腾讯云的服务器总被人尝试爆破登录，有什么防御方法，反击手段吗

href

爆破

防御

服务器

58 条回复 • 2021-01-04 14:55:58 +08:00

1

XiaoXiaoNiWa

2020-12-31 13:08:06 +08:00 via Android

3

fail2ban

2

felixcode

2020-12-31 13:08:17 +08:00

fail2ban
蜜罐

3

tiramice

2020-12-31 13:09:46 +08:00 via iPhone

禁掉密码登录

4

tubowen

OP

2020-12-31 13:12:26 +08:00 via Android

@XiaoXiaoNiWa
@felixcode
好的我去试试

5

westoy

2020-12-31 13:19:53 +08:00

换个端口+证书登录就行了

6

feng12345

2020-12-31 13:24:40 +08:00

反击的手段没有，只有把端口号拉到 5 万多，然后换成证书登录

7

y10210118

2020-12-31 13:27:26 +08:00 via iPhone

我觉得重点还是自己做好防护，把一些基本的安全基线配置好，暴力破解的问题就是弱口令，所以建议设置个强壮点的密码，另外可以的话建议把默认端口换换，基本就能避免大部分的暴力破解。

8

yveJohn

2020-12-31 13:39:15 +08:00

证书登录或者 IP 白名单

9

chendy

2020-12-31 13:52:34 +08:00

换高位端口不用默认的 22
配安全组只能特定 ip 访问，比如只能公司网络访问
禁止密码登录
fail2ban

10

liuze0109

2020-12-31 14:11:25 +08:00

fail2ban 就可以

11

opengps

2020-12-31 14:13:22 +08:00

2

公网扫描器爆破器横行，拿到服务器最基本的就是：1，避免使用公网端口连接，如果不行，那么 2，使用非常规端口登录，另外需配合 3：使用证书，ip 白名单等方案。
至于 fail2ban 则是另一个处理思路，可以兼顾多用一层

12

dier

2020-12-31 14:28:45 +08:00

如果不怕麻烦，每次用完远程之后到控制台的安全组中把远程登录端口屏蔽，使用的时候再打开

13

zpfhbyx

2020-12-31 14:30:26 +08:00

2fa 啊

14

Felldeadbird

2020-12-31 14:43:42 +08:00

写一个假的 SSH 登录程序。给一个弱口令。然后再写一个假的进程输出，ls 文件输出。然后记录对方的操作。然而没什么用……

防御手段，换端口啊，上证书，白名单登录……

15

gwind

2020-12-31 14:44:12 +08:00

1

基本但有效的防御方法：

1. 修改 sshd 默认端口 22 为其他
2. 增加一个重复登录日志 IP 扫描的程序，会自动扫描安全日志，把失败的 IP 添加到一个列表，然后在 linux /etc/hosts.deny 加上即可

其他方案可以考虑：

1. 使用一个安全隧道，sshd 只监听本地，通过安全隧道和客户端转发，达到登录的目的（亲测，香港的 Linux 服务器直接 ssh 登录非常慢。自己用 otunnel ( github.com/ooclab/otunnel ) 转发 sshd 端口到本地登录，体验飞起。只要是自定义（协议比较小众）的安全隧道（要加密，否则 ssh 前面的握手协议是透明的，容易被干扰）转发，应该都 OK 。
2. 换 openssh 为其他的可替代产品，如 teleport
3. 其他不知道

16

gwind

2020-12-31 15:05:08 +08:00

补充一下：上面我给一个方案里提到自定义协议的（小众）安全隧道可以保证服务端口安全（ sshd 只需要监听本地，其他任何服务也可以考虑这样，比如 redis ），也可以“提速”（仅限跨 FW ）。如果想做到更好的协议混淆，安全隧道的加密，最好不要用 TLS，直接使用 AES，两边自定义一个加密字符串即可。

