关于“CentOS被尝试登陆”问题 - 版本历史

Eijux：/* 文件 */

2022-08-25T11:12:43Z

文件

←上一版本		2022年8月25日 (四) 19:12的版本
第516行：		第516行：
	\| 包含用于 DH-GEX 的 Diffie-Hellman groups 。文件的格式在 moduli(5) 手册页中描述。		\| 包含用于 DH-GEX 的 Diffie-Hellman groups 。文件的格式在 moduli(5) 手册页中描述。
	\|}		\|}

			== 参考 ==
			<references/>

Eijux：/* 使用 SSH 密钥登录 */

2022-08-25T11:12:12Z

使用 SSH 密钥登录

←上一版本		2022年8月25日 (四) 19:12的版本
第43行：		第43行：


	=== 使用 SSH 密钥登录 ===		=== <span style="color: blue">'''使用 SSH 密钥登录'''</span><ref>以下操作，在 Debian 完全一致</ref> ===
	相关文件：		相关文件：
	公钥：id_rsa.pub		公钥：id_rsa.pub

Eijux：/* 附：ssh-keygen 命令 */

2022-04-29T19:02:47Z

附：ssh-keygen 命令

显示更改

Eijux：/* 附： */

2022-04-29T17:56:36Z

附：

←上一版本		2022年4月30日 (六) 01:56的版本
第307行：		第307行：
	</syntaxhighlight>		</syntaxhighlight>

	== 附： ==		== 附：ssh-keygen 命令 ==
	SSH（Secure SHELL）是一种开源且最受信任的网络协议，用于登录远程服务器以执行命令和程序。它还用于使用安全副本（SCP）协议通过网络将文件从一台计算机传输到另一台计算机。		SSH（Secure SHELL）是一种开源且最受信任的网络协议，用于登录远程服务器以执行命令和程序。它还用于使用安全副本（SCP）协议通过网络将文件从一台计算机传输到另一台计算机。

	SSH 可以用于 Linux 机器之间认证，也可以用于其他系统（如：Windows）认证到 Linux。		SSH 可以用于 Linux 机器之间认证，也可以用于其他系统（如：Windows）认证到 Linux。

	~~=== ----ssh-keygen 命令---- ===~~





	=== 上传“公钥”到服务器 ===		=== 上传“公钥”到服务器 ===

Eijux：/* 安装并启用 fail2ban */

2022-04-29T17:52:36Z

安装并启用 fail2ban

←上一版本		2022年4月30日 (六) 01:52的版本
第306行：		第306行：
	fail2ban-client unban 192.168.56.1		fail2ban-client unban 192.168.56.1
	</syntaxhighlight>		</syntaxhighlight>

			== 附： ==
			SSH（Secure SHELL）是一种开源且最受信任的网络协议，用于登录远程服务器以执行命令和程序。它还用于使用安全副本（SCP）协议通过网络将文件从一台计算机传输到另一台计算机。

			SSH 可以用于 Linux 机器之间认证，也可以用于其他系统（如：Windows）认证到 Linux。

			=== ----ssh-keygen 命令---- ===

			=== 上传“公钥”到服务器 ===

Eijux：/* 解决方案 */

2022-04-29T17:50:59Z

解决方案

←上一版本		2022年4月30日 (六) 01:50的版本
第44行：		第44行：

	=== 使用 SSH 密钥登录 ===		=== 使用 SSH 密钥登录 ===
	SSH（Secure SHELL）是一种开源且最受信任的网络协议，用于登录远程服务器以执行命令和程序。它还用于使用安全副本（SCP）协议通过网络将文件从一台计算机传输到另一台计算机。		相关文件：
			公钥：id_rsa.pub
	~~SSH 可以用于 Linux 机器之间认证，也可以用于其他系统（如：Windows）认证到 Linux。~~		私钥：id_rsa
			授权：authorized_keys

	步骤：		步骤：
第279行：		第280行：
	=== 安装并启用 fail2ban ===		=== 安装并启用 fail2ban ===
	注意事项：		注意事项：
	fail2ban 内置在 Plesk/cPanel 中的，它会配置它使用 '''iptables''' 而不是 '''firewalld'''。		fail2ban 内置在 Plesk/cPanel 中的，它会配置它使用 '''iptables''' 而不是 '''firewalld'''。
	如果使用 Plesk/cPanel，请[https://support.plesk.com/hc/en-us/articles/213956105-How-to-install-fail2ban-on-Plesk-for-Linux 改用本指南启用它]。		如果使用 Plesk/cPanel，请[https://support.plesk.com/hc/en-us/articles/213956105-How-to-install-fail2ban-on-Plesk-for-Linux 改用本指南启用它]。

