VPS服务器安全之SSH加固思路和实操

#!/bin/bash

# 确保脚本以 root 权限运行
if [ "$EUID" -ne 0 ]; then
  echo "请使用 root 或 sudo 权限运行此脚本"
  exit 1
fi

NEW_PORT=6666

echo "1. 配置 systemd ssh.socket 监听端口为 $NEW_PORT..."
mkdir -p /etc/systemd/system/ssh.socket.d
cat > /etc/systemd/system/ssh.socket.d/listen.conf <<EOF
[Socket]
ListenStream=
ListenStream=${NEW_PORT}
EOF

echo "2. 配置 SSH 安全策略（禁用 root 登录，禁用密码登录）..."
# 使用 drop-in 目录避免修改主配置文件，更利于后期维护
cat > /etc/ssh/sshd_config.d/99-custom-security.conf <<EOF
PermitRootLogin no
PasswordAuthentication no
EOF

echo "3. 检查并安装 UFW 防火墙..."
if ! command -v ufw >/dev/null 2>&1; then
    apt-get update
    apt-get install -y ufw
fi

echo "4. 配置 UFW 放行新端口..."
ufw allow ${NEW_PORT}/tcp
# 如果 UFW 未激活，则强制激活它
ufw --force enable

echo "5. 重载 systemd 并重启 SSH Socket..."
systemctl daemon-reload
systemctl restart ssh.socket

echo "=================================================="
echo "配置完成！系统现在通过 SSH Socket 监听端口 $NEW_PORT。"
echo "⚠️ 请暂时不要关闭当前的 SSH 终端连接！"
echo "请新开一个终端窗口，使用密钥测试连接："
echo "ssh -p $NEW_PORT 用户名@服务器IP"
echo "=================================================="

#!/bin/bash

# 确保脚本以 root 权限运行
if [ "$EUID" -ne 0 ]; then
  echo "请使用 sudo 或 root 权限运行此脚本"
  exit 1
fi

echo "1. 正在安装 Fail2ban..."
apt-get update
apt-get install -y fail2ban

echo "2. 配置 SSH 防御策略..."
# 在 jail.d 目录下创建独立配置文件，避免覆盖后续系统更新
cat > /etc/fail2ban/jail.d/sshd-custom.local <<EOF
[sshd]
enabled = true
port = 6666
# Ubuntu 24.04 全面拥抱 systemd，直接读取 journal 日志比传统的 auth.log 更可靠
backend = systemd
maxretry = 5
bantime = 36000
# findtime = 600 表示在 10 分钟内失败 5 次即触发封禁，可根据需要调整
findtime = 600
# 与已安装的 UFW 联动，通过 UFW 规则执行封锁
banaction = ufw
EOF

echo "3. 重启并激活 Fail2ban 服务..."
systemctl enable fail2ban
systemctl restart fail2ban

echo "4. 检查当前封禁状态..."
sleep 2
fail2ban-client status sshd

echo "=================================================="
echo "✅ Fail2ban 配置完成并已启动！"
echo "监控端口: 6666"
echo "触发条件: 10 分钟内失败 5 次"
echo "封禁时长: 36000 秒 (10 小时)"
echo "封锁方式: UFW 防火墙拦截"
echo "=================================================="