近期因为项目需求，采购了两台阿里云ECS，选择的系统为CentOS 6.3 X64 安全加固版，额外买了160G的硬盘，应该够应付此项目的需求了。

ECS默认已经配置好了sshd服务，可以使用root账号直接登录，但是这通常是不安全的，第一件事就是针对sshd服务进行优化配置。

1.创建常用的账号

在任何Linux相关的描述中，都会说日常使用root操作是很不安全的行为，因此首先创建一个日常使用的账户。

useradd gary
passwd gary

2.编辑sudoer文件

vim /etc/sudoers

加入用户，以便使用sudo命令直接操作一些系统命令，减少对root账户的使用。

3.编辑sshd配置文件，修改一些默认选项

vim /etc/ssh/sshd_config

修改一些默认的配置项

#仅使用SSH2协议
Protocol 2

#修改密钥生成强度
ServerKeyBits 1024

#禁止root账户通过ssh登录
PermitRootLogin no

#禁止使用常规的用户名密码方式登录，此项慎用
#在没有生成好Key，并且成功使用之前，不要设置为no
PasswordAuthentication no

#禁止空密码登录
PermitEmptyPasswords no

4.重启sshd服务

/etc/rc.d/init.d/sshd restart
或
service sshd restart

5.生成个人的公钥与密钥

#切换到要生成key的账号
su - gary

#建立公钥与私钥
ssh-keygen -t rsa
#密钥文件，可直接回车使用默认的文件名
Enter file in which to save the key (/home/gary/.ssh/id_rsa): 

#输入两遍密钥文件，仅供密钥登录用，可为空，不需与系统密码一致
Enter passphrase (empty for no passphrase):
Enter same passphrase again:

#改名为sshd支持的默认公钥文件名
mv ~/.ssh/id_rsa.pub >> ~/.ssh/authorized_keys

#设置公钥文件名，如不设置为400，会无法登录
chmod 400 ~/.ssh/authorized_keys

#取出私钥文件（可远程通过pscp获取），并删除服务器备份
rm –rf ~/.ssh/id_rsa

6.在linux系统中，可以直接使用密钥文件，登录远程服务器

ssh gary@ip -i id_rsa

7.在windows系统中，需要使用putty项目的puttygen生成本地私钥，再使用putty进行登录

载入–全部文件，选择获取到的服务器密钥–确定（如果服务器端生成时，设置了密钥，会提示输入）–保存私钥（保存为本地putty可是别的ppk私钥文件）

在putty的认证标签中，浏览选择上一步生成的ppk私钥文件，即可登录。

8.总结

8.1.为什么说是安全的SSH链接呢？关闭了空密码链接、禁止常规的ssh用户名密码方式登录，只有在服务器上生成过key文件的用户方可访问，key文件+密钥，保护更完善一些

8.2.友情提示，PasswordAuthentication no配置内容，一定要在已经生成好了至少一个key之后再使用，否则会导致直接无法登录哦。

在linux中配置防火墙是一件比较有风险的事情，尤其是在ECS中，一个不当心的操作，可能就会需要重置服务器。

包括阿里云的官方建议，不要配置防火墙，没有必要什么的吧啦吧啦……

(http://bbs.aliyun.com/read/144977.html?spm=5176.7114037.1996646101.1.b6lbJx)

但是如果真的无此必要，又何必存在这个软件？又为何蛮多IDC将硬件防火墙作为一个噱头来叫卖？

如果我想在公网关闭db端口，仅在内网可访问呢？

当然如上有些吹毛求疵，但是至少我个人觉得，在服务器上开启防火墙还是很有必要的。

1.更新防火墙软件、检查当前状态

yum update iptables
/etc/init.d/iptables status

上图表示防火墙运行中，使用命令

/etc/init.d/iptables stop
或
service iptables stop

关闭防火墙，确保状态如下图所示：

设置系统服务，禁止iptables自动启动

chkconfig iptables off
chkconfig --list iptables

如上图标示，在所有运行级别上均关闭防火墙自动启动。

如此一来，即使设置出错，至少还可以重启服务器来关闭防火墙。

清除iptables的内置规则和自定义规则

iptabls -F
iptabls -X

2.iptables内置filter、nat和mangle三张表，首先设定默认的通用规则

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

注意，第一条规则链一定要先添加，否则，当执行完第二条命令后，你的ssh就会断开，之前的设置自然也不会保存。该句的意思是，过滤所有的进入（INPUT）数据，并丢弃（DROP）。

下面的两句类似，OUPUT全部接受，FORWARD丢弃

3.设置filter表规则,如果不使用-T 参数指定表，则默认为filter表

如果要仅允许指定的ip地址接入ssh，则使用

iptables -A INPUT -s 192.168.0.3 -p tcp --dport 22 -j ACCEPT

如果是一个网段，上面的192.168.0.3地址，可换为192.168.0.0/24类似的网段地址。

请注意，如果上面设置了OUTPUT的规则也为DROP，则务必也设置对应的规则，允许ssh数据流出

iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

添加其他常用规则

iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

设置了如上的基本规则之后，则可以保存配置文件，启动防火墙服务，来测试配置是否成功

/etc/init.d/iptables save
/etc/init.d/iptables restart
/etc/init.d/iptables status

4.总结

4.1.配置防火墙一定要很小心，如果操作不当，可能直接无法远程连接，对于硬件服务器只要去机器面前操作即可，如果是阿里云的，就只能重启或者重置了，一定要当心

4.2.配置防火墙的目的就是为了屏蔽端口，如果全部INPUT都ACCEPT，还不如不设置

4.3.当iptables stop之后，默认修改规则并save后，会覆盖之前的规则，因此可以在iptables运行的时候，修改并保存配置，或者iptables-save > /etc/iptables.rules保存到默认规则中

如果觉得命令麻烦，可以安装如下的组件，使用setup命令配置：

yum install setuptool ntsysv system-config-network system-config-keyboard system-config-network-tui system-config-firewall system-config-firewall-tui