1. 项目概述最近在整理服务器运维的实战笔记发现很多新手朋友甚至一些有经验的同行在拿到一台全新的 CentOS 7 服务器后直接就开干了。结果没过多久服务器就被各种扫描脚本盯上轻则资源被占重则数据泄露。这让我想起自己刚入行时踩过的坑所以决定把 SSH 安全加固和 CentOS 7 初始化配置这两个最基础、也最关键的环节系统地梳理一遍。这不仅仅是改几个配置参数而是一套从外到内、层层设防的服务器“开箱即用”安全基线。无论你是个人开发者管理 VPS还是企业运维负责生产环境这套流程都能帮你快速建立一个稳固的起点把绝大多数低级攻击挡在门外。接下来我会结合最新的工具和常见的攻击手法带你一步步操作并解释清楚每一步背后的“为什么”。2. SSH 安全加固从“门户大开”到“固若金汤”SSH 是通往服务器的唯一大门默认配置就像给这道门装了一把家家户户都一样的锁。安全加固的核心就是换锁、加监控、设门槛让攻击者无从下手。2.1 修改默认端口告别22端口的“扫射”默认的 22 端口是全世界扫描器的首要目标。修改端口是成本最低、效果最显著的防护措施之一。操作步骤与原理备份配置文件这是所有系统修改前的铁律。执行cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak。编辑 SSH 配置文件使用vim /etc/ssh/sshd_config打开文件。找到#Port 22这一行通常在文件靠前部分。取消注释并修改删除行首的#号并将22改为一个你自定义的端口号例如Port 23456。这里有个关键点端口号应在 1024 到 65535 之间且避免使用像 2222、22222 这样过于常见的替代端口。保存并重启服务按Esc键输入:wq保存退出。执行systemctl restart sshd重启 SSH 服务使配置生效。注意在重启sshd服务前千万不要关闭当前的 SSH 连接窗口。你应该新开一个终端窗口用新端口尝试连接确认成功后再关闭旧会话。否则一旦新端口不通你将失去服务器连接。防火墙与安全组配置修改端口后必须同步更新防火墙规则。CentOS 7 默认使用firewalld。查看当前防火墙状态systemctl status firewalld如果未运行需启动并设置开机自启systemctl start firewalld systemctl enable firewalld开放新端口firewall-cmd --permanent --add-port23456/tcp移除旧的 22 端口可选但建议firewall-cmd --permanent --remove-port22/tcp重载防火墙配置firewall-cmd --reload验证端口是否开放firewall-cmd --list-ports如果你使用的是云服务器如阿里云、腾讯云、华为云等还需在云平台的安全组规则中添加入方向规则允许你的新 SSH 端口如 23456/TCP。切记在安全组中移除或禁用默认的 22 端口入站规则。2.2 禁用密码登录强制使用密钥对从根本上杜绝暴力破解密码登录面临暴力破解和密码泄露的风险。SSH 密钥对公钥加密私钥解密在数学上几乎不可破解是更安全的身份验证方式。生成密钥对在本地客户端进行在你自己常用的电脑Linux/macOS 终端或 Windows 的 Git Bash/WSL上操作ssh-keygen -t rsa -b 4096 -C “your_emailexample.com” -f ~/.ssh/my_centos7_key-t rsa: 指定密钥类型为 RSA。-b 4096: 指定密钥长度为 4096 位安全性更高。-C: 添加一个注释通常用邮箱便于识别。-f: 指定密钥文件的保存路径和名称。命令会生成两个文件my_centos7_key私钥必须严格保密和my_centos7_key.pub公钥需上传到服务器。部署公钥到服务器将公钥内容追加到服务器的~/.ssh/authorized_keys文件中。最安全的方式是使用ssh-copy-id命令如果本地支持ssh-copy-id -i ~/.ssh/my_centos7_key.pub -p 23456 usernameyour_server_ip如果无法使用ssh-copy-id可以手动操作在服务器上确保~/.ssh目录存在且权限为700mkdir -p ~/.ssh chmod 700 ~/.ssh将本地公钥文件内容复制粘贴到服务器的~/.ssh/authorized_keys文件中可使用cat 命令追加。设置authorized_keys文件权限为600chmod 600 ~/.ssh/authorized_keys配置 SSH 服务端禁用密码登录再次编辑/etc/ssh/sshd_config找到PasswordAuthentication选项将其改为no。找到PubkeyAuthentication选项确保其为yes默认通常是。可选但推荐禁用空密码PermitEmptyPasswords no。强烈推荐禁止 root 用户直接登录找到PermitRootLogin将其改为no或prohibit-password如果必须密钥登录 root。日常使用普通用户通过 SSH 登录再用su或sudo提权。保存并重启 SSH 服务systemctl restart sshd。测试与故障排查测试密钥登录ssh -i ~/.ssh/my_centos7_key -p 23456 usernameyour_server_ip如果失败检查服务器/var/log/secure日志文件通常会有详细的错误信息。常见问题包括authorized_keys文件权限不对、私钥权限太开放应为600、sshd_config中PubkeyAuthentication未开启。2.3 使用 Fail2ban 动态封禁攻击者主动防御Fail2ban 是一个入侵防御框架它监控系统日志如/var/log/secure当发现同一 IP 在短时间内多次进行失败的 SSH 登录尝试时会自动调用防火墙规则如iptables或firewalld将该 IP 封禁一段时间。安装与配置安装 Fail2banyum install epel-release -y yum install fail2ban -y创建本地配置文件避免升级被覆盖cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local编辑/etc/fail2ban/jail.local找到[sshd]段落进行关键配置[sshd] enabled true port 23456 # 这里务必改成你修改后的 SSH 端口 filter sshd logpath /var/log/secure maxretry 5 # 最大重试次数 findtime 600 # 在10分钟内 bantime 3600 # 禁止访问1小时 action firewallcmd-ipset # 使用 firewalld 作为动作启动并设置开机自启systemctl start fail2ban systemctl enable fail2ban查看状态fail2ban-client status sshd可以查看当前被禁用的 IP 列表。