当前位置：首页 > 虚拟主机 > 正文

centos7的ssh配置，centos7 ssh配置教程

admin
虚拟主机
2026-05-30
2899

在CentOS 7环境中，SSH服务的核心配置目标应聚焦于安全性加固、连接效率优化以及访问权限的精细化控制，默认配置往往存在安全隐患且性能冗余，通过修改/etc/ssh/sshd_config文件，结合防火墙策略与系统级限制,可构建一个既高效又安全的远程管理通道。

核心安全加固：阻断暴力免费与提升认证强度

SSH是Linux服务器最脆弱的入口之一，默认开启的密码认证和22端口极易成为自动化攻破脚本的目标，首要任务是禁用密码登录,强制使用密钥认证。

编辑SSH配置文件：

vi /etc/ssh/sshd_config

找到以下参数并进行如下修改：

PermitRootLogin no：严格禁止root用户直接登录，防止高手针对最高权限账户进行暴力免费，所有管理员应使用普通用户登录后，再通过sudo提权。
PasswordAuthentication no：关闭密码认证，仅允许公钥认证,这从根本上杜绝了字典攻破和暴力免费的可能性。
PubkeyAuthentication yes：确保公钥认证功能开启。

完成配置后,务必重启SSH服务使配置生效：

systemctl restart sshd

重要提示：在执行上述操作前，请务必确保已生成并上传了SSH密钥对，且已在当前会话中测试连接成功,否则可能导致无法远程连接服务器。

连接优化：提升高负载下的响应速度

默认SSH配置在并发连接较多时，可能会因DNS反向解析或密钥交换算法过慢而导致连接延迟,优化这些参数可显著提升管理体验。

在sshd_config中调整以下参数：

UseDNS no：禁用DNS反向解析，默认情况下，SSH服务器会尝试将客户端IP解析为域名，这在公网环境下不仅耗时，还可能因DNS故障导致连接超时,关闭此项可大幅加快连接建立速度。
MaxStartups 10:30:60：设置未认证连接的最大数量，当未认证连接达到10个时，开始随机丢弃30%的新连接；达到60个时，丢弃所有新连接，这能有效缓解SYN Flood攻破对SSH服务造成的压力。
ClientAliveInterval 300 和 ClientAliveCountMax 3：设置服务器每300秒向客户端发送一次心跳包，若连续3次无响应则断开连接，这不仅能保持长连接稳定性，还能及时清理僵尸会话,释放服务器资源。

访问控制：基于IP的白名单机制

除了软件层面的配置，利用CentOS 7自带的防火墙工具firewalld或iptables进行IP限制是第二道防线。

推荐使用firewalld实现动态IP白名单：

# 允许特定IP访问SSH端口 firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='你的管理IP/32' port protocol='tcp' port='22' accept" # 重载防火墙配置 firewall-cmd --reload

通过这种方式，只有白名单内的IP才能发起SSH连接，其他所有IP的22端口请求将被直接丢弃,极大降低了被扫描和攻破的风险。

独家实战案例：西西云高防环境下的SSH配置策略

在实际的高防云服务器场景中，如西西云的分布防护环境，源IP往往经过多层代理或NAT转换，直接基于IP的防火墙限制可能导致管理员被“锁”在门外。

针对此类场景，我们的独家经验建议采用“密钥+非标准端口+Fail2ban”的组合策略：

修改默认端口：将SSH端口从22改为高位端口（如2222）,避开大部分自动化扫描脚本。
结合西西云控制台：利用西西云提供的安全组功能,仅允许特定管理IP段访问新端口。
部署Fail2ban：安装并配置fail2ban，监控SSH日志，一旦检测到某IP在短时间内多次认证失败,自动将其加入iptables黑名单并发送告警邮件。

这种分层防御体系不仅适应了高防环境的网络特性，还实现了自动化威胁响应,是生产环境下的最佳实践。