首页 / LINUX / Linux服务器安全登录设置记录

Linux服务器安全登录设置记录

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了Linux服务器安全登录设置记录，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含9255字，纯文字阅读大概需要14分钟。

内容图文

在日常运维工作中，对加固服务器的安全设置是一个机器重要的环境。比较推荐的做法是：

1）严格限制ssh登陆（参考：Linux系统下的ssh使用(依据个人经验总结)）：
修改ssh默认监听端口
禁用root登陆，单独设置用于ssh登陆的账号或组；
禁用密码登陆，采用证书登陆；
ListenAddress绑定本机内网ip，即只能ssh连接本机的内网ip进行登陆；
2）对登陆的ip做白名单限制（iptables、/etc/hosts.allow、/etc/hosts.deny）
3）可以专门找两台机器作为堡垒机，其他机器做白名单后只能通过堡垒机登陆，将机房服务器的登陆进去的口子收紧；
另外，将上面限制ssh的做法用在堡垒机上，并且最好设置登陆后的二次验证环境（Google-Authenticator身份验证）
4）严格的sudo权限控制（参考：linux系统下的权限知识梳理）
5）使用chattr命令锁定服务器上重要信息文件，如/etc/passwd、/etc/group、/etc/shadow、/etc/sudoers、/etc/sysconfig/iptables、/var/spool/cron/root等
6）禁ping（echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all）

今天这里主要说下服务器安全登陆的白名单设置，通过下面两种方法：
1）iptables对ssh端口做限制；
2）/etc/hosts.allow和/etc/hosts.deny限制；这两个文件是控制远程访问设置的，通过他可以允许或者拒绝某个ip或者ip段的客户访问linux的某项服务。
如果当iptables、hosts.allow和hosts.deny三者都设置时或设置出现冲突时，遵循的优先级是hosts.allow > hosts.deny >iptables

下面来看一下几个限制本地服务器登陆的设置：
1）iptables和hosts.allow设置一致，hosts.deny不设置。如果出现冲突，以hosts.allow设置为主。
[root@localhost ~]# cat /etc/sysconfig/iptables
.....
-A INPUT -s 192.168.1.0/24 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -s 114.165.77.144 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -s 133.110.186.130 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

[root@localhost ~]# cat /etc/hosts.allow
#
# hosts.allow This file contains access rules which are used to
# allow or deny connections to network services that
# either use the tcp_wrappers library or that have been
# started through a tcp_wrappers-enabled xinetd.
#
# See 'man 5 hosts_options' and 'man 5 hosts_access'
# for information on rule syntax.
# See 'man tcpd' for information on tcp_wrappers
# //切记:这里的192.168.1.*网段设置不能改为192.168.1.0/24;多个ip之间用逗号隔开
sshd:192.168.1.*,114.165.77.144,133.110.186.130,133.110.186.139:allow //最后的allow可以省略

[root@localhost ~]# cat /etc/hosts.deny
#
# hosts.deny This file contains access rules which are used to
# deny connections to network services that either use
# the tcp_wrappers library or that have been
# started through a tcp_wrappers-enabled xinetd.
#
# The rules in this file can also be set up in
# /etc/hosts.allow with a 'deny' option instead.
#
# See 'man 5 hosts_options' and 'man 5 hosts_access'
# for information on rule syntax.
# See 'man tcpd' for information on tcp_wrappers
#

如上的设置，133.110.186.139虽然没有出现在iptables的白名单设置里，但是出现在hosts.allow设置里，那么它是允许登陆本地服务器的；
也就是说hosts.allow里设置的ip都可以登陆本地服务器，hosts.allow里没有设置而iptables里设置的ip不能登陆本地服务器；
所以，只要hosts.allow里设置了，iptables其实就没有必要再对ssh进行限制了；

2）hosts.allow不设置，iptables和hosts.deny设置（二者出现冲突，以hosts.deny为主）
[root@localhost ~]# cat /etc/sysconfig/iptables
.....
-A INPUT -s 192.168.1.0/24 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -s 114.165.77.144 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -s 133.110.186.130 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

以上虽然133.110.186.130在iptables里设置了，但是在hosts.deny里也设置了，这时要遵循hosts.deny的设置，即133.110.186.130这个ip不能登陆本地服务器；
也就是说上面只有192.168.1.0网段和114.165.77.144能登陆本地服务器；

3）当iptables、hosts.allow、hosts.deny三者都设置时，遵循的hosts.allow！
[root@localhost ~]# cat /etc/sysconfig/iptables
.....
-A INPUT -s 192.168.1.0/24 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -s 114.165.77.144 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -s 133.110.186.130 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -s 133.110.186.133 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -s 133.110.186.137 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

