—— 实用安全策略与临时应对方案
在生产环境中,系统管理员常常因以下原因无法立即升级 OpenSSH:
尽管如此,面对已披露的漏洞(如 CVE-2023-38408、CVE-2020-14145 等),仍需采取有效措施降低风险。
通过防火墙(如 iptables 或 firewalld)仅允许可信 IP 访问 SSH 端口(默认 22):
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j DROP
编辑 /etc/ssh/sshd_config,关闭以下选项:
PermitRootLogin no:禁止 root 直接登录PasswordAuthentication no:强制使用密钥认证AllowAgentForwarding noAllowTcpForwarding no(如无需端口转发)X11Forwarding no修改后重启 SSH 服务:systemctl restart sshd
安装并配置 Fail2ban 可自动封禁多次尝试失败的 IP:
apt install fail2ban # Debian/Ubuntu yum install fail2ban # CentOS/RHEL
在 sshd_config 中指定允许登录的用户或组:
AllowUsers alice bob AllowGroups sshusers
启用详细日志(LogLevel VERBOSE),并定期检查 /var/log/secure 或 /var/log/auth.log。