随着云计算的普及，越来越多的企业和个人选择将业务迁移到云平台。云环境下的安全问题也日益凸显，尤其是对于运行在云上的Linux服务器而言，如何确保其安全性成为了至关重要的任务。本文将深入探讨云Linux服务器的安全配置，并重点介绍防火墙和SSH（Secure Shell）优化两个关键方面。
一、防火墙配置
1. 了解iptables
iptables是Linux系统中广泛使用的包过滤型防火墙工具。它允许管理员定义规则来控制进出服务器的数据流。通过精心设计这些规则，可以有效地阻止恶意流量，保护服务器免受攻击。我们需要检查当前系统的iptables状态：
使用命令：sudo iptables -L查看现有规则。如果没有任何规则或默认策略设置为允许所有连接，则需要立即着手进行配置。
2. 设置默认策略
为了增强安全性，建议将INPUT链（处理入站数据）和FORWARD链（转发数据）的默认策略设为DROP（拒绝）。这表示除非特别允许，否则任何尝试访问服务器的新连接都会被丢弃。执行以下命令可实现此目的：
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
注意，在更改默认策略之前，请确保已经配置了适当的例外规则，以保证合法的服务如SSH能够正常工作。
3. 添加必要的规则
接下来，根据实际需求添加允许特定端口和服务通信的规则。例如，为了让外部设备可以通过SSH登录服务器，需要开放TCP 22端口：
sudo iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
同样地，如果您的应用依赖于其他端口（如HTTP/HTTPS），也需要相应地创建规则。还可以利用IP地址白名单机制进一步限制访问来源。
4. 定期审查和更新规则集
随着时间推移，业务需求可能发生变化，因此定期审查并调整防火墙规则至关重要。一方面要确保新增加的应用程序能够得到适当保护；另一方面也要及时清理不再使用的旧规则，避免不必要的风险暴露。
二、SSH优化
1. 更改默认端口号
大多数黑客会首先尝试扫描常见的服务端口（如SSH的22号端口）。通过修改/etc/ssh/sshd_config文件中的Port参数，您可以将SSH监听端口更改为一个非标准值，从而降低被发现的概率。例如：
Port 2222
更改后记得重启SSH服务使新配置生效：sudo systemctl restart sshd
但请注意，虽然这种方法可以在一定程度上提高安全性，但它并不能完全防止暴力破解攻击。还应该采取其他措施加强防护。
2. 禁用root远程登录
允许root用户直接通过SSH登录是非常危险的行为，因为一旦密码泄露，攻击者就可以获得最高权限。强烈建议禁用该功能。编辑sshd_config文件，找到PermitRootLogin行，并将其值改为no：
PermitRootLogin no
保存更改后再次重启SSH服务。这样即使有人知道您的root账户名也无法直接登录，必须先使用普通账号进入系统再切换至root。
3. 启用公钥认证
相比基于密码的身份验证方式，使用公钥加密技术进行身份验证更加安全可靠。具体操作步骤如下：
- 生成一对密钥对（私钥和公钥）：在本地计算机上运行
ssh-keygen -t rsa命令，默认情况下会在~/.ssh目录下生成id_rsa(私钥)和id_rsa.pub(公钥)两个文件。 - 将公钥复制到远程服务器上：执行
ssh-copy-id user@server_ip命令，其中user为您的用户名，server_ip为目标服务器的IP地址。 - 编辑sshd_config文件，确保PubkeyAuthentication选项被设置为yes。
- 重启SSH服务。
此后，当您尝试从本地计算机连接服务器时，只需提供私钥即可完成认证过程，无需输入密码。同时建议删除或禁用密码登录功能，以彻底消除潜在威胁。
4. 配置失败尝试次数限制
为了避免暴力破解攻击导致合法用户的账户被锁定，可以在sshd_config文件中设置最大允许的连续失败尝试次数。例如：
MaxAuthTries 6
这表示每个连接最多只能有6次错误输入密码的机会，超过之后将会断开连接。合理设置这个数值既能有效抵御非法入侵，又不会给日常操作带来过多不便。
5. 使用防火墙限制SSH访问源
除了上述措施外，结合前面提到的iptables防火墙功能，还可以进一步限定只有特定IP地址范围内的设备才能通过SSH连接服务器。比如：
sudo iptables -A INPUT -p tcp --dport 2222 -s 192.168.1.0/24 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
这条规则表明仅来自192.168.1.0网段内部的请求可以访问指定的SSH端口（此处假设已将端口改为2222）。这样即使存在漏洞，也大大缩小了攻击面。
通过对云Linux服务器实施合理的防火墙配置及SSH优化措施，可以显著提升整体安全性水平。安全是一个持续的过程，还需要不断关注最新的技术和趋势，及时更新和完善相关策略。
