![通过 iptables 或 /etc/hosts.allow 限制 ubuntu 12.04 上的 ssh、sftp 访问](https://linux22.com/image/620644/%E9%80%9A%E8%BF%87%20iptables%20%E6%88%96%20%2Fetc%2Fhosts.allow%20%E9%99%90%E5%88%B6%20ubuntu%2012.04%20%E4%B8%8A%E7%9A%84%20ssh%E3%80%81sftp%20%E8%AE%BF%E9%97%AE.png)
我试图限制对 ubuntu 服务器的访问,但我仍然不确定该怎么做。情况:我们想要将 ssh 和 sftp 的访问限制在 ubuntu 12.04 服务器上没有静态 ip 的 4 个客户端。因此每个客户端都有一个 dyndns 帐户。服务器将使用共享防火墙,不幸的是不能使用 dyndns 帐户作为允许规则。
想法:允许在共享防火墙中访问 ssh 和 sftp,但在服务器端阻止所有 4 个 dyndns 帐户。
但实现这一目标最简单的方法是什么?
第一个解决方案是使用 iptabels脚本:由 cronjob 运行,它会检查 dyndns ips 并使用类似以下内容更新 iptable 规则:
# All connectsion from address 1.2.3.4 to SSH (port 22)
iptables -A INPUT -p tcp -m state --state NEW --source DYNDNS_IP --dport 22 -j ACCEPT
# Deny all other SSH connections
iptables -A INPUT -p tcp --dport 22 -j DROP
第二种解决方案是通过denyhosts进行限制,例如:
# /etc/hosts.allow
sshd: client.dyndns.org
# /etc/hosts.deny
sshd: ALL
但我不确定denyhosts是否也能够限制ftp访问。如果是这样,这个解决方案看起来更容易管理。
感谢每一个想法,
亲切的问候,
托尼
答案1
如果客户端没有静态 IP,那么下一个最佳解决方案就是使用带有或不带有密码的 SSH 密钥并禁用密码。 这是关于 SSH 密钥的一个很好的入门知识。
并且在服务器上,您可以调整 SSH 以仅publickey
通过调整来PreferredAuthentications
接受/etc/ssh/ssh_config
(在 Ubuntu 12.04 中)。这里有关于 SSH 服务器端选项的很好的解释。
过去我仍然会使用iptables
进一步限制端口来使事情变得更加安全。
答案2
在我看来,你越接近堆栈的底部,就越有利于实现安全性。如果你在 iptables 处阻止,数据包甚至永远不会超过第 3/4 层,所以这会更好。然而,最好的是一个分层的洋葱安全模型,具有基于网络和主机的防火墙,以及拒绝主机/tcpwrappers 和特定于协议的安全性(即 apache 上的 htaccess 规则)。
服务器将使用共享防火墙,遗憾的是它不能使用 dyndns 帐户作为允许规则。
您可以随时用 iptables 或 pfSense 替换您的外围防火墙。