SSH限制访问IP的疑问

ggoodstudy

需求：Linux系统上最近外网有不明省份的IP SSH到这台主机，防火墙上的22端口是对所有地址开放的，现在我想在系统上来限制外网进来的IP。

疑问：公司的笔记本都是自动获取IP的，地址不固定(类似192.168.1.x这种地址)，但需要ssh到这台linux服务器，我在Linux系统上怎么配置这个限制呢

我内网都是通过配置/etc/host.deny来限制的，但在外网这种需求不知道怎么配，望指教，谢谢~~

内网的/etc/hosts.deny都是如下这种：
sshd:192.168.x.x:allow
sshd:all:deny

lbseraph

是要禁止特定的外网IP还是禁止所有外网IP？

lbseraph

可在/etc/hosts.allow中写进内网的IP，而/etc/hosts.deny中设置sshd:ALL。这样就只允许内网的IP机器访问了，其他的IP都不能访问。

参考链接：
http://my.oschina.net/lijialong/blog/109481

wenhq

iptables -I INPUT -s IP --dport 22 -j DROP
不是任何服务程序都能使用TCP_wrappers的，例如使用命令ldd /usr/sbin/sshd，如果输出中有libwrap，则说明可以使用TCP_wrappers, 即该服务可以使用/etc/hosts.allow和/etc/hosts.deny,如果输出没有libwrap则不可使用
/etc/host.allow
sshd:192.168.x.x
/etc/host.deny
sshd:ALL

/etc/host.allow优先级高于/etc/host.deny

chenyx

远程用key方式登陆吧,去掉sshd密码登陆,不允许root远程登陆.

lbseraph

系统上/usr/sbin/sshd的应该基本都有tcp_wrappers吧？不过没对比过所有版本的~

ggoodstudy

谢谢楼上各位的回复！

对于我来说，公司里的外网是内网允许ssh访问，公司外的外网是不允许ssh访问！iptables没有开启~~

我计划把ssh的默认22端口给改了，关键是外网笔记本从路由器上自动获取的IP都是192.168.1.x这种地址，我尝试个把这个地址加到/etc/hosts.allow中还是访问不了，linux系统的ip是192.168.66.x这种！

zjhxmjl

ggoodstudy 发表于 2013-05-17 09:50
谢谢楼上各位的回复！

对于我来说，公司里的外网是内网允许ssh访问，公司外的外网是不允许ssh访问！ipta ...

通过修改默认端口确实是个好办法

lbseraph

那用key登陆也不错