概览
- 指南类型
- 运营与安全
- 示例
- 示例，因环境而异
- 集成范围
- 未连接远程机器
01
创建经过测试的非 root 管理路径
首先建立一个具有所需权限的命名账户，安装其公钥，并在第二个会话中确认密钥登录和 sudo 可用。保持当前会话打开。只有在替代路径可用后，才应禁用直接 root 访问。
02
审慎更改身份验证规则
查看当前生效的 sshd_config 及包含的片段；第一个适用的值可能生效。以下仅为密钥示例。如果合法的 PAM 或 MFA 设计使用键盘交互式身份验证，请针对该设计调整该行，而不是盲目禁用它。
已准备的仅密钥策略 · 先审查包含文件针对你的环境查看
PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
AllowUsers operator03
验证语法并重新加载正确的单元
在应用配置之前先检查它。在 Ubuntu 上，该服务通常命名为 ssh；其他发行版可能使用 sshd。仅重新加载存在的单元，然后打开另一个密钥认证会话。保持一条经过验证的控制台路径可用。
验证后的 Ubuntu 示例针对你的环境查看
sudo /usr/sbin/sshd -t
sudo systemctl reload ssh
ssh -i ~/.ssh/ombra_admin operator@192.0.2.2004
如果更改端口，请先打开新路径
使用不同端口可减少部分自动化噪声，但并非身份验证。在配置端口 22222 之前，请在客户机和上游防火墙中允许它。套接字激活的 SSH 可能需要特定发行版的套接字更新。在停用端口 22 之前，请验证新的监听地址和第二个连接。
检查顺序 · 不是完整的端口更改脚本针对你的环境查看
sudo ufw allow 22222/tcp
sudo ss -lntp
ssh -p 22222 -i ~/.ssh/ombra_admin operator@192.0.2.2005
让保护和恢复可衡量
在可行的情况下限制源地址，审查登录事件并保持更新。配置正确的日志后端后，Fail2ban 可以减少重复尝试。同时检查 IPv6 和 IPv4。在关闭原始会话之前，保存生效的策略和控制台恢复流程。
下一步之前
带着可验证的结果离开。
- 创建一条经过测试的非 root 管理路径。
- 让保护和恢复可衡量。
- 将恢复信息和机密保存在公共文件之外。