Linux SSH安全加固需组合实施：禁用密码登录并强制密钥认证、禁止root直连且配置带sudo权限的管理用户、通过AllowUsers和ListenAddress限制访问来源、辅以MaxAuthTries和fail2ban防爆破。

Linux SSH 安全加固不是调一个参数就万事大吉，而是靠几项关键措施组合生效：关掉密码登录、只认强密钥、限制谁能连、缩窄监听范围。单做某一项容易留漏洞，比如只改端口不关密码，攻击者换端口照样爆破；只禁 root 不配好普通用户 sudo 权限，可能把自己锁在外面。

强制密钥登录，彻底关闭密码认证

密码是暴力破解的主入口，必须禁用。但操作前务必确认公钥已成功部署并能免密登录，否则会断连。

• 编辑 /etc/ssh/sshd_config，确保这两行明确启用且关闭：

PubkeyAuthentication yes
PasswordAuthentication no

• 推荐生成 ed25519 类型密钥（比 RSA 更快更安全）：
  ssh-keygen -t ed25519 -C "admin@prod"
• 上传公钥时指定新端口（如已修改）：
  ssh-copy-id -i ~/.ssh/id_ed25519.pub -p 4321 admin@192.168.1.100
• 检查服务器端权限：~/.ssh 目录应为 700，authorized_keys 文件应为 600

禁止 root 直连，创建带 sudo 权限的管理用户

PermitRootLogin no 是硬性要求，但不能只改配置就重启——得先验证普通用户能顺利提权。

Spotify-Linux

通过 MPRIS DBus 控制 Spotify Linux 桌面客户端，实现播放、搜索、启动、音量和曲目信息，无需浏览器自动化。

下载

• 新建用户并设密码：
  sudo useradd -m -s /bin/bash admin && sudo passwd admin
• 加入 sudo 组（Ubuntu/Debian）或 wheel 组（CentOS/Rocky）：
  sudo usermod -aG sudo admin 或 sudo usermod -aG wheel admin
• 在 /etc/sudoers 中可细化授权（如仅允许重启 nginx）：
  admin ALL=(ALL) NOPASSWD: /bin/systemctl restart nginx
• 最后修改配置：
  PermitRootLogin no，再 sudo systemctl restart sshd

限制访问来源，缩小暴露面

比起单纯改端口，控制“谁能在哪连”更有效。白名单机制比防火墙规则更贴近 SSH 层级，也更易维护。

• 用 AllowUsers 锁定可信用户和 IP 段：
  AllowUsers admin@192.168.10.* admin@2001:db8::/64
• 若需更细粒度，配合 ListenAddress 绑定特定网卡或公网 IP：
  ListenAddress 10.0.1.5:4321（只监听内网管理地址）
  ListenAddress 203.0.113.10:4321（只开给堡垒机弹性 IP）
• 检查当前监听状态：
  ss -tlnp | grep :4321，确认没意外监听 0.0.0.0:4321

辅助加固：防爆破 + 缩短响应窗口

这些配置不替代核心策略，但能显著提高攻击成本，尤其对抗自动化扫描。

• 限制单次连接最多尝试 3 次认证：
  MaxAuthTries 3
• 缩短登录等待时间至 30 秒：
  LoginGraceTime 30
• 启用 fail2ban 监控日志，对 5 分钟内失败 4 次的 IP 封禁 1 小时：
  配置 [sshd] 段启用，后端用 iptables 或 nftables
• 禁用非必要功能降低攻击面：
  X11Forwarding no
  TCPForwarding no（如无需隧道）