# 生产环境推荐启动命令
dropbear \
    -F -E \                           # 前台运行，stderr 日志
    -R \                               # 自动生成主机密钥
    -s -w \                            # 仅公钥，禁止 root
    -p 10.0.0.1:22 \                   # 仅监听内网
    -T 60 \                            # 认证超时 60 秒
    -I 300 \                           # 空闲超时 300 秒
    -K 60 \                            # keepalive 60 秒
    -j -k \                            # 禁止端口转发
    -P /var/run/dropbear.pid           # PID 文件

/* localoptions.h - 内存优化编译选项 */

/* 减小缓冲区大小 */
#define RECV_MAX_PAYLOAD_LEN 1000      /* 默认 2000 */
#define TRANS_MAX_PAYLOAD_LEN 1000     /* 默认 2000 */

/* 减少最大通道数 */
#define MAX_CHANNELS 10                /* 默认 100 */

/* 减少未认证连接数 */
#define MAX_UNAUTH_CLIENTS 3           /* 默认 10 */

/* 减少认证尝试次数 */
#define MAX_AUTH_TRIES 3               /* 默认 10 */

/* 减少 keepalive 通道数 */
#define DROPBEAR_MAX_PORTS 1           /* 支持的监听端口数 */

#!/bin/sh
# optimize-flash.sh - 嵌入式设备存储优化

echo "=== 存储优化建议 ==="

# 1. 使用多合一二进制
echo "[1] 使用 MULTI=1 编译，通过符号链接实现多命令"

# 2. 压缩二进制
echo "[2] 使用 UPX 压缩（节省约 35-40%）"
# upx --best /usr/bin/dropbearmulti

# 3. 禁用不需要的功能
echo "[3] 通过 localoptions.h 禁用 X11、SFTP、端口转发"

# 4. 只保留必要密钥
echo "[4] 只生成 Ed25519 密钥（最小体积）"
echo "    dropbearkey -t ed25519 -f /etc/dropbear/dropbear_ed25519_host_key"

# 5. 清理不需要的文件
echo "[5] 清理 man pages、文档、头文件"

# 显示当前大小
echo ""
echo "当前大小:"
du -sh /usr/bin/dropbear* 2>/dev/null || echo "未安装"

/* 优先使用硬件加速的加密算法 */
/* 如果设备有 AES 硬件加速 */
#define DROPBEAR_AES128 1
#define DROPBEAR_AES256 1
/* 禁用无硬件加速的算法 */
#define DROPBEAR_3DES 0

#!/bin/sh
# 快速启动 Dropbear
# 预生成密钥（避免启动时生成耗时）
# RSA 密钥生成可能需要数秒，Ed25519 几乎瞬时

# 预生成（在构建时或首次启动时）
dropbearkey -t ed25519 -f /etc/dropbear/dropbear_ed25519_host_key

# 快速启动
exec dropbear -F -E -R -s -p 22

#!/bin/sh
# fleet-manage.sh - 批量设备管理脚本

DEVICES_FILE="devices.txt"  # 格式: IP:PORT USER KEY_FILE
SSH_OPTS="-o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null -o ConnectTimeout=5"
MAX_PARALLEL=20

run_on_device() {
    local device="$1"
    local ip=$(echo "$device" | cut -d: -f1)
    local port=$(echo "$device" | cut -d: -f2 | cut -d' ' -f1)
    local user=$(echo "$device" | awk '{print $2}')
    local keyfile=$(echo "$device" | awk '{print $3}')
    local command="$2"
    
    dbclient $SSH_OPTS -p "$port" -i "$keyfile" \
        "$user@$ip" "$command" 2>/dev/null
    return $?
}

# 并行执行命令
fleet_exec() {
    local command="$1"
    local success=0
    local fail=0
    
    while read -r device; do
        [ -z "$device" ] && continue
        [[ "$device" =~ ^# ]] && continue
        
        run_on_device "$device" "$command" &
        
        # 控制并发数
        while [ $(jobs -r | wc -l) -ge $MAX_PARALLEL ]; do
            wait -n
        done
    done < "$DEVICES_FILE"
    
    wait
}

# 主命令
case "$1" in
    exec)
        fleet_exec "$2"
        ;;
    status)
        fleet_exec "uptime"
        ;;
    reboot)
        echo "警告: 将重启所有设备"
        read -p "确认? (yes/no): " confirm
        [ "$confirm" = "yes" ] && fleet_exec "reboot"
        ;;
    *)
        echo "用法: $0 {exec|status|reboot} [command]"
        ;;
esac

# inventory.yml
all:
  hosts:
    device-01:
      ansible_host: 192.168.1.1
      ansible_port: 22
      ansible_user: admin
      ansible_ssh_private_key_file: ~/.ssh/id_ed25519
    device-02:
      ansible_host: 192.168.1.2
      ansible_port: 22
      ansible_user: admin
      ansible_ssh_private_key_file: ~/.ssh/id_ed25519