	步骤：		步骤：

Eijux：/* 使用 SSH 密钥登录 */

2022-04-29T17:38:36Z

使用 SSH 密钥登录

←上一版本		2022年4月30日 (六) 01:38的版本
第44行：		第44行：

	=== 使用 SSH 密钥登录 ===		=== 使用 SSH 密钥登录 ===
			SSH（Secure SHELL）是一种开源且最受信任的网络协议，用于登录远程服务器以执行命令和程序。它还用于使用安全副本（SCP）协议通过网络将文件从一台计算机传输到另一台计算机。

			SSH 可以用于 Linux 机器之间认证，也可以用于其他系统（如：Windows）认证到 Linux。

			步骤：
			# '''生成 SSH 密钥'''：
			## 创建 SSH 密钥：
			##: <syntaxhighlight lang="bash" highlight="">
			[root@newjersey ~]# ssh-keygen -t rsa
			Generating public/private rsa key pair.
			Enter file in which to save the key (/root/.ssh/id_rsa):
			Created directory '/root/.ssh'.
			Enter passphrase (empty for no passphrase):
			Enter same passphrase again:
			Your identification has been saved in /root/.ssh/id_rsa.
			Your public key has been saved in /root/.ssh/id_rsa.pub.
			The key fingerprint is:
			SHA256:NzRAas2Pjk49X2pjD+yGKnMyBrZrXIKprikA3k41sv8 root@newjersey
			The key's randomart image is:
			+---[RSA 2048]----+
			\| .o \|
			\| + . \|
			\| o o o \|
			\|. . + + . \|
			\|oo. + . S + \|
			\|+.++. + o . \|
			\|ooo=. o +.o . \|
			\|o.+.*+. .+=+ \|
			\|o.o +E ++o. \|
			+----[SHA256]-----+
			[root@newjersey ~]#
			</syntaxhighlight>
			##* 每次执行 <syntaxhighlight lang="bash" inline>ssh-keygen -t rsa</syntaxhighlight> 产生的私钥文件都会不同；
			##* 如果文件“~/.ssh/id_rsa”存在，会提示是否覆盖该文件：
			##*: “y”：重新生成“~/.ssh/id_rsa”文件；
			##*: “n”：不覆盖该文件而使用已有的文件；
			##* “passphrase”：密码短语（相当于额外的安全层），可为空；
			##*: 如果设置该内容，在使用密钥初次登录时，会要求输入该密码；
			##（验证 SSH 密钥）：
			##: <syntaxhighlight lang="bash" highlight="">
			[root@newjersey ~]# ls -l ~/.ssh/id_*.pub
			-rw-r--r-- 1 root root 396 Apr 29 16:42 /root/.ssh/id_rsa.pub
			</syntaxhighlight>
			##* 如果提示 <syntaxhighlight lang="bash" inline>ls: cannot access /root/.ssh/id_*.pub: No such file or directory</syntaxhighlight>，说明没有 SSH 密钥。
			##（密钥传输）：
			##* 如果是在客户端生成的 SSH 钥匙对，则上传'''公钥'''到服务器；
			##* 如果是在服务端生成的 SSH 钥匙对，则下载'''私钥'''到客户端；
			# '''应用 SSH 密钥'''：
			## 将'''公钥'''内容追加到“authorized_keys”（授权 Keys）文件中：
			##: <syntaxhighlight lang="bash" highlight="">
			[root@newjersey ~]# cat ~/.ssh/id_rsa.pub >> ~/.ssh/authorized_keys
			</syntaxhighlight>
			##* 如果服务器上存在“authorized_keys”文件，则将公钥内容追加到该文件末尾；（如上）
			##* 如果服务器上没有“authorized_keys”文件，则复制公钥并保存为该文件名：<syntaxhighlight lang="bash" inline>[root@newjersey ~]# cp ~/.ssh/id_rsa.pub ~/.ssh/authorized_keys</syntaxhighlight>
			## 修改认证文件权限：
			##: <syntaxhighlight lang="bash" highlight="">
			[root@newjersey ~]# chmod 600 ~/.ssh/authorized_keys
			</syntaxhighlight>
			##* 只有当前用户可读可写，保证安全。
			# '''开启 SSH 密钥认证'''：
			## 修改 SSH 配置文件：
			##: <syntaxhighlight lang="bash" highlight="">
			[root@newjersey ~]# vim /etc/ssh/sshd_config
			...
			PubkeyAuthentication yes
			AuthorizedKeysFile .ssh/authorized_keys
			...
			</syntaxhighlight>
			## 重新启动 SSH 服务：
			##: <syntaxhighlight lang="bash" highlight="">
			[root@newjersey ~]# systemctl restart sshd
			</syntaxhighlight>
			##* CentOS 中该服务为“sshd”；其他系统中该服务为“ssh”；
			# '''使用 SSH 密钥登录服务器'''：'''<syntaxhighlight lang="bash" inline>ssh root@<ip></syntaxhighlight>'''
			#: <syntaxhighlight lang="bash" highlight="">
			Xshell 7 (Build 0056)
			Copyright (c) 2020 NetSarang Computer, Inc. All rights reserved.