实操心得bantime可以设置得长一些比如86400一天对于明显的攻击行为封禁久一点没关系。可以将自己的 IP 添加到ignoreip配置项中防止自己因操作失误被误封。定期检查/var/log/fail2ban.log了解封禁情况。2.4 其他高级加固选项在/etc/ssh/sshd_config中还可以考虑以下设置Protocol 2: 强制使用 SSH 协议版本 2禁用不安全的版本 1。LoginGraceTime 30: 设置登录超时时间为 30 秒防止客户端长时间占用未认证的连接。MaxAuthTries 3: 设置每个连接最大认证尝试次数为 3 次。AllowUsers your_username: 仅允许指定的用户通过 SSH 登录白名单机制最安全。UseDNS no: 禁用 DNS 反向解析可以加快 SSH 登录速度尤其是在 DNS 服务器不佳的环境中。完成所有 SSH 配置后务必执行systemctl restart sshd重启服务并使用新端口和新密钥方式进行登录测试确保一切正常后再关闭原有连接。3. CentOS 7 系统初始化配置打造稳定高效的运行环境SSH 大门锁好后我们就要对系统内部进行一番“精装修”使其更安全、高效、易于管理。3.1 系统更新与基础工具安装一个过时的系统是漏洞的温床。第一步永远是更新。# 更新系统所有包到最新版本 sudo yum update -y # 安装常用的工具集如网络工具、压缩解压、进程查看等 sudo yum install -y vim wget curl net-tools lsof telnet tree htop iftop iotop ncdu psmisc yum-utilsyum update会更新所有已安装的软件包包括内核。如果涉及内核更新需要重启生效。安装的这些工具是日常运维的“瑞士军刀”htop比top更直观iftop/iotop用于监控网络/磁盘 IO。3.2 配置防火墙Firewalld策略CentOS 7 的firewalld比iptables配置更动态、易管理。我们配置一个“默认拒绝按需开放”的策略。# 1. 设置默认区域为 public并配置默认策略 sudo firewall-cmd --set-default-zonepublic sudo firewall-cmd --runtime-to-permanent # 将运行时配置转为永久配置 # 2. 移除不必要的服务如果不需要 sudo firewall-cmd --remove-servicedhcpv6-client --permanent # 3. 根据你的服务开放端口示例 # 假设你运行了 Web 服务 (80, 443) 和自定义的 SSH 端口 23456 sudo firewall-cmd --permanent --add-servicehttp sudo firewall-cmd --permanent --add-servicehttps sudo firewall-cmd --permanent --add-port23456/tcp # 4. 重载防火墙使配置生效 sudo firewall-cmd --reload # 5. 查看当前生效的规则 sudo firewall-cmd --list-all注意事项使用--permanent参数使规则永久生效否则重启后丢失。firewall-cmd --reload会重载配置并保持现有连接比--complete-reload中断所有连接更友好。对于复杂的规则可以考虑使用rich-rule或者直接编写firewalld的 XML 区域文件。3.3 配置时间同步NTP/Chrony服务器时间不准会导致日志时间错乱、证书验证失败等问题。CentOS 7 默认使用chronyd服务。# 1. 安装 chrony通常已预装 sudo yum install -y chrony # 2. 编辑配置文件使用可靠的 NTP 服务器池 sudo vim /etc/chrony.conf # 可以将 server 开头的行替换为 server ntp.aliyun.com iburst server time1.cloud.tencent.com iburst server pool.ntp.org iburst # 3. 启动并设置开机自启 sudo systemctl start chronyd sudo systemctl enable chronyd # 4. 查看时间同步状态 chronyc sources -v chronyc trackingiburst选项可以在服务启动时快速进行数次时间同步加速初始同步过程。3.4 禁用不必要的服务最小化原则是安全的重要一环。禁用不需要的服务减少攻击面。# 查看所有开机自启的服务 systemctl list-unit-files --typeservice | grep enabled # 常见的可考虑禁用的服务根据实际情况判断 sudo systemctl disable postfix # 邮件服务若无邮件需求 sudo systemctl disable avahi-daemon # 局域网服务发现服务器通常不需要 sudo systemctl disable cups # 打印服务 # 注意不要盲目禁用需确认服务用途。生产环境建议在测试环境先验证。3.5 配置系统资源限制与内核参数优化通过修改/etc/security/limits.conf文件可以调整用户或进程的资源限制防止某个用户进程耗尽系统资源。sudo vim /etc/security/limits.conf # 在文件末尾添加例如 * soft nofile 65535 # 所有用户打开文件数的软限制 * hard nofile 65535 # 所有用户打开文件数的硬限制 * soft nproc 65535 # 所有用户进程数的软限制 * hard nproc 65535 # 所有用户进程数的硬限制对于高并发应用如 Web 服务器可能还需要调整内核网络参数编辑/etc/sysctl.conf# 增加 TCP 连接队列大小 net.core.somaxconn 65535 # 加快 TCP 连接回收 net.ipv4.tcp_tw_reuse 1 net.ipv4.tcp_tw_recycle 1 # 注意在 NAT 环境下慎用此参数 # 增加系统最大文件描述符数 fs.file-max 655350修改后执行sysctl -p使配置生效。