做好Linux主机远程管理与安全加固步骤，重点不是盲目关闭端口，而是确保团队能安全登录、及时发现异常，并在配置失误时恢复访问。实施前先列出主机用途、管理来源地址、现有账号和运行服务；远程变更期间保留一个已登录会话，避免把自己锁在主机之外。
先建立可恢复的管理入口
- 确认主机控制台或云平台的带外访问方式可用，并记录当前 SSH 端口、防火墙规则和管理员账号。涉及远程入口调整时，安排维护窗口。
- 为日常运维人员使用的账号配置公钥登录。客户端可运行 ssh-keygen -t ed25519 生成密钥，再用 ssh-copy-id -i ~/.ssh/id_ed25519.pub ops@主机地址 安装公钥；私钥留在受控设备上，设置口令并做好加密备份。
- 用新账号开启第二个 SSH 会话，确认能登录；需要提权时，再以 sudo -v 验证权限。确认无误后，才考虑限制 root 直接登录或关闭密码认证。
团队应按职责分配账号，不共享日常管理员凭据。确需多人维护时，分别发放密钥，人员离职或设备遗失后即可单独撤销对应公钥。
加固 SSH，而不是只换端口
OpenSSH 的服务端配置通常位于 /etc/ssh/sshd_config，部分系统还会加载配置片段。修改前先检查主配置中的 Include 设置，并备份文件。可评估以下配置：PermitRootLogin no、PubkeyAuthentication yes、PasswordAuthentication no、MaxAuthTries 3。
只有在公钥登录已验证、且没有依赖交互式密码认证的多因素认证方案时，才关闭密码或 keyboard-interactive 登录。修改后先运行 sshd -t 检查语法，再按系统实际服务名重载 SSH；保持旧会话不退出，并从另一终端测试新连接。单纯更换 SSH 端口只能减少部分自动扫描噪声，不能代替密钥认证和访问控制。
控制网络暴露与账号权限
防火墙按管理来源放行
梳理外部确实需要访问的服务，只开放对应端口；SSH 管理流量尽可能限制在固定管理网段或可信跳板机地址。使用 nftables 等规则管理工具前，先核对现有规则及持久化方式，避免直接替换规则集导致业务中断。云主机还应检查平台侧的安全组，两处策略都要与实际运维来源一致。
按需授权并及时回收
遵循最小权限：普通任务使用普通账号，只有必要操作才通过 sudo 提权。定期检查 sudoers 配置、过期账号和 SSH 授权密钥；修改 sudoers 文件应使用 visudo，以便检查语法。需要临时开放的管理权限，应记录负责人、用途和撤销时间。
补丁、日志与日常检查
- 在变更前确认可用备份和回退方式，再按系统的软件包管理工具更新安全补丁。例如使用 apt 的环境可先执行 apt update，再按计划升级；使用 dnf 的环境可执行 dnf upgrade --refresh。升级后核对关键服务状态，内核更新是否需要重启则视补丁内容和业务窗口判断。
- 检查监听端口和服务：用 ss -tulpn 查看本机监听情况，与资产清单核对，停用不需要的服务。不要仅凭端口号推断服务用途。
- 查看 SSH 认证记录和系统日志。可用 journalctl 检索相关服务记录；不同发行版也可能将认证日志写入不同文件。关注短时间内的失败登录、陌生来源和异常提权，并确认日志轮转、保存权限和告警渠道正常。
- 对重要主机启用适当的日志审计，例如使用 auditd 跟踪关键文件或管理操作；审计规则应结合实际风险设置，并定期检查日志是否持续写入。
这套Linux主机远程管理与安全加固步骤应纳入变更记录：写明改动、验证结果、责任人和回滚方法。先在非关键主机验证，再分批推广，比一次性改动全部管理入口更容易定位问题。
常见问题
关闭 SSH 密码登录后，密钥丢失怎么办？
通过已验证的备用管理员密钥或主机控制台恢复访问，再按流程添加新密钥并撤销旧密钥。应提前确认至少一种可用的恢复途径。
SSH 端口是否必须修改？
不必须。更换端口可能减少常见扫描日志，但不能提供可靠认证；优先做好密钥管理、访问来源限制和日志监控。
防火墙是否应该只允许一个固定地址？
如果管理出口地址稳定且团队有备用访问方案，可以限制到可信地址。地址经常变化时，应先设计跳板机或受控管理网段，避免误封正常运维。
多久检查一次账号和补丁？
按团队的变更制度设定周期，并在人员变动、异常告警和高风险安全公告出现时及时复核。最终频率取决于主机暴露程度和业务维护要求。