			Type `help' to learn how to use Xshell prompt.
			[C:\~]$ ssh root@..*.


			Connecting to ..*.:**...
			Connection established.
			To escape to local shell, press 'Ctrl+Alt+]'.

			WARNING! The remote SSH server rejected X11 forwarding request.
			Last login: Fri Apr 29 17:09:58 2022 from 125.70.176.149
			[root@newjersey ~]#
			</syntaxhighlight>
			#* 如果没有为私钥设置密码，将立即登录。否则，将被要求输入密码。
			# '''关闭 SSH 密码认证'''：
			#* 在继续之前，须确保可以在没有密码的情况下以具有 sudo 权限的用户身份登录到服务器。
			## 修改 SSH 配置文件：
			##: <syntaxhighlight lang="bash" highlight="">
			[root@newjersey ~]# vim /etc/ssh/sshd_config
			...
			PasswordAuthentication no
			...
			</syntaxhighlight>
			## 重新启动 SSH 服务：
			##: <syntaxhighlight lang="bash" highlight="">
			[root@newjersey ~]# systemctl restart sshd
			</syntaxhighlight>
			##* CentOS 中该服务为“sshd”；其他系统中该服务为“ssh”；

	=== 修改 SSH 端口 ===		=== 修改 SSH 端口 ===

Eijux：创建页面，内容为“category:Linux == 关于 == 【时间：2022/04/29 19:34:40】使用 XShell 登录 CentOS 时，注意到提示在过去的一个月，服务器被尝试登录了将近十万次！！！提示内容如下： : Xshell 7 (Build 0056) Copyright (c) 2020 NetSarang Computer, Inc. All rights reserved. Type `help' to learn how to use Xshell prompt. [C:\~]$ Connecting to ..*.:**... Connection estab…”

2022-04-29T12:43:34Z

创建页面，内容为“category:Linux == 关于 == 【时间：2022/04/29 19:34:40】使用 XShell 登录 CentOS 时，注意到提示在过去的一个月，服务器被尝试登录了将近十万次！！！提示内容如下： : <syntaxhighlight lang="bash" highlight="12-13"> Xshell 7 (Build 0056) Copyright (c) 2020 NetSarang Computer, Inc. All rights reserved. Type `help' to learn how to use Xshell prompt. [C:\~]$ Connecting to **.**.***.**:**... Connection estab…”

新页面

[[category:Linux]]

== 关于 ==
【时间：2022/04/29 19:34:40】

使用 XShell 登录 CentOS 时，注意到提示在过去的一个月，服务器被尝试登录了将近十万次！！！

提示内容如下：
: <syntaxhighlight lang="bash" highlight="12-13">
Xshell 7 (Build 0056)
Copyright (c) 2020 NetSarang Computer, Inc. All rights reserved.

Type `help' to learn how to use Xshell prompt.
[C:\~]$

Connecting to **.**.***.**:**...
Connection established.
To escape to local shell, press 'Ctrl+Alt+]'.