3.6 创建具有 sudo 权限的普通用户永远不要直接用 root 进行日常操作。创建一个具有sudo权限的普通用户。# 1. 创建用户 sudo adduser opsuser # 2. 为用户设置密码 sudo passwd opsuser # 3. 将用户添加到 wheel 组CentOS 中 wheel 组默认有 sudo 权限 sudo usermod -aG wheel opsuser之后你就可以使用opsuser登录在需要执行特权命令时在命令前加sudo。4. 安全审计与监控基线配置配置完成后需要建立简单的审计和监控以便事后追溯和及时发现异常。4.1 配置日志轮转与集中管理可选确保系统日志不会无限增长占满磁盘。CentOS 7 使用logrotate。# 查看 SSH 日志的轮转配置 sudo vim /etc/logrotate.d/secure # 通常默认配置是合理的如每周轮转保留4周日志。对于有多台服务器的情况建议搭建一个集中的日志服务器如 ELK Stack 或 Graylog将各服务器的/var/log/secure、/var/log/messages等关键日志收集起来便于统一分析和告警。4.2 安装并配置入侵检测工具AIDEAIDEAdvanced Intrusion Detection Environment是一个文件完整性检查工具它建立一个系统文件的数据库定期检查是否有文件被篡改、添加或删除。# 1. 安装 AIDE sudo yum install -y aide # 2. 初始化数据库在确认系统干净无木马后执行 sudo aide --init # 3. 将初始数据库移为正式数据库 sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz # 4. 手动进行一次检查 sudo aide --check # 5. 配置定时任务每天自动检查并邮件报警需配置邮件 sudo crontab -e # 添加一行例如每天凌晨2点检查 0 2 * * * /usr/sbin/aide --check | mail -s “AIDE Report for $(hostname)” adminyourdomain.com首次运行aide --init可能需要几分钟因为它要扫描大量文件并计算校验和。4.3 配置系统审计规则auditdauditd是 Linux 内核的审计框架可以记录非常详细的事件如文件访问、系统调用、用户命令等。对于安全要求高的环境非常有用。# 1. 确保 auditd 已安装并运行 sudo systemctl start auditd sudo systemctl enable auditd # 2. 添加审计规则例如监控 /etc/passwd 文件的写和属性更改 sudo auditctl -w /etc/passwd -p wa -k identity_access # -w 监控路径-p 权限r读w写x执行a属性-k 定义关键词 # 3. 查看审计日志 sudo ausearch -k identity_access审计规则可以非常复杂建议从监控关键系统文件如/etc/passwd/etc/shadow/etc/sudoers和敏感目录开始。5. 自动化部署使用 Ansible 剧本一键初始化手动操作繁琐且容易出错。我们可以使用 Ansible 将以上所有步骤编写成 Playbook实现自动化初始化。5.1 Ansible Playbook 结构设计创建一个项目目录结构如下centos7-init/ ├── hosts.ini # 定义服务器清单 ├── site.yml # 主剧本入口 ├── roles/ │ ├── common/ # 基础配置角色 │ │ ├── tasks/main.yml │ │ ├── templates/ │ │ └── files/ │ ├── ssh_hardening/ # SSH加固角色 │ │ ├── tasks/main.yml │ │ ├── templates/sshd_config.j2 │ │ └── files/ │ └── security/ # 安全审计角色 │ ├── tasks/main.yml │ └── files/ └── group_vars/ └── all.yml # 定义全局变量5.2 关键角色任务示例ssh_hardeningroles/ssh_hardening/tasks/main.yml内容示例--- - name: Backup original sshd_config copy: src: /etc/ssh/sshd_config dest: /etc/ssh/sshd_config.backup-{{ ansible_date_time.date }} remote_src: yes - name: Configure SSH daemon template: src: sshd_config.j2 dest: /etc/ssh/sshd_config owner: root group: root mode: ‘0644’ notify: restart sshd - name: Ensure .ssh directory exists for deploy user file: path: “{{ deploy_user_home }}/.ssh” state: directory owner: “{{ deploy_user }}” group: “{{ deploy_user }}” mode: ‘0700’ - name: Deploy authorized key for deploy user copy: src: files/authorized_keys dest: “{{ deploy_user_home }}/.ssh/authorized_keys” owner: “{{ deploy_user }}” group: “{{ deploy_user }}” mode: ‘0600’ - name: Install fail2ban yum: name: fail2ban state: present when: install_fail2ban | bool - name: Configure fail2ban for SSH template: src: jail.local.j2 dest: /etc/fail2ban/jail.local owner: root group: root mode: ‘0644’ when: install_fail2ban | bool notify: restart