如果我在 iptables 中仅允许我的 IP，我是否应该强化我的 SSH？

Question

我有几台没有强化SSH的Linux服务器：

1. 允许 root 登录

2. 对所有服务器使用相同的密码

3. 使用默认 ssh 端口 22

但我已经设置了 iptables，只允许我自己的 IP 通过 SSH 连接到服务器。这能减轻上述不安全的做法吗？

Answer 1

1. 允许 root 登录

2. 对所有服务器使用相同的密码

3. 使用默认 ssh 端口 22

改变上述每一项都是降低风险的策略。改变所有这些事情并不能让你安全。离开本身并不危险。它确实会增加风险，但你可能会更欣赏这种便利而不是风险。

对于 SSH 所需的完整 TCP 交换，控制 IP 访问范围对于不属于您网络的任何人（相同的第 2 层分支或控制上游路由）都相当有效。

您确实面临着一个服务器被入侵就可能暴露所有人密码的风险，但是您已经限制了人们可以使用密码的地方。

... 但如果这种便利值得，你觉得没问题，而且这些不会占用其他人的重要数据，那就去做吧。只要知道为什么要做这些改变，以及你为了这种便利放弃了什么。

Answer 2

答案总是肯定的。你永远不知道会发生什么。

Answer 3

如果是我的话我会：

• 锁定 ssh
• 为普通用户设置私钥/公钥登录，以实现自动登录
• su -一旦我登录

因为这不值得担心

（这还有一个好处，就是允许从任何有 putty 和 ssh 密钥的地方进行访问）

Answer 4

IP 地址可能被伪造。请锁定您的 SSH。