ubuntu SSH远端安全连线安装及设定

2010年11月5日
由Leyond
发布在 Ubuntu
留下评论

你在安装ubuntu时有安装openssh吗接下来我们可以来看看怎么设定ssh的部份

安装openssh-server
如果你没有安装ubuntu时没有安装openssh，请用以下熟悉的指令来做安装

sudo apt-get install openssh-server

好，当我们安装好，基本上就可以用putty来用远端登入了，当然是有帐密的人就可以登入啦，但是我们都了解，这样子是不安全的，基本上我们要限定连入IP还有改变PORT，如此才会比较安全。

接下来我们一样可以来检查是否有执行这个ssh-server，输入以下指令

ps aux | grep ssh

设定ssh_config内容
我们若在主机上，就会有二条讯息，一是root，一是你登入的名称。若是用远端登入，就会有远端登入的名称，讯息就会多出2~3条，那是正常的，接下来我们进入ssh的config档案。

sudo vim /etc/ssh/sshd_config

找一下，看到这行，可以做更改，但事实上，ubuntu本身就有限制root的登入，因此是没有特别的意义，但还是可以修改，以防万一

#PermitRootLogin Yes
改成
PermitRootLogin no

再来找到
# What ports, IPs and protocols we listen for (约第4、5行)
Port 22

可将预设的port改成系统未在使用的port，因为系统预设都会有一些连接port，例如：ftp是port21、web是port80、smtp是port25、ssh是port22、telnet是port23等等，那你要怎么知道哪些被使用呢?键入下列的指令吧。
(port的内容相当多，在一个区段内找一个数字，只要在services当中没出现的即可)

sudo less /etc/services

例如：90这个port系统没有使用，那你就将22改成90，那这样在连ssh时就必须将port改成90，若维持22是连不进去的。

限制IP登入
再来，我们要修改可以登入这台主机的ip，否则任可一个ip都可以利用帐号登入，这是基本的防护。

sudo vim /etc/hosts.allow

在最下方加入
sshd:xxx.xxx.xxx.xxx :allow

xxx就是指你的ip位置，包含你远端要登入的ip(一般ADSL浮动ip则不适用，此方法只适用固定IP)。

拒绝所有IP登入
当你允许了你指定的IP可以登入，那其他的浮动IP就不让他们登入了，避免不必要的麻烦和攻击

sudo vim /etc/hosts.deny

加入sshd:all:deny

如此一来，除了你允许的IP之外，其他的浮动IP就连不进来

sudo /etc/init.d/ssh restart

一样修改完成后，要重新启动喔!这样我们就可以使用Putty软件登入系统，Putty下载地址：http://www.chiark.greenend.org.uk/~sgtatham/putty/，使用方法很简单，如下图：