fail2ban对应的sshd_config.j2模板文件Jinja2格式其中变量如ssh_port、permit_root_login等在group_vars/all.yml中定义Port {{ ssh_port }} Protocol 2 PermitRootLogin {{ permit_root_login }} PasswordAuthentication no PubkeyAuthentication yes UseDNS no MaxAuthTries 3 LoginGraceTime 305.3 执行与验证在控制机上使用以下命令执行 Playbook# 检查语法 ansible-playbook -i hosts.ini site.yml --syntax-check # 模拟运行Dry-Run ansible-playbook -i hosts.ini site.yml --check # 实际执行 ansible-playbook -i hosts.ini site.yml执行完毕后使用新的 SSH 端口和密钥尝试登录目标服务器验证所有配置是否生效。通过 Ansible你可以将这套初始化流程版本化管理轻松复用到任意数量的新服务器上确保环境的一致性。6. 常见问题与排查技巧实录在实际操作中你肯定会遇到各种问题。这里记录了几个最典型的“坑”和解决方法。6.1 SSH 连接失败问题排查流程图当 SSH 无法连接时按照以下顺序排查可以解决 99% 的问题网络层ping server_ip检查服务器是否在线网络是否可达。telnet server_ip ssh_port或nc -zv server_ip ssh_port检查目标端口是否开放。如果不通问题在服务器防火墙或云安全组。服务层登录云控制台通过 VNC 或救援模式连接服务器。检查 SSH 服务状态systemctl status sshd。检查配置文件语法sshd -t。这个命令非常有用能在重启前发现配置错误。查看 SSH 服务日志journalctl -u sshd -f或tail -f /var/log/secure。这里会明确告诉你拒绝连接的原因如“Permission denied (publickey)”或“Address filtered”。认证层如果是密钥登录失败检查客户端私钥权限应为600以及服务器上对应用户的~/.ssh/authorized_keys文件权限应为600和内容是否正确。检查sshd_config中PubkeyAuthentication是否为yesAuthorizedKeysFile路径是否正确。防火墙与安全组确认服务器本地防火墙firewall-cmd --list-all和云平台安全组均已放行新的 SSH 端口。注意有些云平台如 AWS Security Group的规则是无状态的需同时配置入站和出站规则。6.2 修改 SSH 端口后Firewalld 未放行导致连接失败现象修改sshd_config并重启服务后新端口无法连接但通过控制台或旧端口如果还开放可以登录。原因firewalld默认只放行ssh服务即 22 端口。修改端口后需要手动添加规则。解决# 添加新端口规则假设新端口为 23456 sudo firewall-cmd --permanent --add-port23456/tcp # 移除旧的 22 端口规则可选 sudo firewall-cmd --permanent --remove-servicessh # 重载防火墙 sudo firewall-cmd --reload # 验证 sudo firewall-cmd --list-ports教训任何涉及网络端口的修改必须同步更新防火墙规则并且先添加新规则验证通过后再删除旧规则。6.3 密钥登录提示“Permission denied (publickey)”这是最令人头疼的问题之一。按以下清单逐一核对服务器端sshd_config中PubkeyAuthentication yes。对应用户家目录.ssh权限必须是700chmod 700 ~/.ssh。authorized_keys文件权限必须是600chmod 600 ~/.ssh/authorized_keys。authorized_keys文件内容完整且与本地公钥完全一致注意不要有多余的空格或换行。SELinux 可能阻止访问CentOS 7 默认开启。可以尝试临时禁用 SELinux 测试setenforce 0。如果由此解决则需要调整 SELinux 上下文restorecon -Rv ~/.ssh。客户端使用ssh -v参数查看详细连接过程寻找错误线索。指定正确的私钥路径ssh -i /path/to/private_key ...。私钥文件权限不能太开放应为600。6.4 Fail2ban 误封自己的 IP现象配置 Fail2ban 后自己无法登录服务器。解决通过云控制台 VNC 登录服务器。查看 Fail2ban 状态和被封 IPfail2ban-client status sshd。如果发现自己的 IP 被禁立即解封fail2ban-client set sshd unbanip your_ip_address。永久解决方案编辑/etc/fail2ban/jail.local在[sshd]段落下添加ignoreip 127.0.0.1/8 your_office_ip/32 your_home_ip/32将你的固定 IP 加入白名单。重启 Fail2bansystemctl restart fail2ban。6.5 系统更新后服务异常现象执行yum update更新内核或关键库后某些服务如 Docker、特定应用启动失败。原因更新可能引入了不兼容的依赖或配置变更。预防与解决生产环境更新前务必在测试环境先行验证。使用yum update --downloadonly只下载不安装查看更新列表。使用版本锁定对于关键服务可以使用yum versionlock插件锁定其版本避免意外升级。回滚如果更新后出现问题可以尝试回滚到旧内核启动。在 GRUB 启动菜单中选择上一个内核版本启动。对于非内核的包回滚较复杂凸显了备份的重要性。依赖问题如果更新后某个服务报依赖库错误可以尝试安装特定版本yum install package-name-version。这套从 SSH 加固到系统初始化的流程是我在多次线上环境部署和应急响应中总结出来的。它不是一个僵化的 checklist而是一个安全基线的思路。核心思想是最小权限、纵深防御、持续监控。刚开始可能会觉得步骤繁琐但一旦用 Ansible 等工具将其自动化就会发现它带来的稳定性和安全感是值得的。尤其是在今天这个自动化攻击横行的时代这些基础的安全配置不再是“可选项”而是“必选项”。最后再分享一个习惯每次对服务器做任何重要配置变更前先拍一个快照如果是虚拟机或者做好备份。这样即使操作失误也能快速回滚心里不慌。
