Linux 上 SecureCRT 安全策略配置指南
一 基础连接安全
- 强制使用 SSH2，禁用 SSH1，避免降级与已知结构性缺陷带来的风险。
- 认证优先级采用 公钥认证 + Passphrase，必要时叠加 密码 实现双因素；在服务器侧确保启用公钥登录（如检查 PubkeyAuthentication yes）。
- 主机密钥严格校验：首次连接核对指纹，后续如出现变更立即告警并拒绝连接。
- 加密套件优选 AES（如 aes256-cbc/aes192-cbc/aes128-cbc），禁用 arcfour、blowfish-cbc、none 等弱算法。
- 密钥交换算法优先 ecdh-sha2-nistp256、diffie-hellman-group14-sha256。
- 高敏场景建议关闭 SSH 压缩（Compression=no），降低 CRIME/BREACH 类攻击面。
二 身份与密钥管理
- 生成密钥：在 SecureCRT 使用 Tools → Create Public Key，优先 ECDSA（或 RSA ≥ 2048 位），务必设置 Passphrase；私钥妥善存放并设置 600 权限。
- 部署公钥到服务器：将公钥追加到 ~/.ssh/authorized_keys，并修正权限：
mkdir -p ~/.ssh && chmod 700 ~/.ssh
echo “ssh-rsa AAAAB3Nza… user@host” >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys && chown $USER:$USER ~/.ssh -R
- 客户端使用：在会话属性的 Authentication 中勾选 Public Key 并指定私钥路径；如需自动化，可结合 Agent（Pageant/ssh-agent）管理私钥。
- 服务器侧复核：确认 /etc/ssh/sshd_config 中 PubkeyAuthentication yes，修改后重启 sshd。
三 会话与日志审计
- 启用自动会话日志：在 Options → Configuration → Default Session Options → Log File 设定路径与命名规则，建议按 每日 分割日志，便于审计与追溯。
- 会话锁定：通过 File → Lock Session 防止未授权操作；必要时启用会话确认对话框，减少误关闭与误断开。
- 反空闲：配置 Anti-Idle 发送空包保持会话，避免因长时间空闲被网络设备断开。
- 操作习惯：启用 选择即复制、禁用右键粘贴，降低误粘贴风险；合理设置 回滚缓冲区（如约 5000 行）平衡取证与性能。
四 网络与访问控制
- 强制仅用 SSH 协议，禁用明文 Telnet；如必须穿越跳板，使用 SecureCRT 的 Firewall/Proxy 功能经由堡垒机合规接入。
- 通过 ACL/防火墙 限制来源 IP 与端口访问，缩小攻击面；必要时仅开放 22 端口给受控网段。
- 服务器侧配合：仅允许受控用户/组登录，结合 AllowUsers/AllowGroups 与 Fail2ban 等机制降低暴力破解成功率。
五 排错与加固清单
- 认证失败排查：
- 检查服务器 SSH 服务状态：sudo systemctl status ssh；必要时 sudo systemctl restart ssh。
- 复核 /etc/ssh/sshd_config（如 PubkeyAuthentication、PasswordAuthentication）并重启服务。
- 查看服务器日志 /var/log/auth.log 或 /var/log/secure 获取失败原因。
- 核对 SecureCRT 会话的协议、端口、用户名、私钥路径与权限（私钥 600）。
- 常规加固：
- 保持 SecureCRT 与服务器 OpenSSH 的及时更新，获取最新安全修复。
- 统一客户端安全基线（SSH2、强加密套件、密钥登录、日志与锁定策略），对关键设备启用 每日日志 与 会话锁定。