原文链接：提高Linux服务器安全
虽然Linux已经很安全了，但是如果密码设置的不够复杂，如果说小写+数字共12位以下，你的SSH还用的默认端口，那么你的服务器是非常危险的。
下面放一张图，来展示一下攻击的频繁程度，大家自行体会一下。
这个是我买的阿里主机
服务器被攻击
好啦，下面开始正题：
修改SSH端口+禁止ROOT登陆
为了防止误操作，而导致无法登录系统，建议先新建快照
修改默认SSH默认22端口
一、修改文件：/etc/ssh/sshd_config
vi /etc/ssh/sshd_config
在原来大约第5行的地方，修改Port 22，中的22端口号，建议改为1025-65535之间，不要和其他端口产生冲突即可。修改完成后记得保存。
二、重启ssh服务
/etc/init.d/sshd restart #centos系统，重启ssh服务命令 /etc/init.d/ssh restart #debian/ubuntu系统，重启ssh服务命令 或 service ssh restart #debian/ubuntu系统，重启ssh服务命令
三、修改防火墙配置
改完端口号还不要忘了在防火墙中打开所修改的端口哦~
/sbin/iptables -A INPUT -p tcp --dport 22(修改后的端口号) -j ACCEPT
禁止root登录
一、新建用户
sudo adduser username(要新建的用户名)
按照提示一步步操作即可
二、修改配置文件禁止root登录
vi /etc/ssh/sshd_config #修改的文件还是这个PermitRootLogin no #把yes，改成no，保存退出，并重启SSH服务（上面有重启命令）
OK 大功告成，还不赶紧试试
设置 SSH 通过密钥登录
我们一般使用 PuTTY 等 SSH 客户端来远程管理 Linux 服务器。但是，一般的密码方式登录，容易有密码被暴力破解的问题。所以，一般我们会将 SSH 的端口设置为默认的 22 以外的端口，或者禁用 root 账户登录。其实，有一个更好的办法来保证安全，而且让你可以放心地用 root 账户从远程登录——那就是通过密钥方式登录。
密钥形式登录的原理是：利用密钥生成器制作一对密钥——一只公钥和一只私钥。将公钥添加到服务器的某个账户上，然后在客户端利用私钥即可完成认证并登录。这样一来，没有私钥，任何人都无法通过 SSH 暴力破解你的密码来远程登录到系统。此外，如果将公钥复制到其他账户甚至主机，利用私钥也可以登录。
下面来讲解如何在 Linux 服务器上制作密钥对，将公钥添加给账户，设置 SSH，最后通过客户端登录。
1. 制作密钥对
首先在服务器上制作密钥对。首先用密码登录到你打算使用密钥登录的账户，然后执行以下命令：
[root@host ~]$ ssh-keygen <== 建立密钥对 Generating public/private rsa key pair. Enter file in which to save the key (/root/.ssh/id_rsa): <== 按 Enter Created directory '/root/.ssh'. Enter passphrase (empty for no passphrase): <== 输入密钥锁码，或直接按 Enter 留空 Enter same passphrase again: <== 再输入一遍密钥锁码 Your identification has been saved in /root/.ssh/id_rsa. <== 私钥 Your public key has been saved in /root/.ssh/id_rsa.pub. <== 公钥 The key fingerprint is:0f:d3:e7:1a:1c:bd:5c:03:f1:19:f1:22:df:9b:cc:08 root@host
密钥锁码在使用私钥时必须输入，这样就可以保护私钥不被盗用。当然，也可以留空，实现无密码登录。
现在，在 root 用户的家目录中生成了一个 .ssh 的隐藏目录，内含两个密钥文件。id_rsa 为私钥，id_rsa.pub 为公钥。
2. 在服务器上安装公钥
键入以下命令，在服务器上安装公钥：
[root@host ~]$ cd .ssh [root@host .ssh]$ cat id_rsa.pub >> authorized_keys
如此便完成了公钥的安装。为了确保连接成功，请保证以下文件权限正确：
[root@host .ssh]$ chmod 600 authorized_keys [root@host .ssh]$ chmod 700 ~/.ssh
3. 设置 SSH，打开密钥登录功能
编辑 /etc/ssh/sshd_config 文件，进行如下设置：
RSAAuthentication yes PubkeyAuthentication yes
另外，请留意 root 用户能否通过 SSH 登录：
PermitRootLogin yes
当你完成全部设置，并以密钥方式登录成功后，再禁用密码登录：
PasswordAuthentication no
最后，重启 SSH 服务
[root@host .ssh]$ service sshd restart
4. 将私钥下载到客户端，然后转换为 PuTTY 能使用的格式
使用 WinSCP、SFTP 等工具将私钥文件 id_rsa 下载到客户端机器上。然后打开 PuTTYGen，单击 Actions 中的 Load 按钮，载入你刚才下载到的私钥文件。如果你刚才设置了密钥锁码，这时则需要输入。
载入成功后，PuTTYGen 会显示密钥相关的信息。在 Key comment 中键入对密钥的说明信息，然后单击 Save private key 按钮即可将私钥文件存放为 PuTTY 能使用的格式。
今后，当你使用 PuTTY 登录时，可以在左侧的 Connection -> SSH -> Auth 中的 Private key file for authentication: 处选择你的私钥文件，然后即可登录了，过程中只需输入密钥锁码即可。
iptables配置
前言
在大企业中防火墙角色主要交给硬件来支持，效果自然没话说只是需要增加一点点成本，但对于大多数个人或者互联网公司来说选择系统自带的iptables或者第三方云防火墙似乎是更加合适的选择，通过一些合理的优化和灵活的配置，我们也可以很轻松实现硬件防火墙的部分功能，够用就好。
建立防火墙白名单机制很重要
基础知识
关闭iptables
/etc/init.d/iptables stop chkconfig iptables off
基础语法
