限制IP远程访问

方法一：通过hosts.allow和hosts.deny文件进行ip限制

在/etc/目录下，同时存在hosts.allow和hosts.deny文件

如果我们希望某些ip不能访问，那么我们可以打开hosts.deny文件，在其中添加

sshd:ip地址:deny

其中sshd代表了连接协议，这里我们是禁止ssh登录；ip地址的话，可以是一个正常的地址，例如：192.168.2.111，也可以是通过设置子网掩码来确定一个ip段，例如：140.116.44.0/255.255.255.0。最后的deny代表了禁止访问。

当然，一般来说，我们设置安全性的时候，往往设置白名单的形式，也就是除了指定的ip外，其他ip都不能登录。对于这种需求，我们按照以下方法设定：

#在/etc/hosts.deny中添加
sshd:ALL:deny
#在/etc/hosts.allow中添加
sshd:允许的ip地址:allow

通过上面的设定，就可以完成ssh登录的ip限制了。但是这种方法，其实是借助了hosts访问设定。一方面hosts访问设定不仅仅为ssh而存在，其支持的协议很多，例如ftp，telnet等都可以进行限制；另外一方面，上述方式仅仅适合对ip进行限制，而不能细化到用户层级。如果希望对用户和ip同时进行限制，那么我们看下面另外一种方法。

方法二：通过/etc/ssh/sshd_config文件进行限制

之前我们其实已经对sshd_config文件有所了解，这个就是sshd的配置文件。如果我们需要对用户和ip进行ssh登录限制的话，也可以在这个文件里添加如下的内容：

allowusers *@192.168.2.111
allowusers git@*
allowusers test@192.168.2.111
denyusers *@192.168.1.101
denyusers banuser@*

以上语法应该很容易理解，可以设置允许/禁止某个用户@某个ip的访问。通过这个设置，我们可以更加精确的进行ssh登录管理。同时这个方法还只是allowgroups，denygroups等方法。另外/ect/pam.d/sshd文件中也可以进行类似的设置。

总结：以上两种方法，虽然实现了差不多的功能，但其初衷和原理并不相同。第一种方案，其实是针对外部访问的一种范式的配置，类似于iptables的访问控制，更加适用于对整个服务器的多种接入式的访问协议（ssh，ftp，telnet等）进行整体性的大面积的ip控制，使服务器的很多入口不至于完全暴露，往往是服务器安全管理人员和专职运维人员使用的较多。而第二种方案其实是针对sshd协议的精准控制，更多的用于服务器项目部署的用户权限设定和日常服务器操作维护中的用户权限设定，更加适用于使用该服务器进行项目部署的开发团队进行使用，通过这个方案可以非常精准的控制局域网内项目账号之间的ssh权限，及项目日常更新维护人员的权限设定。