1. 项目概述最近在整理服务器运维的实战笔记发现很多新手朋友甚至一些有经验的同行在拿到一台全新的 CentOS 7 服务器后直接就开干了。结果没过多久服务器就被各种扫描脚本盯上轻则资源被占重则数据泄露。这让我想起自己刚入行时踩过的坑所以决定把 SSH 安全加固和 CentOS 7 初始化配置这两个最基础、也最关键的环节系统地梳理一遍。这不仅仅是改几个配置参数而是一套从外到内、层层设防的服务器“开箱即用”安全基线。无论你是个人开发者管理 VPS还是企业运维负责生产环境这套流程都能帮你快速建立一个稳固的起点把绝大多数低级攻击挡在门外。接下来我会结合最新的工具和常见的攻击手法带你一步步操作并解释清楚每一步背后的“为什么”。2. SSH 安全加固从“门户大开”到“固若金汤”SSH 是通往服务器的唯一大门默认配置就像给这道门装了一把家家户户都一样的锁。安全加固的核心就是换锁、加监控、设门槛让攻击者无从下手。2.1 修改默认端口告别22端口的“扫射”默认的 22 端口是全世界扫描器的首要目标。修改端口是成本最低、效果最显著的防护措施之一。操作步骤与原理备份配置文件这是所有系统修改前的铁律。执行cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak。编辑 SSH 配置文件使用vim /etc/ssh/sshd_config打开文件。找到#Port 22这一行通常在文件靠前部分。取消注释并修改删除行首的#号并将22改为一个你自定义的端口号例如Port 23456。这里有个关键点端口号应在 1024 到 65535 之间且避免使用像 2222、22222 这样过于常见的替代端口。保存并重启服务按Esc键输入:wq保存退出。执行systemctl restart sshd重启 SSH 服务使配置生效。注意在重启sshd服务前千万不要关闭当前的 SSH 连接窗口。你应该新开一个终端窗口用新端口尝试连接确认成功后再关闭旧会话。否则一旦新端口不通你将失去服务器连接。防火墙与安全组配置修改端口后必须同步更新防火墙规则。CentOS 7 默认使用firewalld。查看当前防火墙状态systemctl status firewalld如果未运行需启动并设置开机自启systemctl start firewalld systemctl enable firewalld开放新端口firewall-cmd --permanent --add-port23456/tcp移除旧的 22 端口可选但建议firewall-cmd --permanent --remove-port22/tcp重载防火墙配置firewall-cmd --reload验证端口是否开放firewall-cmd --list-ports如果你使用的是云服务器如阿里云、腾讯云、华为云等还需在云平台的安全组规则中添加入方向规则允许你的新 SSH 端口如 23456/TCP。切记在安全组中移除或禁用默认的 22 端口入站规则。2.2 禁用密码登录强制使用密钥对从根本上杜绝暴力破解密码登录面临暴力破解和密码泄露的风险。SSH 密钥对公钥加密私钥解密在数学上几乎不可破解是更安全的身份验证方式。生成密钥对在本地客户端进行在你自己常用的电脑Linux/macOS 终端或 Windows 的 Git Bash/WSL上操作ssh-keygen -t rsa -b 4096 -C “your_emailexample.com” -f ~/.ssh/my_centos7_key-t rsa: 指定密钥类型为 RSA。-b 4096: 指定密钥长度为 4096 位安全性更高。-C: 添加一个注释通常用邮箱便于识别。-f: 指定密钥文件的保存路径和名称。命令会生成两个文件my_centos7_key私钥必须严格保密和my_centos7_key.pub公钥需上传到服务器。部署公钥到服务器将公钥内容追加到服务器的~/.ssh/authorized_keys文件中。最安全的方式是使用ssh-copy-id命令如果本地支持ssh-copy-id -i ~/.ssh/my_centos7_key.pub -p 23456 usernameyour_server_ip如果无法使用ssh-copy-id可以手动操作在服务器上确保~/.ssh目录存在且权限为700mkdir -p ~/.ssh chmod 700 ~/.ssh将本地公钥文件内容复制粘贴到服务器的~/.ssh/authorized_keys文件中可使用cat 命令追加。设置authorized_keys文件权限为600chmod 600 ~/.ssh/authorized_keys配置 SSH 服务端禁用密码登录再次编辑/etc/ssh/sshd_config找到PasswordAuthentication选项将其改为no。找到PubkeyAuthentication选项确保其为yes默认通常是。可选但推荐禁用空密码PermitEmptyPasswords no。强烈推荐禁止 root 用户直接登录找到PermitRootLogin将其改为no或prohibit-password如果必须密钥登录 root。日常使用普通用户通过 SSH 登录再用su或sudo提权。保存并重启 SSH 服务systemctl restart sshd。测试与故障排查测试密钥登录ssh -i ~/.ssh/my_centos7_key -p 23456 usernameyour_server_ip如果失败检查服务器/var/log/secure日志文件通常会有详细的错误信息。常见问题包括authorized_keys文件权限不对、私钥权限太开放应为600、sshd_config中PubkeyAuthentication未开启。2.3 使用 Fail2ban 动态封禁攻击者主动防御Fail2ban 是一个入侵防御框架它监控系统日志如/var/log/secure当发现同一 IP 在短时间内多次进行失败的 SSH 登录尝试时会自动调用防火墙规则如iptables或firewalld将该 IP 封禁一段时间。安装与配置安装 Fail2banyum install epel-release -y yum install fail2ban -y创建本地配置文件避免升级被覆盖cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local编辑/etc/fail2ban/jail.local找到[sshd]段落进行关键配置[sshd] enabled true port 23456 # 这里务必改成你修改后的 SSH 端口 filter sshd logpath /var/log/secure maxretry 5 # 最大重试次数 findtime 600 # 在10分钟内 bantime 3600 # 禁止访问1小时 action firewallcmd-ipset # 使用 firewalld 作为动作启动并设置开机自启systemctl start fail2ban systemctl enable fail2ban查看状态fail2ban-client status sshd可以查看当前被禁用的 IP 列表。