# playbook.yml
---
- name: 管理嵌入式设备
  hosts: all
  gather_facts: yes
  
  tasks:
    - name: 获取设备信息
      shell: |
        echo "hostname: $(hostname)"
        echo "uptime: $(uptime -p)"
        echo "memory: $(free -h | awk '/Mem/{print $3"/"$2}')"
      register: device_info
    
    - name: 显示设备信息
      debug:
        msg: "{{ device_info.stdout_lines }}"
    
    - name: 更新配置文件
      copy:
        src: files/app.conf
        dest: /etc/app/app.conf
        mode: '0644'
      notify: restart_app
  
  handlers:
    - name: restart_app
      shell: /etc/init.d/S99app restart

# 1. 服务端调试模式
dropbear -F -E -R -p 22 2>&1 | tee /tmp/dropbear-debug.log

# 2. 客户端详细输出
dbclient -v -p 22 root@device

# 3. 检查网络连通性
nc -zv device-ip 22
nmap -p 22 device-ip

# 4. 检查进程状态
ps | grep dropbear
netstat -tlnp | grep :22

# 5. 检查文件权限
ls -la /etc/dropbear/
ls -la ~/.ssh/
stat -c "%a %U %G" ~/.ssh/authorized_keys

# 6. 检查系统日志
grep dropbear /var/log/auth.log
journalctl -u dropbear -n 50

#!/bin/sh
# dropbear-diag.sh - Dropbear 性能诊断

echo "=== Dropbear 性能诊断 ==="
echo "时间: $(date)"
echo ""

# 进程信息
echo "--- 进程信息 ---"
if pgrep dropbear >/dev/null 2>&1; then
    ps -o pid,ppid,rss,vsz,pcpu,pmem,cmd -C dropbear
else
    echo "Dropbear 未运行"
fi
echo ""

# 内存使用
echo "--- 内存使用 ---"
PID=$(pgrep -o dropbear)
if [ -n "$PID" ]; then
    cat /proc/$PID/status 2>/dev/null | grep -E "Vm(RSS|Size|Peak)"
fi
echo ""

# 连接数
echo "--- 当前连接数 ---"
netstat -tn 2>/dev/null | grep ":22 " | grep ESTABLISHED | wc -l
echo ""

# 最近认证记录
echo "--- 最近认证记录 (最近 10 条) ---"
grep dropbear /var/log/auth.log 2>/dev/null | tail -10 || \
journalctl -u dropbear --no-pager -n 10 2>/dev/null
echo ""

# 主机密钥信息
echo "--- 主机密钥 ---"
for keyfile in /etc/dropbear/dropbear_*_host_key; do
    [ -f "$keyfile" ] || continue
    echo "  $(basename $keyfile):"
    dropbearkey -y -f "$keyfile" 2>&1 | grep Fingerprint | sed 's/^/    /'
done

#!/bin/sh
# pre-upgrade-check.sh - 升级前检查清单

echo "=== Dropbear 升级前检查 ==="

# 当前版本
echo "[1] 当前版本:"
dropbear -V 2>&1 || echo "  未安装"
dbclient -V 2>&1 || echo "  客户端未安装"
echo ""

# 备份主机密钥
echo "[2] 备份主机密钥..."
BACKUP_DIR="/tmp/dropbear-keys-backup-$(date +%Y%m%d)"
mkdir -p "$BACKUP_DIR"
for keyfile in /etc/dropbear/dropbear_*_host_key; do
    [ -f "$keyfile" ] && cp "$keyfile" "$BACKUP_DIR/"
done
echo "  已备份到 $BACKUP_DIR"
echo ""

# 检查配置
echo "[3] 当前启动参数:"
ps -o args= -C dropbear 2>/dev/null || echo "  未运行"
echo ""

# 检查依赖
echo "[4] 依赖检查:"
ldd $(which dropbear) 2>/dev/null || echo "  静态编译或未安装"
echo ""

echo "=== 检查完成 ==="

#!/bin/sh
# upgrade-dropbear.sh - 平滑升级 Dropbear

set -e

NEW_VERSION="$1"
CURRENT_PORT=$(ps -o args= -C dropbear | grep -oP '(?<=-p )\d+' | head -1)
CURRENT_PORT=${CURRENT_PORT:-22}

if [ -z "$NEW_VERSION" ]; then
    echo "用法: $0 <新版本号>"
    exit 1
fi

echo "=== Dropbear 平滑升级 ==="
echo "当前端口: $CURRENT_PORT"
echo "目标版本: $NEW_VERSION"
echo ""

# 1. 备份
echo "[1/5] 备份当前版本和密钥..."
cp $(which dropbear) "/tmp/dropbear.old"
cp $(which dbclient) "/tmp/dbclient.old" 2>/dev/null || true