#规则的观察与清除 iptables [-t tables] [-L] [-nv] 选项与参数： -t ：后面接 table ，例如 nat 或 filter ，若省略此项目，则使用默认的 filter -L ：列出目前的 table 的规则 -n ：不进行 IP 与 HOSTNAME 的反查，显示讯息的速度会快很多！ -v ：列出更多的信息，包括通过该规则的封包总位数、相关的网络接口等 iptables [-t tables] [-FXZ] 选项与参数： -F ：清除所有的已订定的规则； -X ：杀掉所有使用者 "自定义" 的 chain (应该说的是 tables ）啰； -Z ：将所有的 chain 的计数与流量统计都归零#封包的基础比对：IP, 网域及接口装置 iptables [-AI 链名] [-io 网络接口] [-p 协议] [-s 来源IP/网域] [-d 目标IP/网域] -j [ACCEPT|DROP|REJECT|LOG] 选项与参数： -AI 链名：针对某的链进行规则的 "插入" 或 "累加" -A ：新增加一条规则，该规则增加在原本规则的最后面。例如原本已经有四条规则， 使用 -A 就可以加上第五条规则！ -I ：插入一条规则。如果没有指定此规则的顺序，默认是插入变成第一条规则。 例如原本有四条规则，使用 -I 则该规则变成第一条，而原本四条变成 2~5 号 链 ：有 INPUT, OUTPUT, FORWARD 等，此链名称又与 -io 有关，请看底下。 -io 网络接口：设定封包进出的接口规范 -i ：封包所进入的那个网络接口，例如 eth0, lo 等接口。需与 INPUT 链配合； -o ：封包所传出的那个网络接口，需与 OUTPUT 链配合； -p 协定：设定此规则适用于哪种封包格式 主要的封包格式有： tcp, udp, icmp 及 all 。 -s 来源 IP/网域：设定此规则之封包的来源项目，可指定单纯的 IP 或包括网域，例如： IP ：192.168.0.100 网域：192.168.0.0/24, 192.168.0.0/255.255.255.0 均可。 若规范为『不许』时，则加上 ! 即可，例如： -s ! 192.168.100.0/24 表示不许 192.168.100.0/24 之封包来源； -d 目标 IP/网域：同 -s ，只不过这里指的是目标的 IP 或网域。 -j ：后面接动作，主要的动作有接受(ACCEPT)、丢弃(DROP)、拒绝(REJECT)及记录(LOG)#TCP, UDP 的规则比对：针对端口设定 iptables [-AI 链] [-io 网络接口] [-p tcp,udp] [-s 来源IP/网域] [--sport 埠口范围] [-d 目标IP/网域] [--dport 端口范围] -j [ACCEPT|DROP|REJECT] 选项与参数： --sport 埠口范围：限制来源的端口号码，端口号码可以是连续的，例如 1024:65535--dport 埠口范围：限制目标的端口号码。#iptables 外挂模块：mac 与 state iptables -A INPUT [-m state] [--state 状态] 选项与参数： -m ：一些 iptables 的外挂模块，主要常见的有： state ：状态模块 mac ：网络卡硬件地址 (hardware address) --state ：一些封包的状态，主要有： INVALID ：无效的封包，例如数据破损的封包状态 ESTABLISHED：已经联机成功的联机状态； NEW ：想要新建立联机的封包状态； RELATED ：这个最常用！表示这个封包是与我们主机发送出去的封包有关#ICMP 封包规则的比对：针对是否响应 ping 来设计 iptables -A INPUT [-p icmp] [--icmp-type 类型] -j ACCEPT 选项与参数： --icmp-type ：后面必须要接 ICMP 的封包类型，也可以使用代号， 例如 8 代表 echo request 的意思。
配置iptables白名单机制
配置iptables白名单是相对简单有效的管理手段
#清除所有规则(慎用)iptables -F iptables -X iptables -Z#查看iptable和行号iptables -nL --line-number#保存当前防火墙配置service iptables save#手动编辑防火墙策略vi /etc/sysconfig/iptables# Generated by iptables-save v1.4.7 on Fri Jul 24 09:42:09 2015*filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0]#开放本地和Ping-A INPUT -i lo -j ACCEPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -p icmp -j ACCEPT#配置内网白名单-A INPUT -s 10.0.0.0/8 -j ACCEPT -A INPUT -s 172.16.0.0/12 -j ACCEPT -A INPUT -s 192.168.0.0/16 -j ACCEPT#配置外网白名单-A INPUT -s 180.168.36.198 -j ACCEPT -A INPUT -s 180.168.34.218 -j ACCEPT -A INPUT -s 222.73.202.251 -j ACCEPT#控制端口-A INPUT -p tcp --dport 80 -j ACCEPT -A INPUT -p tcp --dport 22 -j ACCEPT#拒绝其它-A INPUT -j DROP -A FORWARD -j DROP#开放出口-A OUTPUT -j ACCEPT COMMIT# Completed on Fri Jul 24 09:40:16 2015#重启生效service iptables restart#复查结果iptables -nL --line-number Chain INPUT (policy ACCEPT) num target prot opt source destination 1 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 2 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 3 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 4 ACCEPT all -- 10.0.0.0/8 0.0.0.0/0 5 ACCEPT all -- 172.16.0.0/12 0.0.0.0/0 6 ACCEPT all -- 192.168.0.0/16 0.0.0.0/0 7 ACCEPT all -- 180.168.36.198 0.0.0.0/0 8 ACCEPT all -- 180.168.34.218 0.0.0.0/0 9 ACCEPT all -- 222.73.202.251 0.0.0.0/0 10 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 11 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 12 DROP all -- 0.0.0.0/0 0.0.0.0/0 Chain FORWARD (policy ACCEPT) num target prot opt source destination 1 DROP all -- 0.0.0.0/0 0.0.0.0/0 Chain OUTPUT (policy ACCEPT) num target prot opt source destination 1 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