[root@localhost ~]# cat /etc/hosts.allow
#
# hosts.allow This file contains access rules which are used to
# allow or deny connections to network services that
# either use the tcp_wrappers library or that have been
# started through a tcp_wrappers-enabled xinetd.
#
# See 'man 5 hosts_options' and 'man 5 hosts_access'
# for information on rule syntax.
# See 'man tcpd' for information on tcp_wrappers
sshd:192.168.1.*,114.165.77.144,133.110.186.130,133.110.186.139:allow //最后的allow可以省略

上面设置之后，只有hosts.allow里面设置的192.168.1.*,114.165.77.144,133.110.186.130,133.110.186.139这些ip能登陆本地服务器

4）还有一种设置，hosts.deny不动，在hosts.allow里面设置deny
[root@localhost ~]# cat /etc/sysconfig/iptables
.....
-A INPUT -s 192.168.1.0/24 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -s 114.165.77.144 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -s 133.110.186.130 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

[root@localhost ~]# cat /etc/hosts.allow
#
# hosts.allow This file contains access rules which are used to
# allow or deny connections to network services that
# either use the tcp_wrappers library or that have been
# started through a tcp_wrappers-enabled xinetd.
#
# See 'man 5 hosts_options' and 'man 5 hosts_access'
# for information on rule syntax.
# See 'man tcpd' for information on tcp_wrappers
#
sshd:192.168.1.*,114.165.77.144,133.110.186.130,133.110.186.139:allow //最后的allow可以省略
sshd:all:deny //这个本来是在hosts.deny里的设置，也可以放在这，表示出了上面的ip之外都被限制登陆了。

5）iptables关闭，则hosts.allow和hosts.deny文件同时设置才有效。

==========================================================
/etc/hosts.allow和/etc/hosts.deny文件配置后不生效问题：

如果在/etc/hosts.allow和/etc/hosts.deny文件里配置了相关服务(如sshd、ftp)的ip限制后，发现不生效！
原因可能如下：
1）/etc/hosts.allow 与 /etc/hosts.deny 只对ssh应用调用了tcp_wrappers的服务器才起作用；
2）查看服务器的ssh是否支持tcp_wrappers。使用下面两个命令：
   # strings /usr/sbin/sshd|grep hosts_access
   # ldd `which sshd` | grep libwrap
3）如果上面的两个查看命令都没有结果，说明本机的ssh不支持tcp_wrappers
4）一般centos6默认的ssh都是支持tcp_wrappers的。但要是将服务器的ssh升级到openssh6.7之后，则就不支持了！
   因为从openssh6.7开始，ssh官方就移除了对tcp wrappers的支持！！！！
5）也就是说，centos6系统下默认的ssh版本(OpenSSH_5.3p1)如果升级到了openssh6.7之后，ssh应用就不支持tcp wrappers了。
   这样/etc/hosts.allow和/etc/hosts.deny文件里的限制设置也就无效了！
6）但是centos7默认的ssh版本是OpenSSH_7.4p1，centos7下默认的ssh版本是支持tcp wrappers的！

[root@localhost ~]# cat /etc/redhat-release 
CentOS Linux release 7.4.1708 (Core) 

[root@localhost ~]# ssh -V
OpenSSH_7.4p1, OpenSSL 1.0.2k-fips  26 Jan 2017

[root@localhost ~]# ldd `which sshd` | grep libwrap
        libwrap.so.0 => /lib64/libwrap.so.0 (0x00007fd302fc9000)
        
[root@localhost ~]# strings /usr/sbin/sshd|grep hosts_access
hosts_access

内容总结

以上是互联网集市为您收集整理的Linux服务器安全登录设置记录全部内容，希望文章能够帮你解决Linux服务器安全登录设置记录所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/924377.html

来源：【匿名】

【上一篇】Linux下快速迁移海量文件的操作记录【下一篇】Linux下安装GD

更多 ►

【Linux服务器安全登录设置记录】教程文章相关的互联网学习教程文章

Linux服务器基本优化【图】

1、不用root管理，以普通用户的名义通过sudo授权管理。2、更改默认的远程连接SSH服务端口，禁止root用户远程连接，更改只监听在内网地址。[root@lb ~]# vim /etc/ssh/sshd_configPort 51898 ##监听端口，端口范围（0-65535，最好是大于1024的端口）ListenAddress 192.168.1.128 ##监听地址，为了安全起见，监听在内网之上Protocol 2 ##使用协议...