实操心得bantime可以设置得长一些比如86400一天对于明显的攻击行为封禁久一点没关系。可以将自己的 IP 添加到ignoreip配置项中防止自己因操作失误被误封。定期检查/var/log/fail2ban.log了解封禁情况。2.4 其他高级加固选项在/etc/ssh/sshd_config中还可以考虑以下设置Protocol 2: 强制使用 SSH 协议版本 2禁用不安全的版本 1。LoginGraceTime 30: 设置登录超时时间为 30 秒防止客户端长时间占用未认证的连接。MaxAuthTries 3: 设置每个连接最大认证尝试次数为 3 次。AllowUsers your_username: 仅允许指定的用户通过 SSH 登录白名单机制最安全。UseDNS no: 禁用 DNS 反向解析可以加快 SSH 登录速度尤其是在 DNS 服务器不佳的环境中。完成所有 SSH 配置后务必执行systemctl restart sshd重启服务并使用新端口和新密钥方式进行登录测试确保一切正常后再关闭原有连接。3. CentOS 7 系统初始化配置打造稳定高效的运行环境SSH 大门锁好后我们就要对系统内部进行一番“精装修”使其更安全、高效、易于管理。3.1 系统更新与基础工具安装一个过时的系统是漏洞的温床。第一步永远是更新。# 更新系统所有包到最新版本 sudo yum update -y # 安装常用的工具集如网络工具、压缩解压、进程查看等 sudo yum install -y vim wget curl net-tools lsof telnet tree htop iftop iotop ncdu psmisc yum-utilsyum update会更新所有已安装的软件包包括内核。如果涉及内核更新需要重启生效。安装的这些工具是日常运维的“瑞士军刀”htop比top更直观iftop/iotop用于监控网络/磁盘 IO。3.2 配置防火墙Firewalld策略CentOS 7 的firewalld比iptables配置更动态、易管理。我们配置一个“默认拒绝按需开放”的策略。# 1. 设置默认区域为 public并配置默认策略 sudo firewall-cmd --set-default-zonepublic sudo firewall-cmd --runtime-to-permanent # 将运行时配置转为永久配置 # 2. 移除不必要的服务如果不需要 sudo firewall-cmd --remove-servicedhcpv6-client --permanent # 3. 根据你的服务开放端口示例 # 假设你运行了 Web 服务 (80, 443) 和自定义的 SSH 端口 23456 sudo firewall-cmd --permanent --add-servicehttp sudo firewall-cmd --permanent --add-servicehttps sudo firewall-cmd --permanent --add-port23456/tcp # 4. 重载防火墙使配置生效 sudo firewall-cmd --reload # 5. 查看当前生效的规则 sudo firewall-cmd --list-all注意事项使用--permanent参数使规则永久生效否则重启后丢失。firewall-cmd --reload会重载配置并保持现有连接比--complete-reload中断所有连接更友好。对于复杂的规则可以考虑使用rich-rule或者直接编写firewalld的 XML 区域文件。3.3 配置时间同步NTP/Chrony服务器时间不准会导致日志时间错乱、证书验证失败等问题。CentOS 7 默认使用chronyd服务。# 1. 安装 chrony通常已预装 sudo yum install -y chrony # 2. 编辑配置文件使用可靠的 NTP 服务器池 sudo vim /etc/chrony.conf # 可以将 server 开头的行替换为 server ntp.aliyun.com iburst server time1.cloud.tencent.com iburst server pool.ntp.org iburst # 3. 启动并设置开机自启 sudo systemctl start chronyd sudo systemctl enable chronyd # 4. 查看时间同步状态 chronyc sources -v chronyc trackingiburst选项可以在服务启动时快速进行数次时间同步加速初始同步过程。3.4 禁用不必要的服务最小化原则是安全的重要一环。禁用不需要的服务减少攻击面。# 查看所有开机自启的服务 systemctl list-unit-files --typeservice | grep enabled # 常见的可考虑禁用的服务根据实际情况判断 sudo systemctl disable postfix # 邮件服务若无邮件需求 sudo systemctl disable avahi-daemon # 局域网服务发现服务器通常不需要 sudo systemctl disable cups # 打印服务 # 注意不要盲目禁用需确认服务用途。生产环境建议在测试环境先验证。3.5 配置系统资源限制与内核参数优化通过修改/etc/security/limits.conf文件可以调整用户或进程的资源限制防止某个用户进程耗尽系统资源。sudo vim /etc/security/limits.conf # 在文件末尾添加例如 * soft nofile 65535 # 所有用户打开文件数的软限制 * hard nofile 65535 # 所有用户打开文件数的硬限制 * soft nproc 65535 # 所有用户进程数的软限制 * hard nproc 65535 # 所有用户进程数的硬限制对于高并发应用如 Web 服务器可能还需要调整内核网络参数编辑/etc/sysctl.conf# 增加 TCP 连接队列大小 net.core.somaxconn 65535 # 加快 TCP 连接回收 net.ipv4.tcp_tw_reuse 1 net.ipv4.tcp_tw_recycle 1 # 注意在 NAT 环境下慎用此参数 # 增加系统最大文件描述符数 fs.file-max 655350修改后执行sysctl -p使配置生效。