在Linux系统中，SSH（Secure Shell）作为远程管理服务器的核心工具，其安全性至关重要，通过限制允许访问SSH的IP地址，可以有效降低未授权访问和暴力破解的风险，本文将详细介绍Linux环境下限制SSH访问IP的多种方法，包括配置文件修改、防火墙规则设置以及高级安全策略的组合应用,帮助构建更安全的远程管理环境。
基于SSH配置文件的IP限制
SSH服务的配置文件/etc/ssh/sshd_config提供了直接限制访问IP的参数，通过修改AllowUsers、DenyUsers或AllowHosts、DenyHosts指令，可以实现基于用户和主机的访问控制，在配置文件中添加AllowHosts 192.168.1.0/24仅允许该网段的主机连接，或使用DenyHosts 10.0.0.0/8禁止特定网段访问，修改后需重启SSH服务（systemctl restart sshd）使配置生效，需要注意的是，此类限制仅对SSH协议生效，若需更全面的控制,需结合防火墙规则。
使用防火墙实现IP访问控制
防火墙是限制SSH访问的首选方案，其灵活性和效率更高，以iptables和firewalld为例,具体配置如下：
iptables规则配置
通过iptables的-s参数指定源IP，-p指定协议，--dport指定SSH端口（默认22）。
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j DROP
第一条规则允许特定网段访问SSH，第二条规则拒绝其他所有IP的SSH请求，规则保存后（iptables-save > /etc/iptables/rules.v4）,重启服务依然有效。
firewalld区域管理
firewalld通过区域（Zone）定义信任级别，适合动态管理，首先将SSH服务添加到指定区域（如public）：
firewall-cmd --permanent --zone=public --add-service=ssh firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" accept' firewall-cmd --reload
上述命令仅允许168.1.0/24网段访问SSH，其他IP被拒绝。firewalld支持动态更新,无需重启服务。
iptables与firewalld规则对比
| 特性 | iptables | firewalld |
|---|---|---|
| 配置方式 | 命令行直接操作 | 区域+服务/富规则管理 |
| 动态更新 | 需手动保存规则 | 支持运行时动态加载 |
| 适用场景 | 静态网络环境，复杂规则链 | 动态环境，需要频繁调整规则 |
| 持久化 | 需手动导出规则文件 | 配置自动持久化 |
高级安全策略组合应用
为增强SSH安全性,建议将IP限制与其他安全措施结合：
- 修改默认SSH端口：将
/etc/ssh/sshd_config中的Port 22改为非标准端口（如2222）,减少自动化扫描攻击。 - 密钥认证替代密码：禁用密码登录（
PasswordAuthentication no），强制使用SSH密钥对,提升认证安全性。 - Fail2ban自动封禁：通过监控SSH登录失败日志，自动临时封禁恶意IP，安装后配置
/etc/fail2ban/jail.local：[sshd] enabled = true port = 22 filter = sshd logpath = /var/log/auth.log maxretry = 3 bantime = 3600
- 使用TCP Wrappers：通过
/etc/hosts.allow和/etc/hosts.deny进一步限制，# /etc/hosts.allow sshd: 192.168.1.0/24 # /etc/hosts.deny sshd: ALL
注意事项与最佳实践
- 测试验证：配置IP限制前，确保管理员IP在允许列表中,避免因配置错误导致无法远程登录。
- 日志监控：定期检查
/var/log/auth.log或/var/log/secure中的SSH登录日志,及时发现异常访问。 - 网络环境适配：对于动态IP或VPN用户，可考虑结合用户名或证书认证,而非单纯依赖IP限制。
- 最小权限原则：仅开放必要的IP地址，避免使用
0.0.0/0允许所有IP访问。
通过上述方法，可以构建多层次的SSH访问控制体系，无论是简单的配置文件修改，还是结合防火墙与自动化工具，核心目标都是减少攻击面，确保服务器远程管理的安全可控，实际应用中，需根据网络架构和安全需求选择合适的策略组合,并定期审查和优化规则配置。