设置crontab脚本
便于运维集中化管理扩展
vi /root/start_iptables.sh#!/bin/bash#0 0 * * * /root/start_iptables.sh#清除配置/sbin/iptables -P INPUT ACCEPT /sbin/iptables -F /sbin/iptables -X#开放本地和Ping/sbin/iptables -A INPUT -i lo -j ACCEPT /sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT /sbin/iptables -A INPUT -p icmp -j ACCEPT#配置内网白名单/sbin/iptables -A INPUT -s 10.0.0.0/8 -j ACCEPT /sbin/iptables -A INPUT -s 172.16.0.0/12 -j ACCEPT /sbin/iptables -A INPUT -s 192.168.0.0/16 -j ACCEPT#配置外网白名单/sbin/iptables -A INPUT -s 180.168.36.198 -j ACCEPT /sbin/iptables -A INPUT -s 180.168.34.218 -j ACCEPT /sbin/iptables -A INPUT -s 222.73.202.251 -j ACCEPT#控制端口/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT#拒绝其它/sbin/iptables -A INPUT -j DROP /sbin/iptables -A FORWARD -j DROP#开放出口/sbin/iptables -A OUTPUT -j ACCEPT chmod 755 /root/start_iptables.sh crontab -e 0 0 * * * /root/start_iptables.sh
我的iptables脚本
附上我目前在用的服务器iptables脚本 ipt.sh
/sbin/iptables -F /sbin/iptables -X /sbin/iptables -F -t mangle /sbin/iptables -t mangle -X /sbin/iptables -F -t nat /sbin/iptables -t nat -X /sbin/iptables -P INPUT DROP /sbin/iptables -P OUTPUT ACCEPT /sbin/iptables -P FORWARD DROP#/sbin/iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j DROP/sbin/iptables -I INPUT -p icmp --icmp-type echo-request -m limit --limit 6/min --limit-burst 4 -j ACCEPT /sbin/iptables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP /sbin/iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP /sbin/iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP /sbin/iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP /sbin/iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP /sbin/iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP /sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 3333 -j ACCEPT#/sbin/iptables -A INPUT -p tcp --dport 443 -j ACCEPT#/sbin/iptables -A INPUT -p tcp --dport 4000 -j ACCEPT#/sbin/iptables -A INPUT -p tcp --dport 8080 -j ACCEPT#/sbin/iptables -A INPUT -p tcp --dport 3306 -j ACCEPT#/sbin/iptables -A INPUT -p icmp -j ACCEPT/sbin/iptables -A INPUT -d 127.0.0.1 -j ACCEPT /sbin/iptables -A INPUT -i lo -p all -j ACCEPT /sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT#/sbin/iptables -A INPUT -p udp --sport 53 -j ACCEPT/sbin/iptables -A OUTPUT -p tcp --sport 31337 -j DROP /sbin/iptables -A OUTPUT -p tcp --dport 31337 -j DROP /sbin/iptables -A INPUT -m state --state INVALID -j DROP /sbin/iptables -A OUTPUT -m state --state INVALID -j DROP /sbin/iptables -A FORWARD -m state --state INVALID -j DROP
扩展阅读
Linux 防火墙和 iptables - http://liaoph.com/iptables/
随时随地看视频