3.6 创建具有 sudo 权限的普通用户永远不要直接用 root 进行日常操作。创建一个具有sudo权限的普通用户。# 1. 创建用户 sudo adduser opsuser # 2. 为用户设置密码 sudo passwd opsuser # 3. 将用户添加到 wheel 组CentOS 中 wheel 组默认有 sudo 权限 sudo usermod -aG wheel opsuser之后你就可以使用opsuser登录在需要执行特权命令时在命令前加sudo。4. 安全审计与监控基线配置配置完成后需要建立简单的审计和监控以便事后追溯和及时发现异常。4.1 配置日志轮转与集中管理可选确保系统日志不会无限增长占满磁盘。CentOS 7 使用logrotate。# 查看 SSH 日志的轮转配置 sudo vim /etc/logrotate.d/secure # 通常默认配置是合理的如每周轮转保留4周日志。对于有多台服务器的情况建议搭建一个集中的日志服务器如 ELK Stack 或 Graylog将各服务器的/var/log/secure、/var/log/messages等关键日志收集起来便于统一分析和告警。4.2 安装并配置入侵检测工具AIDEAIDEAdvanced Intrusion Detection Environment是一个文件完整性检查工具它建立一个系统文件的数据库定期检查是否有文件被篡改、添加或删除。# 1. 安装 AIDE sudo yum install -y aide # 2. 初始化数据库在确认系统干净无木马后执行 sudo aide --init # 3. 将初始数据库移为正式数据库 sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz # 4. 手动进行一次检查 sudo aide --check # 5. 配置定时任务每天自动检查并邮件报警需配置邮件 sudo crontab -e # 添加一行例如每天凌晨2点检查 0 2 * * * /usr/sbin/aide --check | mail -s “AIDE Report for $(hostname)” adminyourdomain.com首次运行aide --init可能需要几分钟因为它要扫描大量文件并计算校验和。4.3 配置系统审计规则auditdauditd是 Linux 内核的审计框架可以记录非常详细的事件如文件访问、系统调用、用户命令等。对于安全要求高的环境非常有用。# 1. 确保 auditd 已安装并运行 sudo systemctl start auditd sudo systemctl enable auditd # 2. 添加审计规则例如监控 /etc/passwd 文件的写和属性更改 sudo auditctl -w /etc/passwd -p wa -k identity_access # -w 监控路径-p 权限r读w写x执行a属性-k 定义关键词 # 3. 查看审计日志 sudo ausearch -k identity_access审计规则可以非常复杂建议从监控关键系统文件如/etc/passwd/etc/shadow/etc/sudoers和敏感目录开始。5. 自动化部署使用 Ansible 剧本一键初始化手动操作繁琐且容易出错。我们可以使用 Ansible 将以上所有步骤编写成 Playbook实现自动化初始化。5.1 Ansible Playbook 结构设计创建一个项目目录结构如下centos7-init/ ├── hosts.ini # 定义服务器清单 ├── site.yml # 主剧本入口 ├── roles/ │ ├── common/ # 基础配置角色 │ │ ├── tasks/main.yml │ │ ├── templates/ │ │ └── files/ │ ├── ssh_hardening/ # SSH加固角色 │ │ ├── tasks/main.yml │ │ ├── templates/sshd_config.j2 │ │ └── files/ │ └── security/ # 安全审计角色 │ ├── tasks/main.yml │ └── files/ └── group_vars/ └── all.yml # 定义全局变量5.2 关键角色任务示例ssh_hardeningroles/ssh_hardening/tasks/main.yml内容示例--- - name: Backup original sshd_config copy: src: /etc/ssh/sshd_config dest: /etc/ssh/sshd_config.backup-{{ ansible_date_time.date }} remote_src: yes - name: Configure SSH daemon template: src: sshd_config.j2 dest: /etc/ssh/sshd_config owner: root group: root mode: ‘0644’ notify: restart sshd - name: Ensure .ssh directory exists for deploy user file: path: “{{ deploy_user_home }}/.ssh” state: directory owner: “{{ deploy_user }}” group: “{{ deploy_user }}” mode: ‘0700’ - name: Deploy authorized key for deploy user copy: src: files/authorized_keys dest: “{{ deploy_user_home }}/.ssh/authorized_keys” owner: “{{ deploy_user }}” group: “{{ deploy_user }}” mode: ‘0600’ - name: Install fail2ban yum: name: fail2ban state: present when: install_fail2ban | bool - name: Configure fail2ban for SSH template: src: jail.local.j2 dest: /etc/fail2ban/jail.local owner: root group: root mode: ‘0644’ when: install_fail2ban | bool notify: restart