DBA实用小技巧：限制SSH登录LINUX的主机IP

但是按openssh网站的说法从6.7以后开始tcpwrappers/libwrap己经移除，正常来说无法使用hosts.allow和hosts.deny来进行限制

openssh的网站说明：

但是默认centos/rhel7的系统里还是能调用，因为在openssh8.0以前还可以通过编译的时候加载该功能，使该功能生效。

比如我们查看sshd文件，显示如下表示启用。

[root@CentOS7]# ldd /usr/sbin/sshd | grep libwraplibwrap.so.0 => /lib64/libwrap.so.0 (0x00007fa84e1a0000)

但是在openssh8.0以后的版本，这个功能彻底无法使用了

同时红帽官方己经表明TCP Wrappers 在 RHEL/CentOS 8 已不可使用，官方建议使用 Firewalld 作为 TCP Wrappers 的替代方案。

如果是新部署的系统，没有上业务也可以用下面的命令来一键修改，使用防火墙默认的zone进行配置：

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.100.1" port protocol="tcp" port="22" accept" && firewall-cmd --permanent --remove-service=ssh &&  firewall-cmd --reload

其中source address="<你要放行的IP>"

还有一种替换方法就是使用sshd_config里添加参数的方式：

允许特定用户登录(白名单):

在/etc/ssh/sshd_config配置文件中设置AllowUsers选项，（配置完成需要重启 SSHD 服务）格式如下:

AllowUsers    root@192.168.1.1

仅允许root从 192.168.1.1通过SSH 登录系统，如IP地址不匹配或用户名不匹配都无法登录

拒绝指定用户进行登录(黑名单)：

在/etc/ssh/sshd_config配置文件中设置DenyUsers选项，（配置完成需要重启SSHD服务）格式如下:

DenyUsers    oracle grid    #Linux系统账户

拒绝 oracle、grid帐户通过 SSH 登录系统

如果需要root用户允许多IP登录allowusers root@IP,IP,IP

示例：

echo "allowusers root@192.168.100.1" >> /etc/ssh/sshd_configsystemctl restart sshd