Linux SSH安全提升核心是控制“谁、在什么条件下、能做什么”，通过身份认证加固（密钥登录替代密码）、访问入口收敛（限制用户/IP/监听地址）、操作行为约束（禁用root、限登录次数与超时）三道防线实现。
Linux SSH 安全提升，核心不是堆砌配置，而是控制“谁、在什么条件下、能做什么”。关键在三道防线：身份认证加固、访问入口收敛、操作行为约束。
用密钥替代密码登录密码易被暴力破解或重放，密钥对（尤其是带密码的私钥）大幅提高门槛。生成时用ssh-keygen -t ed25519 -C "your_email@example.com"，优先选 ed25519 算法；公钥复制到服务器~/.ssh/authorized_keys后，务必在/etc/ssh/sshd_config
中设为：
PubkeyAuthentication yes PasswordAuthentication no（确认密钥已生效再启用）
PermitEmptyPasswords no限制登录来源与用户范围不给攻击面留“敞开的门”。通过sshd_config直接控制比防火墙
更前置：
AllowUsers user1@192.168.1.* user2@10.0.0.5—— 只允特定用户从指定IP段登录DenyUsers root guest—— 明确禁止高危账户ListenAddress 192.168.1.100—— 若仅内网管理，绑定内网IP，不监听公网配合ufw或iptables限速（如每分钟最多3次新连接）效果更稳。
CentOS Linux 7.9.2009 CentOS Linux 7.9.2009是传统CentOS Linux 7的最后主要版本，也是很多企业历史服务器中仍可能遇到的系统版本。它以稳定、兼容RHEL 7生态、文档丰富和软件支持广泛著称，曾长期用于Web服务、数据库、虚拟化节点和企业内部业务系统。不过CentOS Linux 7已于2024年6月30日停止维护，现在继续使用会面临安全补丁缺失风险。该版本更适合旧业务迁移、历史环境恢复或离线兼容性测试。
下载禁用高危默认配置很多风险来自未修改的出厂设置：PermitRootLogin no—— 根用户禁止SSH直接登录（必须用普通用户+sudo）
MaxAuthTries 3—— 登录失败3次即断连，防爆破LoginGraceTime 60—— 登录窗口压缩至60秒，减少空闲试探ClientAliveInterval 300和ClientAliveCountMax 2—— 5分钟无响应自动断开，防会话劫持残留启用日志审计与异常监控安全不是“防住就完事”，而是“出事能追溯、异常早发现”：确保LogLevel VERBOSE或INFO，记录登录用户、IP、密钥指纹、时间日志路径通常为/var/log/auth.log（Debian/Ubuntu）或/var/log/secure（RHEL/CentOS）
用grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr快速查高频攻击IP搭配fail2ban自动封禁反复失败的IP，简单有效基本上就这些。不复杂但容易忽略——重点不在功能多，而在每项配置是否真正生效、是否定期复查。改完记得sudo systemctl restart sshd，并用新终端测试，别把自己锁在外面。