fail2ban对应的sshd_config.j2模板文件Jinja2格式其中变量如ssh_port、permit_root_login等在group_vars/all.yml中定义Port {{ ssh_port }} Protocol 2 PermitRootLogin {{ permit_root_login }} PasswordAuthentication no PubkeyAuthentication yes UseDNS no MaxAuthTries 3 LoginGraceTime 305.3 执行与验证在控制机上使用以下命令执行 Playbook# 检查语法 ansible-playbook -i hosts.ini site.yml --syntax-check # 模拟运行Dry-Run ansible-playbook -i hosts.ini site.yml --check # 实际执行 ansible-playbook -i hosts.ini site.yml执行完毕后使用新的 SSH 端口和密钥尝试登录目标服务器验证所有配置是否生效。通过 Ansible你可以将这套初始化流程版本化管理轻松复用到任意数量的新服务器上确保环境的一致性。6. 常见问题与排查技巧实录在实际操作中你肯定会遇到各种问题。这里记录了几个最典型的“坑”和解决方法。6.1 SSH 连接失败问题排查流程图当 SSH 无法连接时按照以下顺序排查可以解决 99% 的问题网络层ping server_ip检查服务器是否在线网络是否可达。telnet server_ip ssh_port或nc -zv server_ip ssh_port检查目标端口是否开放。如果不通问题在服务器防火墙或云安全组。服务层登录云控制台通过 VNC 或救援模式连接服务器。检查 SSH 服务状态systemctl status sshd。检查配置文件语法sshd -t。这个命令非常有用能在重启前发现配置错误。查看 SSH 服务日志journalctl -u sshd -f或tail -f /var/log/secure。这里会明确告诉你拒绝连接的原因如“Permission denied (publickey)”或“Address filtered”。认证层如果是密钥登录失败检查客户端私钥权限应为600以及服务器上对应用户的~/.ssh/authorized_keys文件权限应为600和内容是否正确。检查sshd_config中PubkeyAuthentication是否为yesAuthorizedKeysFile路径是否正确。防火墙与安全组确认服务器本地防火墙firewall-cmd --list-all和云平台安全组均已放行新的 SSH 端口。注意有些云平台如 AWS Security Group的规则是无状态的需同时配置入站和出站规则。6.2 修改 SSH 端口后Firewalld 未放行导致连接失败现象修改sshd_config并重启服务后新端口无法连接但通过控制台或旧端口如果还开放可以登录。原因firewalld默认只放行ssh服务即 22 端口。修改端口后需要手动添加规则。解决# 添加新端口规则假设新端口为 23456 sudo firewall-cmd --permanent --add-port23456/tcp # 移除旧的 22 端口规则可选 sudo firewall-cmd --permanent --remove-servicessh # 重载防火墙 sudo firewall-cmd --reload # 验证 sudo firewall-cmd --list-ports教训任何涉及网络端口的修改必须同步更新防火墙规则并且先添加新规则验证通过后再删除旧规则。6.3 密钥登录提示“Permission denied (publickey)”这是最令人头疼的问题之一。按以下清单逐一核对服务器端sshd_config中PubkeyAuthentication yes。对应用户家目录.ssh权限必须是700chmod 700 ~/.ssh。authorized_keys文件权限必须是600chmod 600 ~/.ssh/authorized_keys。authorized_keys文件内容完整且与本地公钥完全一致注意不要有多余的空格或换行。SELinux 可能阻止访问CentOS 7 默认开启。可以尝试临时禁用 SELinux 测试setenforce 0。如果由此解决则需要调整 SELinux 上下文restorecon -Rv ~/.ssh。客户端使用ssh -v参数查看详细连接过程寻找错误线索。指定正确的私钥路径ssh -i /path/to/private_key ...。私钥文件权限不能太开放应为600。6.4 Fail2ban 误封自己的 IP现象配置 Fail2ban 后自己无法登录服务器。解决通过云控制台 VNC 登录服务器。查看 Fail2ban 状态和被封 IPfail2ban-client status sshd。如果发现自己的 IP 被禁立即解封fail2ban-client set sshd unbanip your_ip_address。永久解决方案编辑/etc/fail2ban/jail.local在[sshd]段落下添加ignoreip 127.0.0.1/8 your_office_ip/32 your_home_ip/32将你的固定 IP 加入白名单。重启 Fail2bansystemctl restart fail2ban。6.5 系统更新后服务异常现象执行yum update更新内核或关键库后某些服务如 Docker、特定应用启动失败。原因更新可能引入了不兼容的依赖或配置变更。预防与解决生产环境更新前务必在测试环境先行验证。使用yum update --downloadonly只下载不安装查看更新列表。使用版本锁定对于关键服务可以使用yum versionlock插件锁定其版本避免意外升级。回滚如果更新后出现问题可以尝试回滚到旧内核启动。在 GRUB 启动菜单中选择上一个内核版本启动。对于非内核的包回滚较复杂凸显了备份的重要性。依赖问题如果更新后某个服务报依赖库错误可以尝试安装特定版本yum install package-name-version。这套从 SSH 加固到系统初始化的流程是我在多次线上环境部署和应急响应中总结出来的。它不是一个僵化的 checklist而是一个安全基线的思路。核心思想是最小权限、纵深防御、持续监控。刚开始可能会觉得步骤繁琐但一旦用 Ansible 等工具将其自动化就会发现它带来的稳定性和安全感是值得的。尤其是在今天这个自动化攻击横行的时代这些基础的安全配置不再是“可选项”而是“必选项”。最后再分享一个习惯每次对服务器做任何重要配置变更前先拍一个快照如果是虚拟机或者做好备份。这样即使操作失误也能快速回滚心里不慌。
)
