Port 18888

将该端口添加到防火墙

1 firewall-cmd --zone=public --add-port=18888/tcp --permanent  #permanent是保存配置，不然下次重启以后这次修改无效

重启防火墙

1 firewall-cmd --reload

查看端口是否添加成功

1 firewall-cmd --zone=public --query-port=18888/tcp

重启SSH

1 systemctl restart sshd.service

最后一步将/etc/ssh/sshd_config里的Port 22注释掉，改成现在你允许的端口