CentOS 7怎么修改具体的SSH登录策略

可以直接在/etc/ssh/sshd_config里收紧登录策略：把MaxAuthTries改成3，限制认证尝试次数；将PermitRootLogin设为no，禁止root直接登录；把PasswordAuthentication设为no，关闭密码登录（前提是先把公钥认证配置好）；再通过AllowUsers明确指定允许登录的用户。修改完成后，执行systemctl restart sshd使配置生效，同时务必保留一个已登录的终端作为备用，以免新配置导致自己被锁在系统外。

怎么改 sshd_config 里的登录限制参数

直接改 /etc/ssh/sshd_config 是最基础也最关键的一步，但改错会导致 SSH 无法连接，必须逐项确认。

• MaxAuthTries 控制单次连接最多尝试几次密码，默认是 6，建议设为 3：找这行 #MaxAuthTries 6，去掉注释并改成 MaxAuthTries 3
• PermitRootLogin 决定 root 能不能直连，禁用就写 no；如果只允许密钥登录，写 without-password（注意不是 prohibit-password，后者在 CentOS 7 里不识别）
• PasswordAuthentication 关密码登录必须设为 no，但前提是已配好公钥，否则会彻底锁死
• AllowUsers 或 DenyUsers 按用户名过滤，比如只允许 admin 和 deploy 登录：写成 AllowUsers admin deploy

改完必须执行 systemctl restart sshd，且建议先开一个已登录的终端备用——别关，防止配置错误连不上。

为什么 /etc/hosts.allow 和 /etc/hosts.deny 要一起用

这两个文件是 TCP Wrappers 层的访问控制，优先级高于防火墙，但容易被忽略或顺序写反。

• 先写 /etc/hosts.deny：固定写 sshd: ALL，表示默认全部拒绝
• 再写 /etc/hosts.allow：只放开可信 IP，例如 sshd: 192.168.1.100: allow 或 sshd: 203.0.113.0/24: allow
• 顺序不能颠倒——hosts.allow 优先匹配，匹配成功就放行，不再看 hosts.deny；所以“全拒”必须放在 deny 文件里，allow 文件只写白名单
• 注意：如果用了 AllowUsers，IP 白名单和用户白名单是“且”关系，两者都得满足

防火墙和 SELinux 对新端口的影响

改了 SSH 端口（比如从 22 改成 2222），光改配置不够，系统层还有两道关卡要过。

• firewalld 必须显式放行新端口：firewall-cmd --permanent --add-port=2222/tcp，然后 firewall-cmd --reload
• SELinux 默认只认 22 端口，不放行会静默拒绝连接。装 policycoreutils-python 后运行：semanage port -a -t ssh_port_t -p tcp 2222
• 验证是否生效：semanage port -l | grep ssh 应该能看到 2222 在输出里
• 如果懒得调 SELinux，临时方案是 setsebool -P ssh_port_t 1，但不如加端口规则稳妥

登录失败后自动封 IP 的脚本为什么总漏掉攻击源

常见脚本从 /var/log/secure 解析 Failed password 日志来封 IP，但实际漏封有三个硬伤：

• 日志格式随 OpenSSH 版本变：CentOS 7.6+ 的日志字段位置可能偏移，$(NF-3) 取 IP 容易取错，建议用 awk '/Failed.*from/ {print $11}'（字段数更稳定）
• 没排除内网扫描或误操作：脚本应过滤掉 127.0.0.1、192.168.、10. 等私有地址段
• /etc/hosts.deny 不支持 CIDR，只能封单 IP；想封段得靠 iptables 或 fail2ban，原生脚本做不到
• crontab 每天跑一次太慢，真实攻击往往几分钟内扫完——建议用 fail2ban 实时监控，它才是生产环境标配

真正要落地，别自己拼脚本，fail2ban 配 sshd jail 几行配置就能跑，比手动解析日志可靠得多。