当前位置：首页 > Linux > 正文

linux如何限制ip登陆

Linux中，可通过编辑sshd_config文件，使用AllowUsers等指令指定允许登录的IP；或利用防火墙设置规则，如firewall-cmd添加白名单或黑名单限制IP登录

Linux系统中，限制IP登录是增强服务器安全性的重要措施之一，通过限制特定IP地址或IP范围的访问，可以有效防止未经授权的访问和潜在的安全威胁,以下是几种在Linux中限制IP登录的常用方法：

使用/etc/hosts.allow和/etc/hosts.deny文件

这种方法基于TCP封装（TCP Wrappers）机制，适用于多种服务，包括SSH。hosts.allow文件中的规则优先级高于hosts.deny。

  1. 白名单方式：只允许特定IP或IP段登录

    • 编辑/etc/hosts.allow文件，添加允许的IP或IP段，允许168.0.1和168.0.10登录： 
      sshd: 192.168.0.1, 192.168.0.10
    • 或者允许168.0.0/24网段的所有IP登录： 
      sshd: 192.168.0.
    • 在/etc/hosts.deny文件中，可以设置拒绝所有其他IP： 
      sshd: ALL

  2. 黑名单方式：拒绝特定IP登录

    • 在/etc/hosts.deny文件中，添加需要拒绝的IP，拒绝168.0.1登录： 
      sshd: 192.168.0.1

修改/etc/ssh/sshd_config文件

通过配置SSH服务的配置文件,可以更灵活地控制IP访问。

linux如何限制ip登陆 第1张

  1. AllowUsers：允许特定用户从特定IP登录

    • 允许用户username从168.0.100和168.0.101登录： 
      AllowUsers username@192.168.0.100 username@192.168.0.101
    • 也可以使用通配符，例如允许username从168.0.登录： 
      AllowUsers username@192.168.0.

  2. DenyUsers：拒绝特定用户从任何IP登录

    • 拒绝用户zhangsan和aliyun登录： 
      DenyUsers zhangsan aliyun

  3. PermitRootLogin：限制root用户登录

    • 禁止root用户通过密码登录，但允许使用密钥登录： 
      PermitRootLogin without-password
    • 完全禁止root用户登录： 
      PermitRootLogin no

使用防火墙工具（如iptables或firewalld）

防火墙是控制网络访问的强大工具，可以基于IP地址、端口等条件进行精细化控制。

linux如何限制ip登陆 第2张

  1. iptables

    • 允许特定IP访问SSH端口（22）： 
      iptables -A INPUT -p tcp --dport 22 -s 192.168.0.100 -j ACCEPT
    • 拒绝特定IP访问SSH端口： 
      iptables -A INPUT -p tcp --dport 22 -s 192.168.0.101 -j REJECT
    • 保存规则并重启服务： 
      iptables-save > /etc/iptables/rules.v4
systemctl restart iptables

  2. firewalld

    • 允许特定IP访问SSH端口： 
      firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.0.100" port protocol="tcp" port="22" accept'
firewall-cmd --reload
    • 拒绝特定IP访问SSH端口： 
      firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.0.101" port protocol="tcp" port="22" reject'
firewall-cmd --reload

结合多种方法

在实际场景中,可以结合多种方法来实现更严格的IP访问控制。

  • 使用/etc/hosts.allow和/etc/hosts.deny文件进行初步过滤。
  • 通过sshd_config文件进一步限制用户和IP。
  • 使用防火墙工具阻止未授权的IP访问。

注意事项

  1. 规则顺序：在iptables中，规则的顺序非常重要,先匹配的规则会优先执行。
  2. 权限：修改系统配置文件和防火墙规则通常需要root权限。
  3. 测试：在应用新规则后，务必进行测试，确保合法用户可以正常访问,而非规用户被正确阻止。

以下是一个简单的对比表格,归纳了上述方法的特点：

linux如何限制ip登陆 第3张

方法 优点 缺点
/etc/hosts.allow 简单易用，无需重启服务 规则不够灵活，适用于少量IP
/etc/hosts.deny 简单易用，无需重启服务 规则不够灵活，适用于少量IP
/etc/ssh/sshd_config 灵活性高，支持用户和IP级别的控制 需要重启SSH服务，配置复杂
iptables 功能强大，支持复杂的规则 配置复杂，规则顺序重要
firewalld 现代化工具，支持动态规则管理 需要熟悉命令行操作

FAQs

如何允许整个子网访问SSH？

  • 在/etc/hosts.allow文件中，可以使用通配符，允许168.0.子网的所有IP访问： 
    sshd: 192.168.0.
  • 或者在sshd_config中使用AllowUsers： 
    AllowUsers user@192.168.0.

如何临时允许一个被拒绝的IP访问？

  • 如果使用iptables或firewalld，可以直接添加一条允许规则，使用iptables： 
    iptables -I INPUT -p tcp --dport 22 -s 192.168.0.101 -j ACCEPT
  • 如果使用/etc/hosts.deny，可以将该IP从黑名单中移除，或者在/etc/hosts.allow中
nux 限制 ip登陆
0

相关文章