Там дополнительные пути состоят в том, чтобы защитить соединения SSH помимо брандмауэра и Ключей RSA?

Ваша установка SSH уже является современным состоянием с точки зрения безопасности.

Существует что-то, что Вы могли сделать, но отметить, что это может быть больше боль в шее для Вас, чем реальная защита. Вы могли изменить порт с 22 до менее известного для получения меньшего количества нападений и датчиков аутентификации.

Как другие сказали, SSH уже до задачи с точки зрения того, чтобы быть достаточно безопасным. Я думаю, что бессмысленно переместить sshd демона в другую точку. Я уподобляю это установке точки доступа Wirelss и сокрытию SSID. Это тривиально к передачей эти типы безопасности через меры по мраку.

Ограничение доступа не только для укоренения, но и только ключевым пользователям всегда является хорошей идеей, является ли это с доступом SSH или чем-либо еще в этом отношении.

Одна вещь, которую я нахожу полезными, хотя использует что-то как fail2ban. Можно использовать его, чтобы обнаружить и взять контрмеры, чтобы замедлиться и мешать потенциальным взломщикам.

• http://www.fail2ban.org/wiki/index.php/Main_Page

Единственный риск на стороне сервера является использованием перед аутентификацией. Не было многих (публично известны) в истории SSH.

en.wikipedia.org: Systrace

Страница справочника OpenBsd

OpenBsd имеют такой прием, можно запустить OpenSsh с ограниченными полномочиями и дополнительным входом.

Попытайтесь перенести/usr/sbin/sshd с/usr/sbin/systrace.

Каждый доступ к любому системному объекту был бы зарегистрирован systrace, любым доступом к любому файлу, каталогу, сетевым портам, памяти, системным вызовам, и т.д.

Генерируйте политику этот путь:

systrace -A -d /etc/systrace/sshd.policy/ \
         -E /var/log/systrace_sshd.log /usr/sbin/sshd

Политика редактирования с Вашим любимым текстовым редактором:

vi /etc/systrace/sshd.policy/

После этого запустите sshd демона с ограничениями:

systrace -a -d /etc/systrace/sshd.policy/ \
         -E /var/log/systrace_sshd.log /usr/sbin/sshd

Существует много практических руководств о systrace обертке по оболочке, но необходимо перенести sshd, если Вы интересны в безопасном из демона.

Я использую прерывание tar в iptables. Слишком много неудавшихся входов в систему пытаются, и необходимо перейти к реальной машине.

10 раз за 15 минут и Вы помещены в черный список.
9 раз за 10 минут и Вы помещены в черный список.
6 раз за 5 минут и Вы помещены в черный список.

Корректируйтесь соответственно!

#
# - Black List
#
-A BLACKLIST -m recent --name blacklist --set
-A BLACKLIST -j LOG --log-level 4 --log-prefix "TAR-TRAP: "
-A BLACKLIST -j DROP
#
# - SSH Tar Trap
#
-A FIREWALL -p tcp --dport ssh -m state --state NEW -j TAR-TRAP
#
-A TAR-TRAP -m recent --update --name blacklist --seconds 900 --hitcount 1 -j LOG --log-level 4 --log-prefix "BANNED: "
-A TAR-TRAP -m recent --update --name blacklist --seconds 900 --hitcount 1 -j DROP
-A TAR-TRAP -m recent --set --name strike1
-A TAR-TRAP -m recent --set --name strike2
-A TAR-TRAP -m recent --set --name strike3
-A TAR-TRAP -m recent --update --name strike1 --seconds 300 --hitcount 6 -j LOG --log-level 4 --log-prefix "IPT TAR1: "
-A TAR-TRAP -m recent --update --name strike1 --seconds 300 --hitcount 6 -j BLACKLIST
-A TAR-TRAP -m recent --update --name strike2 --seconds 600 --hitcount 9 -j LOG --log-level 4 --log-prefix "IPT TAR2: "
-A TAR-TRAP -m recent --update --name strike2 --seconds 600 --hitcount 9 -j BLACKLIST
-A TAR-TRAP -m recent --update --name strike3 --seconds 900 --hitcount 10 -j LOG --log-level 4 --log-prefix "IPT TAR3: "
-A TAR-TRAP -m recent --update --name strike3 --seconds 900 --hitcount 10 -j BLACKLIST
-A TAR-TRAP -j ACCEPT
#

Можно сделать правило как это к соединению SSH блока от определенных исходных IP-адресов. Диапазон IP мог быть общедоступным или частным.

$ iptables -A INPUT -p tcp -s IP_Range --dport 22 -j ACCEPT

Как пример, можно использовать этого для частной сети

$ iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 22 -j ACCEPT

Можно также использовать tcpwrappers для управления ssh доступом на песнях. TCPwrappers используют комбинацию для/etc/hosts.allow и/etc/hosts.deny файлов. Следующий пример ниже шоу для установки управления доступом, которые позволяют получать доступ к sshd от 10.0.0.0/24.

$ vim /etc/hosts.deny
sshd: ALL
$ vim /etc/hosts.allow
sshd: 10.0.0.

Можно также сделать ssh демона для слушания другого порта кроме 22.