毋庸置疑，對于系統(tǒng)管理員，提高服務(wù)器的安全性是最重要的事情之一。因此，也就有了許多針對這個話題而生的文章、博客和論壇帖子。

一臺服務(wù)器由大量功能各異的部件組成，這一點(diǎn)使得很難根據(jù)每個人的需求去提供定制的解決方案。這篇文章盡可能涵蓋一些有所裨益的小技巧來幫助管理員保證服務(wù)器和用戶安全。

有一些常識是每個系統(tǒng)管理員都應(yīng)該爛熟于心的，所以下面的幾點(diǎn)在本文將不會提及：

務(wù)必保證系統(tǒng)是最新的 經(jīng)常更換密碼 - 使用數(shù)字、字母和非字母的符號組合 給予用戶最小的權(quán)限，滿足他們?nèi)粘Ｊ褂盟杓纯? 只安裝那些真正需要的軟件包

下面是一些更有意思的內(nèi)容：

更改SSH默認(rèn)端口

在搭建好一臺全新的服務(wù)器后要做的第一件事情就是更改SSH的默認(rèn)端口。這個小小的改動能夠使你的服務(wù)器避免受到成千上萬的暴力攻擊（LCTT 譯注：不更改默認(rèn)端口相當(dāng)于黑客們知道你家的門牌號，這樣他們只需要一把一把的試鑰匙就可能打開你家的鎖）。

要更改默認(rèn)的SSH端口，先打開sshd_config文件：

找到下面這行：

“#”號表示這行是注釋。首先刪除#號，然后把端口號改成目的端口。端口號不能超過65535，確保要指定的端口號沒有被系統(tǒng)或其它服務(wù)占用。建議在[維基百科]上查看常用端口號列表。在本文中，使用這個端口號：

然后保存并關(guān)閉文件，等待更改生效。

接下來的一步是：

使用SSH密鑰認(rèn)證

在通過SSH訪問服務(wù)器時，使用SSH密鑰進(jìn)行認(rèn)證是尤其重要的。這樣做為服務(wù)器增加了額外的保護(hù)，確保只有那些擁有密鑰的人才能訪問服務(wù)器。

在本地機(jī)器上運(yùn)行下面命令以生成SSH密鑰：

你會看到下面的輸出，詢問要將密鑰寫到哪一個文件里，并且設(shè)置一個密碼：

完成之后，就得到兩個文件：

my_key

my_key.pub

接下來把my_key.pub拷貝到~/.ssh/authorized_key中

然后使用下面命令將密鑰上傳到服務(wù)器：

至此，你就可以從這臺本地機(jī)器上無密碼地訪問服務(wù)器了。

關(guān)閉SSH的密碼認(rèn)證

既然已經(jīng)有了SSH密鑰，那么關(guān)閉SSH的密碼認(rèn)證就會更安全了。再次打開并編輯sshd_config，按如下設(shè)置：

關(guān)閉Root登錄

下面關(guān)鍵的一步是關(guān)閉root用戶的直接訪問，而使用sudo或su來執(zhí)行管理員任務(wù)。首先需要添加一個有root權(quán)限的新用戶，所以編輯這個路徑下的sudoers文件：

推薦使用如visudo這樣的命令編輯該文件，因為它會在關(guān)閉文件之前檢查任何可能出現(xiàn)的語法錯誤。當(dāng)你在編輯文件時出錯了，這就很有用了。

接下來賦予某個用戶root權(quán)限。在本文中，使用用戶sysadmin。確保在編輯后這個文件時使用的用戶是系統(tǒng)已有的用戶。找到下面這行：

拷貝這行，然后粘貼在下一行，然后把root更改為“sysadmin”，如下所示：

現(xiàn)在解釋一下這行的每一個選項的含義：

(1) 指定用戶

(2) 指定用戶使用sudo的終端

(3) 指定用戶可以擔(dān)任的用戶角色

(4) 這個用戶可以使用的命令

（LCTT 譯注：所以上面的配置是意思是：root 用戶可以在任何終端擔(dān)任任何用戶，執(zhí)行任何命令。）

使用這個配置可以給用戶訪問一些系統(tǒng)工具的權(quán)限。

這時，可以放心保存文件了。

為了關(guān)閉通過SSH直接訪問root，需要再次打開sshd_config，找到下面這行：

更改為：

然后保存文件，重啟sshd守護(hù)進(jìn)程使改動生效。執(zhí)行下面命令即可：

設(shè)置防火墻

防火墻有助于過濾出入端口和阻止使用暴力法的登錄嘗試。我傾向于使用SCF(Config Server Firewall)這個強(qiáng)力防火墻。它使用了iptables，易于管理，而且對于不擅于輸入命令的用戶提供了web界面。

