飞牛系统如何安全开启root登录？

Question

在飞牛系统中，默认禁用root用户远程SSH登录以增强安全性。然而，部分运维场景需开启root登录，若配置不当易引发安全风险。常见问题：如何在保障安全的前提下启用root SSH登录？用户常误操作修改`/etc/ssh/sshd_config`中的`PermitRootLogin`为“yes”后未重启服务或未设置强密码，导致无法登录或遭受暴力破解。正确做法应为将`PermitRootLogin`设为“without-password”（禁用密码登录）或“prohibit-password”，结合SSH密钥认证，并确保root密码复杂度及防火墙限制访问源IP，从而实现安全启用。

Answer 1

1. 背景与安全机制概述

在飞牛系统中，默认禁用 root 用户的远程 SSH 登录是出于安全加固的考虑。该策略遵循最小权限原则，防止高权限账户暴露于公网环境，从而降低被暴力破解或横向渗透的风险。SSH 服务通过配置文件 /etc/ssh/sshd_config 控制访问行为，其中 PermitRootLogin 参数起着关键作用。

2. 常见误操作与风险分析

• 直接设置 PermitRootLogin yes：许多用户为图方便，将此参数设为“yes”后未重启 sshd 服务，导致配置未生效。
• 忽略密码强度：启用密码登录后使用弱口令，极易遭受字典攻击。
• 未限制访问源 IP：开放 root 登录却不限制来源，使服务器暴露在全网扫描之下。
• 未启用密钥认证：缺乏多层防护机制，单一依赖密码验证增加被攻破概率。

3. 安全启用 root SSH 登录的技术路径

正确的做法应是在保障可运维性的同时，最大限度减少攻击面。推荐采用以下分步策略：

1. 修改 /etc/ssh/sshd_config 中的 PermitRootLogin 为 without-password 或 prohibit-password，禁止密码登录。
2. 配置 root 用户的 SSH 公钥认证，将公钥写入 /root/.ssh/authorized_keys。
3. 确保 root 密码符合复杂度要求（至少12位，含大小写字母、数字、特殊字符）。
4. 使用防火墙（如 iptables 或 firewalld）限制仅允许可信 IP 地址访问 SSH 端口。
5. 重启 SSH 服务以应用更改：systemctl restart sshd。
6. 测试连接前建议保留一个活跃会话，避免锁死系统。
7. 启用日志审计：LogLevel VERBOSE 记录登录尝试细节。
8. 定期轮换密钥并审查 /var/log/secure 日志中的异常行为。
9. 考虑使用 Fail2Ban 防御重复登录尝试。
10. 部署 SSH bastion 主机作为跳板，进一步隔离核心系统。

4. 配置示例与代码片段

# 编辑 SSH 配置文件
vim /etc/ssh/sshd_config

# 修改以下参数
PermitRootLogin without-password
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication no
ChallengeResponseAuthentication no

# 保存后重启服务
systemctl restart sshd

5. 防火墙规则配置（iptables 示例）

规则描述	命令
允许特定IP访问SSH	iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
拒绝其他所有SSH请求	iptables -A INPUT -p tcp --dport 22 -j DROP
保存规则（CentOS/RHEL）	service iptables save

6. 安全增强流程图（Mermaid 格式）

graph TD
    A[开始: 需启用root SSH] --> B{是否必须?}
    B -->|否| C[使用普通用户+sudo]
    B -->|是| D[设置PermitRootLogin=without-password]
    D --> E[配置root用户的SSH公钥]
    E --> F[关闭PasswordAuthentication]
    F --> G[配置防火墙限制源IP]
    G --> H[重启sshd服务]
    H --> I[测试连接]
    I --> J[启用日志监控与Fail2Ban]
    J --> K[完成安全启用]