一、SSH服务安全配置的重要性

在Linux系统运维中，SSH服务是远程管理的核心通道，其安全性直接影响整个系统的稳定运行。据安全研究机构统计，未经过安全加固的SSH服务遭受暴力破解的概率高达73%，其中Root用户直接暴露和默认端口22的使用是主要风险点。

1.1 Root用户登录风险

Root账户拥有系统最高权限，一旦被破解将导致整个服务器沦陷。攻击者常通过字典攻击方式尝试破解Root密码，特别是当密码复杂度不足时，破解成功率显著提升。

1.2 默认端口安全隐患

SSH默认使用22端口，这已成为攻击者的首要扫描目标。修改服务端口可有效降低被自动化扫描工具发现的概率，结合防火墙规则能构建多层次防护体系。

二、Root用户登录权限管理

2.1 配置文件修改

SSH服务的核心配置文件位于/etc/ssh/sshd_config，需使用文本编辑器（如vim）进行修改：

sudo vim /etc/ssh/sshd_config

找到PermitRootLogin参数项，将其修改为：

PermitRootLogin no

保存退出后，需重启SSH服务使配置生效：

sudo systemctl restart sshd

2.2 配置验证方法

修改完成后，可通过以下方式验证配置：

使用普通用户登录系统
尝试su -切换Root用户（需输入Root密码）
直接使用ssh root@服务器IP应返回拒绝连接提示

2.3 常见问题处理

问题1：修改后无法远程连接

检查配置文件语法：sudo sshd -t
确认服务状态：sudo systemctl status sshd
查看日志：journalctl -u sshd --no-pager -n 50

问题2：忘记普通用户密码
需通过单用户模式或救援模式重置密码，具体步骤：

重启系统，在GRUB界面按e编辑启动参数
找到linux16行，在末尾添加init=/bin/bash
按Ctrl+X启动，执行passwd 用户名重置密码
更新/etc/shadow文件权限后重启

三、SSH服务端口修改

3.1 端口选择原则

建议选择1024-65535之间的非特权端口，同时避免使用知名服务端口（如8080、3306等）。推荐范围：

生产环境：10000-20000
测试环境：20001-30000

3.2 完整修改流程

修改SSH配置文件：
```
sudo vim /etc/ssh/sshd_config
```
找到#Port 22行，修改为：
```
Port 新端口号
```

更新防火墙规则（以firewalld为例）：

sudo firewall-cmd --zone=public --add-port=新端口号/tcp --permanent
sudo firewall-cmd --reload

重启SSH服务：
```
sudo systemctl restart sshd
```

验证新端口连通性：

ssh -p 新端口号 用户名@服务器IP

3.3 多端口配置方案

如需保留原端口同时启用新端口，可在配置文件中添加多个Port指令：

Port 22
Port 新端口号

但建议生产环境仅保留一个活动端口，降低暴露面。

四、安全加固最佳实践

4.1 密钥认证替代密码

生成密钥对并配置SSH使用密钥认证：

# 客户端生成密钥
ssh-keygen -t ed25519
# 上传公钥到服务器
ssh-copy-id -i ~/.ssh/id_ed25519.pub -p 新端口号 用户名@服务器IP

4.2 失败登录限制

配置/etc/security/limits.conf限制连续失败次数：

*        hard    maxlogins   3
*        soft    maxlogins   3

4.3 定期审计日志

设置日志轮转并定期分析：

# 配置日志轮转
sudo vim /etc/logrotate.d/sshd

添加以下内容：

/var/log/secure {
    daily
    rotate 7
    missingok
    notifempty
    compress
    delaycompress
}

五、配置恢复方案

5.1 本地控制台恢复

当远程连接中断时，可通过本地控制台：

恢复原始配置文件备份
重启SSH服务
临时开放防火墙规则

5.2 云平台控制台

对于云服务器，可通过VNC或Web控制台：

登录云平台控制台
进入实例管理界面
使用VNC终端进行操作

5.3 自动化恢复脚本

建议准备恢复脚本并存储在安全位置：

#!/bin/bash
# 恢复SSH默认端口
sed -i 's/^Port.*/Port 22/' /etc/ssh/sshd_config
# 允许Root登录
sed -i 's/^PermitRootLogin.*/PermitRootLogin yes/' /etc/ssh/sshd_config
# 重启服务
systemctl restart sshd
# 更新防火墙
firewall-cmd --zone=public --add-port=22/tcp --permanent
firewall-cmd --reload

六、总结与建议

SSH安全配置是系统防护的基础工作，建议采取以下措施：

定期更新系统补丁：sudo yum update -y
使用复杂密码策略：sudo vim /etc/pam.d/system-auth
启用双因素认证：集成Google Authenticator
监控异常登录：配置日志告警规则

通过本文介绍的配置方法，可有效提升SSH服务的安全性，降低系统被入侵的风险。运维人员应建立定期安全审计机制，持续优化系统防护策略。

CentOS7系统SSH安全配置：Root登录与端口优化指南