17

Lemeng

2020-12-31 15:14:34 +08:00

fail2
端口
证书
没其他法
就跟走在路上，别人非要给你一拳。只能防，没法不让别人打你

18

whitefox027

2020-12-31 15:14:41 +08:00

我记得腾讯云有个小程序可以随时控制端口安全组的策略

19

laminux29

2020-12-31 15:15:35 +08:00

1

早说过了，端口和用户名都不用改，甚至 hash 值直接公开到网站首页，让它去碰撞。这些靠猜测的都是些小学生黑客，以为挂本字典或穷举就能破解的。等你离婚证都一斤重了，他破解进程都还没到亿亿万分之一。

20

SunoAries

2020-12-31 15:47:47 +08:00

蜜罐加溯源？

21

huaxing0211

2020-12-31 16:04:56 +08:00

只要密码强度够，随意爆，不要怕，再不行换端口，再不行改证书登录。

22

stevefan1999

2020-12-31 16:21:04 +08:00

搞個 VPN 啊
不是那種出國的是返回本質的那種 Road Warrior VPN

23

alect

2020-12-31 16:22:12 +08:00

换个端口，改证书登录。

24

stevefan1999

2020-12-31 16:23:03 +08:00

譬如說用 Pritunl/WireGuard 搞個 VPN 閘道然後定義用戶 /組能取用的資源
Pritunl: https://pritunl.com

25

stevefan1999

2020-12-31 16:25:14 +08:00

你的 SSH 就只在內網走就行了閘道加個 iptables FORWARD/SNAT 還是可以遠程用 VPN 再使用內部 ip 連接的

26

YouLMAO

2020-12-31 16:50:12 +08:00

大哥, security group 规则是强制的, 为啥腾讯云不知道呢

27

tokyo2020

2020-12-31 16:58:05 +08:00

可以设置 2FA Authentication

28

lawler

2020-12-31 17:18:27 +08:00

1

@Felldeadbird #14
学习了，这样我就能通过钓鱼执法的方式，get 到别人钓鱼的方式，然后再去钓其他人。

29

xsqfjys

2020-12-31 17:25:43 +08:00

只要你是随机复杂密码，让他破解一百年先

30

Mac

2020-12-31 17:32:18 +08:00

改端口可以避免 99.99%的扫描，改了端口还被人搞，那是有人盯上你了。

31

aaa5838769

2020-12-31 18:21:00 +08:00

修改 ssh 端口，防火墙配置个 ip 白名单，基本能解决你这个问题了。

32

love

2020-12-31 19:17:45 +08:00 via Android

只要你是强密码，完全不用管，别人瞎试密码又不可能进去。实在觉得碍眼就禁了密码登录。

33

mostkia

2020-12-31 20:18:21 +08:00

webssh,把 22 端口关了即可，当然你如果用弱密码，什么操作都白搭，如果只是不想看键 ssh 里面大量的爆破记录烦心，可以试试这个方案

34

jzmws

2020-12-31 20:27:06 +08:00

换端口可以解决 99% 的问题我现在公司都禁止用默认端口了

35

bbbb

2020-12-31 21:53:17 +08:00 via iPhone

用了 fail2ban，查看 iptables 里面的规则，几分钟都没完……最后只能停止！

36

BYF

2020-12-31 22:10:24 +08:00 via Android

1

修改登录端口，配置文件在 /etc/ssh/sshd.conf
其中有一行是
#Port 22
把前边的#号去了，然后把 22 改成其他的端口号

注意不要使用常见端口，例如 http 80，https 443，dns 53，ftp 21，数据库 3306 什么的就可以了

如果你有设置 iptables 或者 firewalld 防火墙的话也要手动放行端口
之后重启 sshd 服务或者直接重启服务器
最后，因为你用的是云服务，腾讯云会在你的主机和公网之前设置一层额外的防火墙，也可能叫安全组规则什么的，在那里也要放行相应的端口。

总体网络应该是这样的
公网—腾讯云的防火墙—你的系统防火墙—你的主机