本节介绍linux中配置安全ssh的四个技巧。
一、ssh安全技巧之关闭无关端口
关闭 icmp 端口，并设置规则，丢弃 icmp 包。
丢弃 icmp 包可在 iptables 中加入：
-A INPUT -p icmp -j DROP
二，ssh安全技巧之更改 SSH 端口
默认的 SSH 端口是 22。
建议改成 10000 以上，以降低扫描到端口的机率。
修改方法：
# 编辑 /etc/ssh/ssh_config
vi /etc/ssh/ssh_config
# 在 Host * 下 ，加入新的 Port 值。以 18439 为例（下同）：
Port 22
Port 18439
# 编辑 /etc/ssh/sshd_config
vi /etc/ssh/sshd_config
#加入新的 Port 值
Port 22
Port 18439
# 保存后，重启 SSH 服务：
service sshd restart
以上设置了两个端口，主要是为了防止修改出错导致 SSH 再也登不上。
更改你的 SSH 客户端(例如：Putty)的连接端口，测试连接，如果新端口能连接成功，则再编辑上面两个文件，删除 Port 22 的配置。
如果连接失败，而用 Port 22 连接后再重新配置。
端口设置成功后，注意同时应该从 iptables 中， 删除22端口，添加新配置的 18439，并重启 iptables。
如果 SSH 登录密码是弱密码，应该设置一个复杂的密码。Google Blog 上有一篇强调密码安全的文章：Does your password pass the test?
三、ssh安全技巧之限制 IP 登录
建议以固定 IP 方式连接服务器，此时可以设置只允许某个特定的 IP 登录服务器。
例如，通过自己的 VPN 登录到服务器。
设置如下：
四、ssh安全技巧之使用证书登录 SSH
为CentOS配置SSH证书登录验证
一台CentOS 5.1，使用OpenSSH远程管理。检查安全日志时，发现这几天几乎每天都有一堆IP过来猜密码。
看来得修改一下登录验证方式，改为证书验证为好。
操作步骤：
1）先添加一个维护账号：msa
2）然后su - msa
3）ssh-keygen -t rsa
指定密钥路径和输入口令之后，即在/home/msa/.ssh/中生成公钥和私钥：id_rsa id_rsa.pub
4）cat id_rsa.pub >> authorized_keys
至于为什么要生成这个文件，因为sshd_config里面写的就是这个。
然后chmod 400 authorized_keys，稍微保护一下。
5）用psftp把把id_rsa拉回本地，然后把服务器上的id_rsa和id_rsa.pub干掉
6）配置/etc/ssh/sshd_config
Protocol 2
ServerKeyBits 1024
PermitRootLogin no #禁止root登录而已，与本文无关，加上安全些
#把默认的#注释去掉
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication no
PermitEmptyPasswords no
7）重启sshd
8）转换证书格式，迁就一下putty
运行puttygen，转换id_rsa为putty的ppk证书文件
9）配置putty登录
在connection--SSH--Auth中，点击Browse,选择刚刚转换好的证书。
然后在connection-Data填写一下auto login username，例如我的是msa
在session中填写服务器的IP地址，高兴的话可以save一下
10）小问题
无法登录：
No supported authentication methods available
这时可以修改一下sshd_config，把
PasswordAuthentication no 临时改为：
PasswordAuthentication yes 并重启sshd
这样可以登录成功，退出登录后，再重新把PasswordAuthentication的值改为no，重启sshd。
以后登录就会正常的询问你密钥文件的密码了，输入正确即可登录。
至于psftp命令，加上个-i参数，指定证书文件路径即可。