SSH 加固清单
几个成本很低但很有效的 SSH 安全设置。
公网暴露的 SSH 每天都在被扫描，做几件小事就能把风险降很多。
先做这几项
- 禁用 root 直接登录，改用普通用户加 sudo。
- 只允许密钥登录，关闭密码认证。
- 改掉默认端口，能减少绝大部分扫描噪音。
- 限制来源 IP，如果只有固定几个地方访问。
fail2ban 兜底
即使有以上设置，还是建议装 fail2ban，连续失败几次就临时封禁。配置很简单，效果立竿见影。
审计和告警
定期看 /var/log/auth.log，或者把登录事件推到消息渠道。异常登录能第一时间发现。
安全设置要一次做好，不要指望出事之后再来补。