要安裝CSF，先登錄到服務(wù)器，切換到這個目錄下：

然后以root權(quán)限執(zhí)行下面命令：

只需等待安裝程序完成，然后編輯CSF的配置文件：

默認(rèn)情況下CSF是以測試模式運(yùn)行。通過將“TESTING”的值設(shè)置成0，切換到product模式。

下面要設(shè)置的就是服務(wù)器上允許通過的端口。在csf.conf中定位到下面的部分，根據(jù)需要修改端口：

請根據(jù)需要逐一設(shè)置，推薦只使用那些需要的端口，避免設(shè)置對端口進(jìn)行大范圍設(shè)置。此外，也要避免使用不安全服務(wù)的不安全端口。比如只允許端口465和587來發(fā)送電子郵件，取代默認(rèn)的SMTP端口25。（LCTT 譯注：前提是你的郵件服務(wù)器支持 SMTPS）

重要：千萬不要忘記允許自定義的 ssh 端口。

允許你的IP地址通過防火墻，而絕不被屏蔽，這一點(diǎn)很重要。IP地址定義在下面的文件中：

被屏蔽了的IP地址會出現(xiàn)在這個文件中：

一旦完成更改，使用這個命令重啟csf：

下面是在某臺服務(wù)器上的csf.deny文件的部分內(nèi)容，來說明CSF是很有用的：

可以看到，嘗試通過暴力法登錄的IP地址都被屏蔽了，真是眼不見心不煩啊！

鎖住賬戶

如果某個賬戶在很長一段時間內(nèi)都不會被使用了，那么可以將其鎖住以防止其它人訪問。使用如下命令：

當(dāng)然，這個賬戶依然可以被root用戶使用（LCTT 譯注：可用 su 切換為該賬號）。

了解服務(wù)器上的服務(wù)

服務(wù)器的本質(zhì)是為各種服務(wù)提供訪問功能。使服務(wù)器只運(yùn)行所需的服務(wù)，關(guān)閉沒有使用的服務(wù)。這樣做不僅會釋放一些系統(tǒng)資源，而且也會使服務(wù)器變得更加安全。比如，如果只是運(yùn)行一個簡單的服務(wù)器，顯然不需要X顯示或者桌面環(huán)境。如果不需要Windows網(wǎng)絡(luò)共享功能，則可以放心關(guān)閉Samba。

使用下面的命令能查看伴隨系統(tǒng)啟動而啟動的服務(wù)：

如果系統(tǒng)運(yùn)行了systemd，執(zhí)行這條命令：

然后使用下面的命令關(guān)閉服務(wù)：

在上面的例子中，把“service”替換成真正想要停止的服務(wù)名稱。實例如下：

小結(jié)

這篇文章的目的是涵蓋一些通用的安全步驟以便幫助你保護(hù)服務(wù)器。你可以采取更多方式去增強(qiáng)對服務(wù)器的保護(hù)。請記住保證服務(wù)器安全是你的責(zé)任，在維護(hù)服務(wù)器安全時盡量做出明智的選擇，盡管并沒有什么容易的方式去完成這件事情，而建立“完善的”安全需要花費(fèi)大量的時間和測試直到達(dá)到想要的結(jié)果。

via: 原文

作者：Marin Todorow 譯者：KayGuoWhu 校對：wxy

本文由 LCTT 原創(chuàng)翻譯，Linux中國 榮譽(yù)推出

名稱欄目：Linux服務(wù)器安全技巧
網(wǎng)站路徑：http://m.newbst.com/news25/202975.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供標(biāo)簽優(yōu)化、企業(yè)建站、品牌網(wǎng)站制作、App設(shè)計、自適應(yīng)網(wǎng)站、電子商務(wù)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)