SSH 安全加固 · 修改记录

 new file mode 100644
 @@ -0,0 +1,69 @@
+---
+tags: [SSH, 安全加固, Linux]
+order: 40
+---
+
+# SSH 安全加固
+
+## 场景
+
+服务器要放到内网以外，或者安全扫描报了「SSH 允许密码登录 / 允许 root 登录」。
+
+## 前置条件
+
+- 已经能用密钥登录，并且确认密钥可用
+- 有带外或控制台兜底（改错就进不去）
+- 记下当前会话别断
+
+## 配置
+
+```bash
+# 1. 客户端生成密钥（在你自己电脑上做）
+ssh-keygen -t ed25519 -C "ops@laptop"
+ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server
+
+# 2. 服务端配置
+cat >/etc/ssh/sshd_config.d/99-hardening.conf <<'EOF'
+Port 22
+PermitRootLogin no
+PasswordAuthentication no
+PubkeyAuthentication yes
+PermitEmptyPasswords no
+MaxAuthTries 3
+ClientAliveInterval 300
+ClientAliveCountMax 2
+AllowUsers deploy ops
+EOF
+
+# 3. 检查并重启
+sshd -t
+systemctl restart sshd
+```
+
+**先保持一个已登录的会话不要退出**，新开一个窗口验证能连上再关旧的。
+
+## 验证
+
+```bash
+ssh -p 22 deploy@server        # 新窗口
+ss -lntp | grep sshd
+journalctl -u sshd -n 50 --no-pager
+```
+
+## 回滚
+
+连不上时用控制台 / 带外进去：
+
+```bash
+rm /etc/ssh/sshd_config.d/99-hardening.conf
+systemctl restart sshd
+```
+
+## 坑
+
+- **改完直接重启 sshd 又没验证**，是把自己锁在门外最常见的方式。
+- 家目录权限太松（`777`）会导致密钥登录失败，`chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys`。
+- SELinux 开启时，`authorized_keys` 的上下文不对也会失败，`restorecon -Rv ~/.ssh`。
+- 改端口后记得同步防火墙和云安全组。
+- `AllowUsers` 写错用户名，全员被拒。
+- 用 `sshd -t` 先测语法，别等 restart 失败才发现。