最近のクラウドサーバーはSSHのコンソールが管理画面にあったりするのでよいですね。SSH接続できなくなったからといってデータセンターに行くことももうないです。

設定の前にサーバーの通信を遮断しているものを全部フリーにしておく。

SSHの設定の切り分けのためにサーバーにデフォルトで設定してあるファイヤーウォールなどは予めすべて切りにしておきましょう。セキュリティ・ポリシーはその後丁寧に設定しましょう。
で、最初にこれらは全部切りにしておく。

• SULinux
• iptables
• Firewall (CentOS7からの新種）
• hosts.allow/hosts.deny

SULinux

vi /etc/selinux/config
SELINUX=disabled
(*1)サーバー再起動必要

iptables

systemctl stop iptables

firewall

systemctl stop firewall.service

hosts.allow / hosts.deny

all:all
(*1)サーバー再起動不要

SSHの設定

かならず別のルートで設定できるようにしましょう。端末から2つSSH接続していれば、片方がログインしている限り一応セッションは続きます。
設定ポリシーは、

• portは22以外にしておく。（実際セキュリティー上どうでもいいことだけど、何故かセキュリティ診断会社から指摘を受ける。意味不明）
• rootのパスワードログインは禁止。rootでログインできるのはIP制限化の鍵認証のみ。
• 一般ユーザーは鍵認証が好ましいが現実的に鍵を知らない人おおすぎるので、パスワード認証+IP制限。
  (*2)つまりIP制限化でしかSSHを使わない。

/etc/ssh/sshd_confの設定

cd /etc/ssh/
cp -p sshd_config sshd_config.org
vi sshd_config

設定はこれだけ。

Port 3949
ListenAddress 0.0.0.0
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key
SyslogFacility AUTHPRIV
PermitRootLogin yes
PubkeyAuthentication yes
AuthorizedKeysFile  .ssh/authorized_keys
PasswordAuthentication no
ChallengeResponseAuthentication no
GSSAPIAuthentication no
GSSAPICleanupCredentials no
UsePAM yes
X11Forwarding no
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE
AcceptEnv XMODIFIERS
Subsystem   sftp    /usr/libexec/openssh/sftp-server

UsePAMはnoにしたい。たぶんした方がいい。でもできない。
再起動

systemctl restart sshd

hosts.allow hosts.denyの設定

ICP/IP層なので、結構下層で制限かけてくれるので安心です。

# etc/hosts.allow
sshd: 123.456.789.000

# etc/hosts.allow
All:All

再起動しなくても保存した途端に有効です。