Snmp 方式监控linux服务器【图】

Snmp 方式监控linux服务器一、被监控端修改shell#yum install net-snmp –yshell# mv /etc/snmp/snmpd.conf /etc/snmp/snmpd.conf.bakshell# vim /etc/snmpd/snmpd.confcom2sec mynetwork 10.0.2.161 public #这里写服务端的ip，表示允许这台机器访问你的snmp，如果default就是默认全部都可以访问。group MyROGroup v2c mynetworkaccess MyROGroup "" any noauthprefix all none noneview all included .1 80shell#chkconfig s...

linux服务器优化1.0版

1.服务器修改IP vim /etc/sysconfig/network-scripts/ifcfg-eth12.修改dns服务器 vim /etc/resolv.conf 3.关闭selinux vim /etc/selinux/config 4.修改主机名iZ118z08 vim /etc/sysconfig/network5.禁用control-alt-delete vim /etc/init/control-alt-delete.conf 6.修改ssh端口主配置文件 vim /etc/ssh/sshd_config7.查看用户配置文件 vim /etc/passwd8.第二块硬盘挂载 ...

ssh免密登录linux服务器【代码】【图】

Ssh免密登录sshd服务sshd简介：SSH 密钥为登录 Linux 服务器提供了更好且安全的机制。运行 ssh-keygen 后，将会生成公私密钥对。你可以将公钥放置到任意服务器，从持有私钥的客户端连接到服务器的时，会用它来解锁。两者匹配时，系统无需密码就能解除锁定。官方维护文档：https://www.ssh.com/ssh/参考文档：https://www.cnblogs.com/ioveNature/p/7919115.html https://www.cnblogs.com/panblack/p/Secure_ssh_trust_co...

Unity3D下用C#通过WinSCP命令行方式给Linux服务器SCP传文件【代码】

遇到一个需求是在Unity3D做编辑器工具时需要把生成的AssetBundle包上传到资源服务器，资源服务器用的Linux。实现分为三部分：1，C#上传工具类；2，WinSCP脚本；3，传参调用使用上传功能。1，C#上传工具类using UnityEngine; using System.Collections; using System.IO; using System; using System.Diagnostics;public class UploadHelper { public static void callUploadProcess(string arguments) { string winS...

linux服务器分析优化

一.系统性能分析1.系统的性能是指操作系统完成任务的有效性、稳定性和响应速度。操作系统完成任务与系统自身设置、网络拓扑结构、路由设备、路由策略、接入设备、物理线路有关。当linux服务器出现问题，应该从应用程序、操作系统、服务器硬件、网络环境等方面排查。2.性能优化方案提供：影响系统性能最大的因素是应用程序和操作系统两个方面，因为这两个方面出现的问题隐藏性好，不易察觉，而其他方面出现的问题一般会立刻定位到。...

转贴---Linux服务器性能评估

http://fuliang.iteye.com/blog/1024360http://unixhelp.ed.ac.uk/CGI/man-cgi?vmstat-------------------------------------------------------------------------------------------------------------------------------- 工作这么久了，主要就是服务器端的开发，由于业务性质，对于性能的考虑是每天不得不面对的问题，每次出方案，都是以预估总pv、单机支持最大并发、预计机器资源。。。。。。等等一系列问题开始，所以程序运行...

转：用十条命令在一分钟内检查Linux服务器性能【代码】

转自：http://www.infoq.com/cn/news/2015/12/linux-performance?utm_campaign=rightbar_v2&utm_source=infoq&utm_medium=news_link&utm_content=link_text如果你的Linux服务器突然负载暴增，告警短信快发爆你的手机，如何在最短时间内找出Linux性能问题所在？来看Netflix性能工程团队的这篇博文，看它们通过十条命令在一分钟内对机器性能问题进行诊断。概述通过执行以下命令，可以在1分钟内对系统资源使用情况有个大致的了解。upt...

linux服务器磁盘陈列

服务器为惠普的DL380服务器一、进入设置界面 1、在惠普启动界面提示“按任意键进入...”之后，那么按任意键吧。 2、出现红色字样“Smart Array”之后会提示按“F8”进入。（这是第二个F8提示）不过，如果陈列出现问题，会提示“F1”，“F2”选项，选默认的“F1”进入查看。下面具体步骤引用一个比较接近的文章吧：http://server.it168.com/a2011/0920/1248/000001248884.shtml提示: DL380系列机器必须配RAID 那怕你是只有...

linux服务器创建密钥对并使用WinSCP登录【代码】【图】

linux服务器创建密钥对并使用WinSCP登录目录--创建密钥对 --密钥对处理 --使用PuTTYgen生成.ppk文件 --WinSCP登录 --注意事项说明：WinSCP是一个Windows环境下使用SSH的开源图形化SFTP客户端。同时putty也是一个开源连接ssh的windows客户端，本文介绍putty+WinSCP+密钥对登录linux服务器。1. 创建密钥对安装opensslyum –y install openssl #openssl一般服务器都会预装创建密钥对ssh-keygen #然后默认一路确认即可默认生成的是...