WARNING! The remote SSH server rejected X11 forwarding request.
Last failed login: Fri Apr 29 09:58:48 UTC 2022 from 49.248.77.234 on ssh:notty
There were 98858 failed login attempts since the last successful login.
Last login: Mon Mar 14 15:09:10 2022 from ***.**.**.**
[root@newjersey ~]#
</syntaxhighlight>
: 最近一次尝试登录的是“49.248.77.234”（印度—马哈拉施特拉邦—浦那）

== 解决方案 ==
'''There were xxx failed login attempts since the last successful login.'''
很明显：系统正在遭受密码暴力破解的风险。

虽然设置的密码没有撞库的风险，但是，暴力破解的一次次尝试登录着实给服务器使用带来了影响。

通过查找资料，了解了几种解决方案：
# '''使用 SSH 密钥登录，并禁止密码登录'''。【建议】
# '''修改 SSH 端口'''。
#* 虽然这比传统的安全加固方式有一定难度，但它可以再一定程度上抵御一些简单的密码暴力破解脚本。
#* 但是高级的攻击方式会扫描系统所有开放端口，并很方便地找到修改后的 SSHD 端口。
# '''手动禁用登陆失败的 IP 地址'''。
# '''安装并启用 fail2ban'''。
#* fail2ban 可对使用 SSH 多次失败登录的自动检测，以便阻止重复尝试。

=== 使用 SSH 密钥登录 ===

=== 修改 SSH 端口 ===
默认情况下，SSH 侦听端口 '''22'''。

更改默认 SSH 端口会通过降低自动攻击的风险为您的服务器增加额外的安全层。

步骤：
# 防火墙开启端口：
## 如果使用 '''firewalld'''：
##: <syntaxhighlight lang="bash" highlight="">
firewall-cmd --permanent --zone=public --add-port=5522/tcp
firewall-cmd --reload
</syntaxhighlight>
##* CentOS 还需要调整 '''SELinux''' 规则：
##*: <syntaxhighlight lang="bash" highlight="">
semanage port -a -t ssh_port_t -p tcp 5522
</syntaxhighlight>
## 如果使用 '''iptables'''：
##: <syntaxhighlight lang="bash" highlight="">
iptables -A INPUT -p tcp --dport 5522 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
</syntaxhighlight>
## 如果使用 '''UFW'''（Ubuntu 的默认防火墙配置工具）：
##: <syntaxhighlight lang="bash" highlight="">
ufw allow 5522/tcp
</syntaxhighlight>
#* 在 Linux 中，1024 以下的端口号是为知名服务保留的，只能由 root 绑定：
#*: 虽然可以为 SSH 服务使用 1-1024 范围内的端口，以避免以后出现端口分配问题，但建议选择 1024 以上的端口。（如上：5522）
# 配置 SSH：
#: <syntaxhighlight lang="bash" highlight="1,19">
[root@newjersey ~]# cat /etc/ssh/sshd_config
# $OpenBSD: sshd_config,v 1.100 2016/08/15 12:32:04 naddy Exp $

# This is the sshd server system-wide configuration file. See
# sshd_config(5) for more information.

# This sshd was compiled with PATH=/usr/local/bin:/usr/bin

# The strategy used for options in the default sshd_config shipped with
# OpenSSH is to specify options with their default value where
# possible, but leave them commented. Uncommented options override the
# default value.

# If you want to change the port on a SELinux system, you have to tell
# SELinux about this change.
# semanage port -a -t ssh_port_t -p tcp #PORTNUMBER
#
#Port 22
Port 5522

...
</syntaxhighlight>
#* 修改 SSH 配置文件时要格外小心，配置错误可能导致 SSH 服务无法启动。
# 重启 SSH 服务：
#: <syntaxhighlight lang="bash" highlight="">
systemctl restart sshd
</syntaxhighlight>
#* 在 CentOS 中，服务为“'''sshd'''”；在其他系统中，服务为“'''ssh'''”。
# 验证 SSH 守护程序是否正在侦听 5522：
#: <syntaxhighlight lang="bash" highlight="">
[root@newjersey ~]# ss -an | grep 5522
tcp LISTEN 0 128 0.0.0.0:5522 0.0.0.0:*
tcp ESTAB 0 0 192.168.121.108:5522 192.168.121.1:57638
tcp LISTEN 0 128 [::]:5522 [::]:*
</syntaxhighlight>
#* 要指定端口，请调用“ssh”后跟“-p <port_number>”选项的命令：
#*: <syntaxhighlight lang="bash" highlight="">
ssh -p 5522 username@remote_host_or_ip
</syntaxhighlight>

