我可以（实际上）仅阻止对我所在国家/地区的 SSH 端口的访问吗？

Question

我认为阻止访问 SSH 端口以仅允许我的国家/地区访问是一个明显的步骤，但我看不到一种实用的方法来做到这一点。

如果重要的话，我在英国。我可以完全访问 Ubuntu 服务器。服务器是远程基于云的服务器。

这似乎太简单了，我看不出它是如何工作的：http : //eminasif.wordpress.com/2014/01/14/how-to-restrict-server-ssh-access-or-any-port-only -for-specific-country-in-csf/

这显示了大量 IP，但我看不到如何将其转移到任何可用/实用的地方：http : //www.nirsoft.net/countryip/gb.html

事实上，只有一个办公室的人需要访问（没有人是远程的）。我不愿意设置我们在连接时使用的当前 IP 地址，因为它似乎每 6 个月更改一次。

我确实有其他良好的安全实践 - 禁用 root 登录、高位加密密钥等，但这似乎是一个明显的额外步骤。

这值得麻烦吗？有没有可靠的方法来做到这一点？

Answer 1

这似乎不是完全必要的。根据您的防火墙，它可能能够执行自己的 GeoIP 阻止。否则，您可以使用iptables“允许”您在办公室内获得的 IP 块。

但是，到目前为止，您所做的对于大多数服务器来说已经足够了。仅密钥身份验证使暴力破解不可行。您可以通过更改默认 SSH 端口来进一步减少攻击。请注意，这不会提高安全性，但它确实减少了 90% 来自不会在不同端口上查找 SSH 的自动扫描程序的虚假流量。

Answer 2

这听起来像是默默无闻的安全的微妙实例。任何真正有兴趣入侵此类系统的人都可以轻松地在英国找到一个开放代理或租用服务器，然后从那里进行攻击。

同时，您使操作变得更加困难：

• 您必须使用启发式方法，因为 TCP/IP 中没有像“国家”这样的东西。启发式失败，当他们失败时，这将是最糟糕的时刻。
• 非标准的设置会让未来的维护者感到沮丧。
• 关键备份应该在全球范围内复制。您不想等待生产停机时间来发现关键恢复路径被阻止。