vps：一种安全访问 ssh 的方法

[wslzy007]

去掉前奏直接来：
1 、在 vps 对应管理端在安全组中拒绝 22 端口访问
2 、使用端口反弹工具进行反向连接访问

• 访问路径：sshclient-》 proxy-〉 vps 反向连接隧道-》 vps localhost：22
  
• 反向隧道工具有很多选择，按个人喜好。推荐一个自撸工具 sg：github.com/lazy-luo/smarGate
  

如此可以做到:无法直接访问 vps，使用自己的代理可以访问

[luoleng]

有点看不懂，proxy 无对外服务端口的话，还可以访问？

[wslzy007]

@luoleng 反向连接代理

[natashahollyz]

改端口，秘钥，白名单，足够了。不需要那么复杂

[DoctorCat]

@wslzy007 有安全组 API 呀，脚本执行更新，自动化。

[Mashirobest]

不太需要，安全和便利很多情况下是相冲突的，我认为白名单加证书够我用了，太复杂我都懒得登上去🙃

[zro]

我就暴露 VPN 端口，开机自动连接，如果连不上，再用网页端 SSH 上去查。。

[Te11UA]

大可不必，改端口用公钥就可以了

[Caan07]

其实，改了端口，用公钥，禁止账号已经适用大部分人。因为如果真的是系统和常用软件的问题，沦陷的就不只是你了。

其实限制 IP 也可以增加安全系数，但如果他不是固定 IP，又要增加难度了。

[firefox12]

什么意思？ 你本地 ssh client 连 proxy, proxy 搭建在那里？ vps 上面？ 通过 proxy 反向连 vps 的 127.0.0.1 ??

[doveyoung]

改端口，禁密码，加防火墙，求你来打我……
当然不是说万无一失，只是攻击成本那么高，何必针对我一个小小主机呢，去搞大厂的不好吗

[VgV]

@Caan07 我以前也是改端口用公钥，再加限制 IP，用 sh 脚本 ping 某个指定域名得 IP 加白，比如花生壳，然后绑定在路由器上。。后来觉得太麻烦了，就只改端口用公钥了。

[opengps]

其实，我用过的最安全的，还是以前的物理机房时候的用 vpn 拨入内网再内网管控。只有对外业务端口是开放的，任何管理端口都用 vpn 拨入后才能走内网连接上
注意我说的 vpn 不是帖子里常见的 vpn 的用法。

[jisibencom]

这种需要注册需要第三方的不可靠。

[hzqim]

fail2ban+白名单。

[CSM]

楼主标题写反了 /doge

ssh：一种安全访问 vps 的方法

[lbyo]

@chengzi168 #14 https://lmbtfy.cn/s/TwEuwEiQvI

[msg7086]

大公司有 VPN 做管控，小公司的话正常配置好的 ssh 就一把梭了。
实在怕的话可以配置端口敲门。

[mytsing520]

为了安全考虑，我不会加个堡垒机么

[parametrix]

防火墙白名单之类的方案不解决链路上的中间人攻击。

各种改端口对一些机器扫描有作用，但对稍微认真点的攻击者没有意义，端口毕竟就那么多。

整这些还不如老实把 SSH 配置好，私钥登陆并限制 root 账户。SSH 算得上是最被长时间广泛使用、审计的软件之一了，没有正确的私钥根本连链接都无法完整建立，安全性绝对不会输给流行浏览器 TLS 的实现。说白了 SSH 的密码学实践的可靠程度碾压各路 VPN，只要配置得当，我认为没有画蛇添足的必要。Github 全站仓库权限依赖 ssh，也没听说谁的仓库因为 ssh 漏洞出问题。

[ShuA1]

@wslzy007 软件漏洞直接 getshell 端口反弹