=== 手动禁用登陆失败的 IP 地址 ===
步骤：
# 查看登陆失败的 IP 地址：
#: <syntaxhighlight lang="bash" highlight="">
[root@newjersey ~]# grep "Failed password for invalid user" /var/log/secure | awk '{print $13}' | sort | uniq -c | sort -nr
335 64.94.87.153
223 45.9.20.25
198 163.239.13.33
171 167.172.46.113
171 159.65.27.49
135 92.255.85.135
118 49.81.17.200
118 114.228.91.16
115 92.255.85.237
111 179.43.154.185
76 103.150.55.85
60 142.93.133.12
50 43.154.89.207
50 213.81.201.121
49 52.163.248.162
49 50.116.3.96
49 43.156.248.251
[root@newjersey ~]#
</syntaxhighlight>
#: 太他妈多了……
# 将 IP 加入服务器访问限制名单：
#: <syntaxhighlight lang="bash" highlight="">
[root@newjersey ~]# cat /var/log/secure | grep "Failed password for invalid user" | awk '{print $13}' | sort | uniq -c | sort -n | tail -10 |awk '{print "sshd:"$2":deny"}' >> /etc/hosts.allow

[root@newjersey ~]# tail -20 /etc/hosts.allow
#
# hosts.allow This file contains access rules which are used to
# allow or deny connections to network services that
# either use the tcp_wrappers library or that have been
# started through a tcp_wrappers-enabled xinetd.
#
# See 'man 5 hosts_options' and 'man 5 hosts_access'
# for information on rule syntax.
# See 'man tcpd' for information on tcp_wrappers
#
sshd:43.156.248.251:deny
sshd:50.116.3.96:deny
sshd:52.163.248.162:deny
sshd:213.81.201.121:deny
sshd:43.154.89.207:deny
sshd:142.93.133.12:deny
sshd:103.150.55.85:deny
sshd:179.43.154.185:deny
sshd:92.255.85.237:deny
sshd:114.228.91.16:deny
sshd:49.81.17.200:deny
sshd:92.255.85.135:deny
sshd:159.65.27.49:deny
sshd:167.172.46.113:deny
sshd:163.239.13.33:deny
sshd:45.9.20.25:deny
sshd:64.94.87.153:deny
</syntaxhighlight>

=== 安装并启用 fail2ban ===
注意事项：
fail2ban 内置在 Plesk/cPanel 中的，它会配置它使用 '''iptables''' 而不是 '''firewalld'''。
如果使用 Plesk/cPanel，请[https://support.plesk.com/hc/en-us/articles/213956105-How-to-install-fail2ban-on-Plesk-for-Linux 改用本指南启用它]。

步骤：
# 在 CentOS 7/8 上使用 firewalld 安装和配置 fail2ban：
#: <syntaxhighlight lang="bash" highlight="">
dnf install epel-release
dnf install fail2ban
echo '
[sshd]
enabled = true
' > /etc/fail2ban/jail.local
systemctl restart fail2ban
</syntaxhighlight>
#* '''dnf'''：新一代的 RPM 软件包管理器。
# fail2ban 使用：
## 查看 fail2ban 状态：（可以使用具有不同详细程度的各种选项）
##: <syntaxhighlight lang="bash" highlight="">
systemctl status fail2ban
fail2ban-client status
fail2ban-client status sshd
</syntaxhighlight>
## 如果IP被禁止，通过下面的方式取消禁止 IP：
##: <syntaxhighlight lang="bash" highlight="">
fail2ban-client unban 192.168.56.1
</syntaxhighlight>

关于“CentOS被尝试登陆”问题 - 版本历史

Eijux：​/* 文件 */

Eijux：​/* 使用 SSH 密钥登录 */

Eijux：​/* 附：ssh-keygen 命令 */

Eijux：​/* 附： */

Eijux：​/* 安装并启用 fail2ban */

Eijux：​/* 解决方案 */

Eijux：​/* 使用 SSH 密钥登录 */

Eijux：/* 文件 */

Eijux：/* 使用 SSH 密钥登录 */

Eijux：/* 附：ssh-keygen 命令 */

Eijux：/* 附： */

Eijux：/* 安装并启用 fail2ban */

Eijux：/* 解决方案 */

Eijux：/* 使用 SSH 密钥登录 */