华南俳烁实业有限公司

安裝并確保 SSH 通信安全

對于你來說，要能夠使用 SSH 遠程登錄到一個 RHEL 7 機子，你必須安裝 openssh，openssh-clients 和 openssh-servers 軟件包。下面的命令不僅將安裝遠程登錄程序，也會安裝安全的文件傳輸工具以及遠程文件復制程序：

1. #yum update &&yum install openssh openssh-clients openssh-servers

注意，也安裝上服務器所需的相應軟件包是一個不錯的主意，因為或許在某個時刻，你想使用同一個機子來作為客戶端和服務器。

在安裝完成后，如若你想安全地訪問你的 SSH 服務器，你還需要考慮一些基本的事情。下面的設定應該出現(xiàn)在文件 /etc/ssh/sshd_config 中。

1、 更改 sshd 守護進程的監(jiān)聽端口，從 22（默認的端口值）改為一個更高的端口值（2000 或更大），但首先要確保所選的端口沒有被占用。

例如，讓我們假設你選擇了端口 2500 。使用 netstat 來檢查所選的端口是否被占用：

1. #netstat-npltu |grep2500

假如 netstat 沒有返回任何信息，則你可以安全地為 sshd 使用端口 2500，并且你應該在上面的配置文件中更改端口的設定，具體如下：

1. Port2500

2、 只允許協(xié)議 2（LCTT 譯注：SSHv1 已經(jīng)被證明不安全，默認情況下 SSHv1 和 SSHv2 都支持，所以應該顯示去掉如下配置行的注釋，并只支持 SSHv2。）：

1. Protocol2

3、 配置驗證超時的時間為 2 分鐘，不允許以 root 身份登錄，并將允許通過 ssh 登錄的人數(shù)限制到最�。�

1. LoginGraceTime2m
2. PermitRootLoginno
3. AllowUsers gacanepa

4、 假如可能，使用基于公鑰的驗證方式而不是使用密碼：

1. PasswordAuthenticationno
2. RSAAuthenticationyes
3. PubkeyAuthenticationyes

這假設了你已經(jīng)在你的客戶端機子上創(chuàng)建了帶有你的用戶名的一個密鑰對，并將公鑰復制到了你的服務器上。

• 開啟 SSH 無密碼登錄

配置網(wǎng)絡和名稱的解析

1、 每個系統(tǒng)管理員都應該對下面這個系統(tǒng)配置文件非常熟悉：

• /etc/hosts 被用來在小型網(wǎng)絡中解析“名稱” <---> “IP 地址”。

文件 /etc/hosts 中的每一行擁有如下的結構：

1. IP address -Hostname- FQDN

例如，

1. 192.168.0.10 laptop laptop.gabrielcanepa.com.ar

2、 /etc/resolv.conf 特別指定 DNS 服務器的 IP 地址和搜索域，它被用來在沒有提供域名后綴時，將一個給定的查詢名稱對應為一個全稱域名。

在正常情況下，你不必編輯這個文件，因為它是由系統(tǒng)管理的。然而，若你非要改變 DNS 服務器的 IP 地址，建議你在該文件的每一行中，都應該遵循下面的結構：

1. nameserver - IP address

例如，

1. nameserver 8.8.8.8

3、 /etc/host.conf 特別指定在一個網(wǎng)絡中主機名被解析的方法和順序。換句話說，告訴名稱解析器使用哪個服務，并以什么順序來使用。

盡管這個文件由幾個選項，但最為常見和基本的設置包含如下的一行：

1. order bind,hosts

它意味著解析器應該首先查看 resolv.conf 中特別指定的域名服務器，然后到 /etc/hosts 文件中查找解析的名稱。

4、 /etc/sysconfig/network 包含了所有網(wǎng)絡接口的路由和全局主機信息。下面的值可能會被使用：

1. NETWORKING=yes|no
2. HOSTNAME=value

其中的 value 應該是全稱域名（FQDN）。

1. GATEWAY=XXX.XXX.XXX.XXX

其中的 XXX.XXX.XXX.XXX 是網(wǎng)關的 IP 地址。

1. GATEWAYDEV=value

在一個帶有多個網(wǎng)卡的機器中， value 為網(wǎng)關設備名，例如 enp0s3。

5、 位于 /etc/sysconfig/network-scripts 中的文件（網(wǎng)絡適配器配置文件）。

在上面提到的目錄中，你將找到幾個被命名為如下格式的文本文件。

1. ifcfg-name

其中 name 為網(wǎng)卡的名稱，由 ip link show 返回：

檢查網(wǎng)絡連接狀態(tài)

例如：

網(wǎng)絡文件

除了環(huán)回接口（loopback），你還可以為你的網(wǎng)卡指定相似的配置。注意，假如設定了某些變量，它們將為這個指定的接口覆蓋掉 /etc/sysconfig/network 中定義的默認值。在這篇文章中，為了能夠解釋清楚，每行都被加上了注釋，但在實際的文件中，你應該避免加上注釋：

1. HWADDR=08:00:27:4E:59:37### 網(wǎng)卡的 MAC 地址
2. TYPE=Ethernet### 連接類型
3. BOOTPROTO=static### 這代表著該網(wǎng)卡指定了一個靜態(tài)地址。
4. ### 如果這個值指定為 dhcp，這個網(wǎng)卡會從 DHCP 服務器獲取 IP 地址，并且就不應該出現(xiàn)以下兩行。
5. IPADDR=192.168.0.18
6. NETMASK=255.255.255.0
7. GATEWAY=192.168.0.1
8. NM_CONTROLLED=no### 應該給以太網(wǎng)卡設置，以便可以讓 NetworkManager 可以修改這個文件。
9. NAME=enp0s3
10. UUID=14033805-98ef-4049-bc7b-d4bea76ed2eb
11. ONBOOT=yes### 操作系統(tǒng)會在啟動時打開這個網(wǎng)卡。