Linux 如何防止暴力破解？

改端口和禁root登录是最简单有效的第一道防线，需修改sshd_config中Port为高位端口（如22022）、PermitRootLogin no，并用密钥认证替代密码登录，再配合Fail2ban与UFW双重防护。

改端口 + 禁 root 登录是最简单有效的第一道防线

暴力破解工具默认扫 22 端口、狂试 root 账号，这两项关掉，90% 的自动化攻击会直接跳过你的服务器。

• 编辑 /etc/ssh/sshd_config，把 Port 22 改成比如 Port 22022（选 10000–65535 之间的高位端口，避开常见扫描范围）
• 确认 PermitRootLogin no 已启用，且已创建普通用户并加进 sudo 组（如 usermod -aG sudo deploy）
• 务必新开一个终端，用新用户连一次再 reload 服务：运行 systemctl reload sshd，不是 restart，避免配置错误导致锁死

必须用密钥登录，彻底绕过密码环节

只要还开着 PasswordAuthentication yes，再复杂的密码也扛不住字典穷举；而密钥认证本身不传输密码，也不受重放或中间人影响。

• 客户端生成密钥建议用 ssh-keygen -t ed25519 -C "me@work"（比 RSA 更快更安全）
• 上传公钥别只靠 ssh-copy-id —— 它可能因权限问题失败；手动执行更稳：mkdir -p ~/.ssh && chmod 700 ~/.ssh && echo "your_public_key_here" >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys
• 最后在 sshd_config 中设 PasswordAuthentication no，再 systemctl reload sshd

Fail2ban 不是万能的，但配错就等于没开

它本质是日志分析器+防火墙联动工具，不解决根本漏洞，但能拦住那些漏网的试探性连接。关键是别直接改 jail.conf，升级时会被覆盖；也别忽略白名单，否则自己运维 IP 被误封就尴尬了。

• 先复制出本地配置：cp /etc/fail2ban/jail.{conf,local}
• 在 [sshd] 段里确保：enabled = true、port = 22022（必须和你改的 SSH 端口一致）、logpath = /var/log/auth.log（ubuntu/debian）或 /var/log/secure（RHEL/centos）
• ignoreip 至少加上你自己的公网 IP 和内网段，例如 ignoreip = 127.0.0.1/8 192.168.1.0/24 203.0.113.42
• 重启后用 fail2ban-client status sshd 查是否生效，别只看服务状态

UFW 防火墙是最后一层兜底，但默认策略要设对

Fail2ban 封的是 IP，UFW 控的是端口通路。两者叠加才能让攻击者既连不上，又连上了也进不去——尤其当 Fail2ban 因日志路径错或 Filter 不匹配而静默失效时，UFW 还能守住大门。

• 启用前先清空旧规则：ufw reset，避免冲突
• 设默认策略：ufw default deny incoming（不是 deny outgoing，那会断掉 apt/yum）
• 只放行必要端口：ufw allow 22022/tcp（对应你改的 SSH 端口），ufw allow OpenSSH 会自动识别当前配置，但不如显式写端口可靠
• 启用后立刻验证：ufw status verbose 看输出里有没有 22022 和 ALLOW IN 字样

最容易被忽略的是：所有改动都依赖日志路径、端口、用户权限三者严格一致。比如 Fail2ban 的 logpath 指向了 /var/log/auth.log，但系统实际往 /var/log/secure 写，那它就永远看不到失败登录——这种“看起来开了，其实没起作用”的情况，比完全不配更危险。