使用Xmanager工具连接Linux服务器【图】

测试环境：RHEL5.8 1.# vi /usr/share/gdm/defaults.conf --修改以下三项Enable=true DisplaysPerHost=10 Port=177 AllowRoot=trueAllowRemoteRoot=true2.#vi /etc/inittab --把默认级别改为5：id:5:initdefault: x:5:respawn:/usr/sbin/gdm --最后一句修改为3.重启服务器4.检查177端是否处理监听状态# netstat -an |grep 177udp 0 0 0.0.0.0:177 0.0.0.0:* 5. Xbrowser新建连接一般所有参数默认即可...

linux服务器安装mysql数据库【图】

在linux安装mysql是一个困难的事情，yum安装一般是安装的mysql5.1，现在经过自己不懈努力终于能用yum安装mysql5.5了。下面通过两种方法给大家介绍CentOS 6.5下yum安装 MySQL-5.5全过程，一起学习吧。方法一：具体方法和步骤如下所示：1.第一步就是看linu是否安装了mysql，经过rpm -qa|grep mysql查看到centos下安装了mysql5.1，那就开始卸载咯2.接下来就是卸载mysql5.1了，命令：rpm -e mysql-libs --nodeps3.yum中之后mysql5.1，安...

linux服务器沦陷为它人发送短信的工具【代码】【图】

linux服务器沦陷为它人发送短信工具的原因：今天上班产品经理说：公司的短信验证码剩余使用量为0650) this.width=650;" src="/upload/getfiles/default/2022/11/9/20221109125536201.jpg" />，头一天我进行检查的时候还剩1万多条。震惊！震惊！震惊！查找过程：一：于是查看与我们第三方短信运营商进行沟通，查看相应的情况，具体如图： 650) this.width=650;" title="短信.png" src="/upload/getfiles/default/2022/...

查看linux服务器ip地址

ip addr cd / 到根目录ls 查看文件 crontab -l 查看计划任务2 15 * * * /usr/bin/curl http://192.168.72.128/a.php*/2 * * * * /usr/local/php/bin/php /data/www/qshop/yii test/test2 * * * * /usr/bin/curl http://192.168.72.128/a.php原文：https://www.cnblogs.com/ytsky/p/11573821.html

Linux服务器上的tomcat中部署web项目

首先了解一下下面几个概念，讲得不太准确： 1、JVM JVM是class以及jar(实际上就是很多个class压缩在一起)的运行环境，特征就是java和javaw命令，通过这两个命令，你可以执行class和jar文件。你可以通过-classpath参数指定你需要加载的jar文件 2、JDK JDK就是JAVA的命令行开发环境，内置了JVM，特征就是javac命令，这个命令允许你将.java源文件批量或者单个编译成.class文件，从而可以通过JVM的java命令执行。在编译时你可以通过-cl...

设置 - 相关标签

设置ip地址设置滚动条样式设置环境变量设置虚拟内存

LINUX - 最热教程

Xrdp - 通过Windows的RDP连接Linux远程...VMware中Linux虚拟机挂载主机共享文件夹...Linux双网卡配置虚拟机下Linux安装好Nginx后，宿主机无...linux下安装postgresql并配置远程图形桌...Linux命令--exportfs命令详解 linux 终端printf打印显示乱码问题修正 Linux下Shell的for循环语句N种写法 Linux下创建nginx脚本-start、stop、re...SUSELinux安装MySQL

首页 / LINUX / Linux服务器安全登录设置记录

Linux服务器安全登录设置记录

内容导读

内容图文

内容总结

内容备注

内容手机端

【Linux服务器安全登录设置记录】教程文章相关的互联网学习教程文章

Linux服务器基本优化【图】

Snmp 方式监控linux服务器【图】

linux服务器优化1.0版

ssh免密登录linux服务器【代码】【图】

Unity3D下用C#通过WinSCP命令行方式给Linux服务器SCP传文件【代码】

linux服务器分析优化

转贴---Linux服务器性能评估

转：用十条命令在一分钟内检查Linux服务器性能【代码】

linux服务器磁盘陈列

linux服务器创建密钥对并使用WinSCP登录【代码】【图】

使用Xmanager工具连接Linux服务器【图】

linux服务器安装mysql数据库【图】

linux服务器沦陷为它人发送短信的工具【代码】【图】

查看linux服务器ip地址

Linux服务器上的tomcat中部署web项目

LINUX - 相关标签

服务器 - 相关标签

设置 - 相关标签

LINUX - 最新教程

LINUX - 最热教程