关闭非必要TTY和SSH、禁用串口控制台是Linux基础安全加固关键措施：通过修改logind.conf限制VT数量，停用sshd或配置密钥登录与IP白名单，并从GRUB移除console=ttyS0参数。

关闭控制台远程访问和禁用不必要虚拟终端，是提升 Linux 系统基础安全的重要一步。默认情况下，多数发行版会启用多个 TTY（如 Ctrl+Alt+F1～F6）并允许 SSH 远程登录，若无实际需要，这些入口可能成为攻击面。

停用非必需的虚拟终端（TTY）

系统通常默认启用 6 个本地图形/字符终端（tty1–tty6），而多数桌面环境仅需 tty1（图形界面）或 tty2（备用终端），其余可安全禁用。

• 编辑 /etc/systemd/logind.conf，取消注释并修改：
  NAutoVTs=2（只保留 tty1 和 tty2）
  ReserveVT=2（指定最后保留的 VT 号）
• 执行 sudo systemctl restart systemd-logind 生效
• 验证：按 Ctrl+Alt+F3～F6 应无法切换，仅 F1（图形）和 F2（终端）可用

限制或禁用 SSH 远程控制台访问

若服务器无需远程命令行管理，应彻底关闭 SSH；若需保留，须严格约束访问方式。

• 完全禁用 SSH：
  sudo systemctl stop sshd
  sudo systemctl disable sshd
• 若必须启用，建议：
  • 修改 /etc/ssh/sshd_config，设置 PermitRootLogin no、PasswordAuthentication no（改用密钥）
  • 添加 AllowUsers youruser 或 AllowGroups admin 限定账户
  • 配合防火墙（如 ufw）仅放行可信 IP：
    sudo ufw allow from 192.168.1.100 to any port 22

禁用串口控制台（适用于云/物理服务器）

部分系统（尤其是云平台或带 BMC 的服务器）默认启用串口控制台（如 ttyS0），可能暴露内核日志或登录提示。

• 检查是否启用：
  dmesg | grep -i "console.*ttyS" 或查看 /proc/cmdline
• 临时禁用启动参数中的串口控制台：
  编辑 GRUB 配置（/etc/default/grub），在 GRUB_CMDLINE_LINUX 中移除类似 console=ttyS0,115200n8 的项
• 更新 GRUB：
  Ubuntu/Debian： sudo update-grub
  RHEL/CentOS： sudo grub2-mkconfig -o /boot/grub2/grub.cfg

验证与加固建议

完成配置后，务必验证效果并防止误操作导致失联。

• 重启前，确保至少一个有效本地终端（tty1/tty2）和一种可用登录方式（如当前图形会话或已配置的 SSH 密钥）
• 使用 loginctl list-sessions 查看活跃会话，确认无意外残留远程连接
• 运行 ss -tlnp | grep ':22' 检查 SSH 是否按预期监听
• 对生产环境，建议先在测试机验证，再批量部署