SecureCRT安全设置指南
1. 协议选择：强制使用SSH2
SSH2相较于SSH1在加密算法、密钥交换机制上更安全，能有效防范中间人攻击。配置步骤：打开SecureCRT会话属性→选择“Session”标签→在“Protocol”下拉框中选择“SSH2”→保存设置。
2. 加密配置：强化数据传输安全性
- 加密算法：优先选择AES-256-GCM（兼顾性能与安全性），禁用弱算法（如DES、RC4）。配置路径：会话属性→SSH2→Encryption→勾选“AES-256-GCM”并设为首选。
- 密钥交换算法：使用**ECDH（椭圆曲线迪菲-赫尔曼）**替代传统DH算法，提升密钥协商效率与安全性。配置路径：SSH2→KexAlgorithms→选择“ecdh-sha2-nistp256”。
- 消息认证码（MAC）：采用HMAC-SHA2-256替代MD5，防止消息篡改。配置路径：SSH2→MACs→选择“hmac-sha2-256-etm@openssh.com”。
3. 用户认证：优先使用公钥认证
公钥认证比密码认证更安全，能有效避免密码泄露风险。
- 生成密钥对：通过SecureCRT工具生成（Tools→Create Public Key），推荐选择Ed25519算法（抗量子计算能力强），设置密钥长度2048位以上，可选输入通行短语（增加私钥安全性）。
- 配置公钥：将生成的公钥（
id_ed25519.pub）内容复制到服务器~/.ssh/authorized_keys文件中（若文件不存在则创建），并设置权限：chmod 600 ~/.ssh/authorized_keys、chmod 700 ~/.ssh。
- SecureCRT中配置：会话属性→SSH2→PublicKey→选择“Public Key”认证方式→点击“Add Key”导入私钥文件（
id_ed25519）→输入通行短语（若有）→保存设置。
4. 会话安全：防范未授权访问
- 设置会话超时：配置连接超时（ConnectTimeout 30秒）、TCP保活（TCPKeepAlive yes）、服务器存活检测（ServerAliveInterval 60秒，连续3次无响应断开），避免因网络空闲导致会话被劫持。配置路径：会话属性→SSH2→Session→设置对应参数。
- 限制访问IP：通过服务器防火墙（如iptables、ufw）限制仅允许特定IP地址访问SSH端口（默认22），减少非法连接尝试。
5. 日志与审计：便于追溯操作
启用自动日志记录，记录会话中的所有输入输出，便于后续安全审计。配置步骤：会话属性→Log File→勾选“Start log upon connect”（连接时自动开始记录）、“Append to log”（追加到现有日志）→设置日志路径（如D:\SecureCRT_Logs\%Y-%m-%d_%H-%M-%S.log，按日期命名）→选择日志格式（推荐“Text”格式）。
6. 其他安全增强
- 禁用密码认证：若完全使用公钥认证，可在服务器SSH配置（
/etc/ssh/sshd_config）中设置PasswordAuthentication no，彻底杜绝密码猜测攻击。
- 启用GSSAPI认证：适用于企业域控环境，实现单点登录（SSO），提升身份管理效率。配置路径：会话属性→SSH2→勾选“GSSAPI Authentication”（需本地已配置Kerberos客户端）。