告别“裸奔”！Linux服务器SSH安全加固终极宝典：UP主手把手教你防黑客入侵！
兄弟们姐妹们，大家好啊！我是你们的eccfy！今天咱们要干票大的！有多少人的Linux服务器还在“裸奔”？端口开着22，密码弱一点，分分钟就被暴力破解了！那感觉，就像你家大门敞开任人参观！今天，咱们就来一场服务器安全大升级，手把手教你如何把SSH配置成铜墙铁壁，让黑客看了都直摇头！
🔒 第一步：SSH基础加固，让暴力破解无从下手！
OK so，首先咱们要做的，就是修改SSH的默认配置。咱们打开SSH配置文件，通常是在/etc/ssh/sshd_config。看我的屏幕，首先，禁用root用户直接登录！这是最最最重要的一步，你知道有多少小白服务器就是这么被攻破的吗？把PermitRootLogin yes改成PermitRootLogin no。接下来，更改SSH端口！别再用默认的22啦，改成一个不常用的端口，比如2222或者22333。把Port 22改成Port 22333。这招虽然不能完全阻止，但能把大部分扫描器挡在门外，起到迷惑敌人的作用！
然后，咱们限制一下用户的登录尝试次数。MaxAuthAttempts 3，连续错3次就拜拜，爱咋咋地。最后，重启SSH服务：sudo systemctl restart sshd。看，多简单，这些基础配置就能让你的服务器安全系数瞬间提升一个档次！这就是我们讲的“Linux SSH安全配置教程”最基础但最要命的部分！
🔑 第二步：密钥认证，告别密码烦恼，安全度MAX！
接下来要讲的，是真正的“大杀器”——密钥认证！这玩意儿强到什么程度？比你用100位复杂密码都安全！OK so，我们先在本地客户端生成一对密钥对。看我操作，打开终端，输入ssh-keygen -t rsa -b 4096，一路回车，当然你也可以给私钥设置个密码，这样更安全。你会看到生成了id_rsa（私钥）和id_rsa.pub（公钥）两个文件。私钥千万要保管好，这是你唯一的钥匙！
然后，咱们把公钥上传到服务器。最简单的方法是使用ssh-copy-id命令：ssh-copy-id -i ~/.ssh/id_rsa.pub user@your_server_ip -p 22333。输入一次密码后，你的公钥就部署到服务器的~/.ssh/authorized_keys文件里了。接下来，咱们去服务器的sshd_config文件里，把PasswordAuthentication yes改成PasswordAuthentication no，完全禁用密码登录！这样，只有持有私钥的人才能登录。再重启sudo systemctl restart sshd。现在，你就可以尝试用ssh user@your_server_ip -p 22333直接登录了，是不是瞬间觉得自己变成黑客高手了？这招简直是“SSH密钥登录教程”的精髓所在！如果你想知道“如何进行端口扫描与安全检测”，这些配置也能帮你抵御住初级的扫描。
🛡️ 第三步：实时监控与防护，让入侵无所遁形！
光有好的防御配置还不够，我们还需要一套监控系统！接下来，我推荐一个神器——Fail2ban！这小家伙能实时监控登录日志，一旦发现某个IP地址在一定时间内多次登录失败，就会自动把这个IP封禁一段时间！简直是暴力破解的克星！
安装它很简单，在 większość Linux 发行版上：sudo apt install fail2ban 或者 sudo yum install fail2ban。安装好之后呢，咱们需要编辑一下它的配置文件，通常是/etc/fail2ban/jail.local。你可以根据自己的需求，调整封禁时间、尝试次数等等。比如，我们可以添加一个针对SSH的服务：
[sshd]
enabled = true
port = ssh,sftp
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600保存后，重启Fail2ban服务：sudo systemctl restart fail2ban。看，它现在就像一个忠实的哨兵，24小时帮你盯梢，遇到可疑分子直接“送走”！这才是真正的“服务器安全加固工具推荐”！
好啦，今天这期SSH安全加固就到这里！大家学会了吗？赶紧去给你的服务器穿上这套“防弹衣”吧！如果你觉得这个视频对你有帮助，别忘了点赞、投币、收藏，一键三连支持一下我！有什么问题，评论区告诉我，我都会看的！我们下期再见，拜拜！