在现代计算机网络环境中，安全性愈发重要。作为一款广泛使用的Linux发行版，CentOS 7的SSH（Secure Shell）服务是远程登录和管理服务器的主要工具。为了确保服务器的安全，合理配置SSHD（SSH Daemon）是非常关键的。本文将为您提供CentOS 7 SSHD的安全配置指南与最佳实践解析。
一、基础配置
首先，确保已经安装了OpenSSH。在CentOS 7中，打开终端，执行以下命令进行安装：
sudo yum install -y openssh-server
安装完成后，可以启动SSHD服务并设置其开机自启：
sudo systemctl start sshd
sudo systemctl enable sshd
二、配置文件修改
SSHD的主要配置文件为/etc/ssh/sshd_config。使用文本编辑器打开该文件并进行相应的修改：
sudo vi /etc/ssh/sshd_config
1. 修改默认端口
默认情况下，SSH使用22号端口，这个端口常常成为攻击者的目标。建议修改为一个非标准端口，例如2222。在配置文件中找到如下行：
#Port 22
将其修改为：
Port 2222
2. 禁用root登录
为了增强安全性，最好禁用root用户通过SSH直接登录。找到以下行并修改：
#PermitRootLogin yes
改为：
PermitRootLogin no
3. 禁用密码验证，使用密钥验证
建议使用SSH密钥代替密码进行身份验证，增强安全性。首先生成SSH密钥：
ssh-keygen -t rsa
将公钥复制到服务器上：
ssh-copy-id -i ~/.ssh/id_rsa.pub username@server_ip
在sshd_config文件中找到以下行并进行修改：
#PasswordAuthentication yes
将其改为：
PasswordAuthentication no
4. 设置最大登录尝试次数
为了防止暴力破解，设置最大登录尝试次数。找到以下行并进行修改：
#MaxAuthTries 6
将其改为：
MaxAuthTries 3
三、SSH服务的防火墙配置
在CentOS 7中，默认使用Firewalld作为防火墙工具。确保将新 SSH 端口添加到防火墙规则中：
sudo firewall-cmd --zone=public --add-port=2222/tcp --permanent
sudo firewall-cmd --reload
可以使用以下命令检查当前防火墙规则，以确保新的SSH端口已开放：
sudo firewall-cmd --list-all
四、其他安全措施
除了上述配置外，还可以考虑以下其他安全措施：
1. 使用Fail2ban保护SSH
Fail2ban可以有效保护SSH免受暴力破解攻击。安装Fail2ban：
sudo yum install fail2ban
启动Fail2ban并设置开机自启：
sudo systemctl start fail2ban
sudo systemctl enable fail2ban
2. 定期审计和监控
定期审计SSH访问日志（通常在/var/log/secure）和监控SSH登录活动，及时发现异常登录行为。
3. 更新系统和软件包
保持系统和软件包的更新非常重要，以便修复已知的安全漏洞。可以使用以下命令更新系统：
sudo yum update
总结
通过以上步骤，您可以有效提高CentOS 7 SSHD的安全性，防止潜在的安全威胁。安全是一个持续的过程，定期检查和更新配置是确保服务器安全的关键。希望本文的指南能为您的服务器安全管理提供帮助。
