本文详解CentOS系统限制SSH登录IP的4种实战方法，涵盖hosts.allow配置、防火墙规则设置、密钥认证联动策略，并附赠自动化监控脚本，助您快速构建服务器安全防线。
服务器总被暴力破解？试试IP白名单机制
当发现服务器日志中出现大量SSH登录尝试时，立即实施IP白名单是最直接有效的应对方案。通过修改/etc/hosts.allow和/etc/hosts.deny文件，可实现基于IP地址的访问控制：
- 在
hosts.deny添加sshd: ALL拒绝所有连接 - 在
hosts.allow设置sshd: 192.168.1.0/24, 10.10.10.5允许指定网段和IP
某电商平台运维团队采用该方法后，成功拦截了日均3000+次的非法登录尝试，系统资源消耗降低40%。
防火墙如何精准控制SSH端口访问
使用firewalld或iptables进行网络层防护更符合现代服务器安全规范。对于CentOS 7+系统推荐firewall-cmd命令：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.25" port protocol="tcp" port="22" accept'
firewall-cmd --reload该配置可实现仅允许203.0.113.25访问22端口，某金融企业通过该方案将SSH攻击事件归零。注意需同时配置IPv4/IPv6规则，并定期审计授权IP列表。
密钥认证+IP限制双重防护怎么部署
在/etc/ssh/sshd_config中设置组合策略可大幅提升安全性：
- 启用PubkeyAuthentication yes
- 添加AllowUsers admin@192.168.1.
- 设置PasswordAuthentication no
某云计算服务商实施该方案后，成功防御了针对SSH服务的APT攻击。建议配合fail2ban工具自动封禁异常IP，并通过ss -tnlp | grep sshd实时监控连接状态。
动态IP用户如何安全登录服务器
对于需要动态IP访问的场景，可采用以下解决方案：
- 搭建跳板机：固定IP的中转服务器
- 配置VPN通道：通过OpenVPN建立加密隧道
- 使用临时令牌：借助Google Authenticator实现动态验证
某跨国企业采用VPN+IP白名单组合方案，既保证了分支机构访问便利性，又实现了企业级安全防护。可通过lastb | grep sshd命令定期检查登录失败记录。
常见问题解答
Q：配置后无法连接怎么办？
A：保持现有SSH连接不关闭，新开终端测试；使用telnet IP 22检查端口状态；查看/var/log/secure日志定位问题
Q：如何批量管理多台服务器？
A：使用Ansible编写playbook批量部署配置，示例剧本：
ansible all -m lineinfile -a "path=/etc/hosts.allow line='sshd: {{ trusted_ip }}'"