BACKUP_DIR="/tmp/dropbear-keys-$(date +%Y%m%d)"
mkdir -p "$BACKUP_DIR"
cp /etc/dropbear/dropbear_*_host_key "$BACKUP_DIR/" 2>/dev/null || true

# 2. 编译新版本
echo "[2/5] 编译新版本..."
cd /tmp
wget -q "https://matt.ucc.asn.au/dropbear/releases/dropbear-${NEW_VERSION}.tar.bz2"
tar xjf "dropbear-${NEW_VERSION}.tar.bz2"
cd "dropbear-${NEW_VERSION}"
./configure --prefix=/usr --disable-pam --disable-zlib
make -j$(nproc)

# 3. 停止旧版本
echo "[3/5] 停止旧版本..."
if [ -f /var/run/dropbear.pid ]; then
    kill $(cat /var/run/dropbear.pid)
fi
sleep 2

# 4. 安装新版本
echo "[4/5] 安装新版本..."
make install

# 5. 验证并启动
echo "[5/5] 验证并启动..."
dropbear -V

# 启动新版本
dropbear -p $CURRENT_PORT -R -P /var/run/dropbear.pid

echo ""
echo "升级完成！"
echo "新版本: $(dropbear -V 2>&1)"
echo "如果出现问题，旧版本备份在 /tmp/dropbear.old"

#!/bin/sh
# dropbear-metrics.sh - Dropbear 自定义监控指标

METRICS_FILE="/var/lib/node_exporter/text/dropbear.prom"

# SSH 连接数
CONN_COUNT=$(netstat -tn 2>/dev/null | grep ":22 " | grep ESTABLISHED | wc -l)

# 进程内存
PID=$(pgrep -o dropbear)
if [ -n "$PID" ]; then
    RSS=$(awk '/VmRSS/{print $2}' /proc/$PID/status 2>/dev/null)
    VMS=$(awk '/VmSize/{print $2}' /proc/$PID/status 2>/dev/null)
else
    RSS=0
    VMS=0
fi

# 写入指标文件
cat > "$METRICS_FILE" << EOF
# HELP dropbear_ssh_connections Current SSH connections
# TYPE dropbear_ssh_connections gauge
dropbear_ssh_connections $CONN_COUNT

# HELP dropbear_process_memory_rss_bytes RSS memory usage
# TYPE dropbear_process_memory_rss_bytes gauge
dropbear_process_memory_rss_bytes ${RSS:-0}

# HELP dropbear_process_memory_vms_bytes VMS memory usage
# TYPE dropbear_process_memory_vms_bytes gauge
dropbear_process_memory_vms_bytes ${VMS:-0}
EOF

#!/bin/sh
# dropbear-alert.sh - Dropbear 告警脚本

ALERT_LOG="/var/log/dropbear-alerts.log"
MAX_FAILED=5
TIME_WINDOW=300  # 5 分钟

log_alert() {
    echo "$(date '+%Y-%m-%d %H:%M:%S') ALERT: $1" >> "$ALERT_LOG"
    # 发送告警（邮件、钉钉、企业微信等）
    # curl -X POST "https://hooks.example.com/alert" -d "{\"text\":\"$1\"}"
}

# 检查 Dropbear 是否运行
if ! pgrep dropbear >/dev/null 2>&1; then
    log_alert "Dropbear 未运行!"
fi

# 检查最近认证失败次数
FAILED_COUNT=$(grep -c "Bad password\|nonexistent user" /var/log/auth.log 2>/dev/null || echo 0)
if [ "$FAILED_COUNT" -gt "$MAX_FAILED" ]; then
    log_alert "检测到大量认证失败: $FAILED_COUNT 次"
fi

# 检查内存使用
PID=$(pgrep -o dropbear)
if [ -n "$PID" ]; then
    RSS_KB=$(awk '/VmRSS/{print $2}' /proc/$PID/status 2>/dev/null)
    if [ "${RSS_KB:-0}" -gt 51200 ]; then  # 50 MB
        log_alert "Dropbear 内存使用过高: ${RSS_KB}KB"
    fi
fi

# Dropbear SSH 部署安全文档

## 1. 系统信息
- Dropbear 版本: ____
- 部署设备: ____
- 部署日期: ____
- 责任人: ____

## 2. 安全配置
- [ ] 禁用密码认证
- [ ] 禁止 root 登录
- [ ] 使用 Ed25519 密钥
- [ ] 配置 fail2ban
- [ ] 限制监听地址
- [ ] 设置超时参数

## 3. 密钥管理
- 主机密钥类型: ____
- 密钥轮换周期: ____ 个月
- 密钥备份位置: ____

## 4. 访问控制
- 允许的 IP 范围: ____
- 允许的用户列表: ____
- authorized_keys 管理方式: ____

## 5. 监控与告警
- 日志位置: ____
- 告警阈值: ____
- 响应流程: ____