Linux 服务器防攻击策略配置怎么做-安全-PHP中文网

linux服务器防攻击需分层设防：先禁用root远程登录、修改ssh默认端口至高位（如58222）、强制密钥认证；再通过fail2ban监控auth.log，配置maxretry=3、findtime=600、bantime=86400并指定新端口；辅以maxauthtries 3、clientaliveinterval 300等系统级加固及防火墙最小化放行。

linux 服务器防攻击策略配置怎么做

Linux服务器防攻击不是靠单一手段，而是分层设防、层层收紧。核心思路是：先收窄入口，再加固通道，最后动态拦截异常行为。下面从实操角度拆解最关键的几项配置。

SSH服务必须做的三件事

SSH是绝大多数攻击的起点，必须优先加固：

禁用root远程登录：编辑/etc/ssh/sshd_config，设置PermitRootLogin no，避免攻击者直接爆破最高权限账号
改默认端口：把Port 22换成10000以上的高位端口（如Port 58222），大幅降低被自动化扫描器盯上的概率
强制密钥登录：关闭密码认证（PasswordAuthentication no），只允许通过ed25519或RSA密钥对登录，杜绝暴力破解可能

Fail2ban自动封禁恶意IP

即使做了SSH加固，日志里仍会看到大量探测请求。Fail2ban能实时分析/var/log/auth.log，自动封禁高频失败尝试的IP：

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

安装后创建/etc/fail2ban/jail.local，明确指定SSH监听新端口（如port = 58222）
调低阈值：maxretry = 3、findtime = 600（10分钟内失败3次即触发）、bantime = 86400（封禁24小时）
加入可信网段：ignoreip = 127.0.0.1/8 192.168.0.0/16，防止误伤内网运维流量

系统级基础防护不能跳过

很多攻击利用的是系统默认宽松策略，这几项配置成本低、见效快：

限制登录尝试次数：在sshd_config中加MaxAuthTries 3，单次连接最多试3次密码就断开
设置空闲超时：添加ClientAliveInterval 300和ClientAliveCountMax 0，5分钟无响应自动断连，释放僵尸会话
清理无用账户：运行awk -F: '$3==0 {print $1}' /etc/passwd确认只有root一个UID为0的账号，删除games、nobody等默认闲置用户