Linux遠程服務之OpenSSH配置
阿新 • • 發佈：2018-07-30
read 無需 DH算法 生成 dsa 時長 防火墻 copy 生成器 1.使用SSH訪問遠程命令行
1.1 OpenSSH 簡介
OpenSSH 這一術語指系統中使用的Secure<br/>Shell軟件的軟件實施。用於在遠程系統上安全運行Shell。如果你在可提供ssh服務的遠程Linux系統中擁有用戶賬戶,則ssh是通常用來遠程登錄到該系統的命令。ssh命令也可用於在系統中運行命令。
常見的遠程登錄工具有：
telnet //遠程登錄協議，23/TCP 認證明文 數據傳輸明文 ssh //Secure Shell ，應用層協議，22/TCP 通信過程及認證過程是加密的，主機認證 用戶認證過程加密 數據傳輸過程加密 dropbear //嵌入式系統專門的SSH服務器端和客戶服工具
1.2 SSH版本
openssh有兩個版本，分別為v1和v2，其特點如下
v1 ： 基於CRC-32做MAC。無法防範中間人（man-in-middle） ×××
v2：雙方主機協議選擇安全的MAC方式。基於DH算法做密鑰交換，基於RSA或DSA算法身份認證
1.3 SSH 認證方式
openssh 有兩種認證方式，分別是：
基於口令認證
基於密鑰認證1.4 openSSH 的工作模式
openSSH 是基於C/S架構工作的 服務器 //sshd，配置文件在/etc/ssh/sshd_config 客戶端 //ssh，配置文件在/etc/ssh/ssh_config ssh-keygen 密鑰生成器 ssh-copy-id 將公鑰傳輸至遠程服務器 scp 跨主機安全復制工具
2.配置基於SSH密鑰的身份驗證
使用 ssh-keygen 命令生成密碼。將會生成私鑰~/.ssh/id_ras和~/.ssh/id_ras.pub.
生成ssh 密鑰後，密鑰將默認存儲在家目錄下的.ssh/目錄中。私鑰和公鑰的權限分別為600和644。.ssh目前權限必須是700
在可以使用基於密鑰的身份驗證前，需要將公鑰復制到目標系統上。可以使用ssh-copy-id
通過ssh-copy-id 將密鑰復制到另一系統時，它默認復制~/.ssh/id_rsa.pub文件
SSH密鑰演示
1.使用ssh-keygen 創建公鑰-私鑰對
[root@doudou ~]# ssh-keygen -t rsa2.使用 ssh-copy-id 將公鑰復制到遠程系統上的正確位置
[root@doudou ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub [email protected]
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
[email protected]‘s password:
Number of key(s) added: 1
Now try logging into the machine, with: "ssh ‘[email protected]‘"
and check to make sure that only the key(s) you wanted were added.3.使用ssh 命令無命令登錄遠程主機
[root@doudou ~]# ssh [email protected]
Last login: Mon Jul 30 15:23:25 2018 from 192.168.24.14.使用scp 命令傳送文件到遠程主機
[root@doudou ~]# scp lin.txt [email protected]:/root
[root@doudou ~]# ls
anaconda-ks.cfg lin.txtscp命令常用選項
-r 遞歸復制
-p 保持權限
-P 端口
-q 靜默模式
-a 全部復制自定義SSH服務配置
雖然OpenSSH服務器通常無需修改，但會通過其他安全措施，可以在配置文件/etc/ssh/sshd_config中修改OpenSSH服務器的各個方面。
PermitRootLogin yes 是否允許root用戶遠程登錄系統
PermitRootLogin without-password 僅允許root用戶基於密鑰方式遠程登錄
PasswordAuthentication 是否啟用密碼身份驗證，默認開啟SSH 安全註意事項
密碼應該經常換且足夠復雜
[root@doudou ~]# openssl rand 20 -base64
pCsFZMQhp/wWJTSm9gqMRerpwu8= 生成20位隨機密碼使用非默認端口
限制登錄客戶端地址
僅監聽特定的IP地址
禁止管理員直接登錄
AllowUsers
AllowGroups
使用基於密鑰的認證
禁止使用空密碼
禁止使用SSHv1v版本
設定空閑會話超時時長
利用防火墻設置SSH訪問策略
限制SSH的訪問頻度和並發在線數
做好日誌的備份，經常分析（集中於某臺服務器）作業
1.說明密鑰認證的過程
在一客戶端創建公鑰-私鑰對，私鑰和公鑰的權限分別為600和644。.ssh目前權限必須是700將公鑰復制到遠程系統上的.ssh目錄下，由於是第一次鏈接 需要輸入遠程系統上的密碼，然後使用ssh命令登錄遠程主機，此時不需要密碼即可直接登錄，此時通過ip all 查看當前所在IP 檢查得此時IP為遠程系統上的IP地址
2.手動配置密鑰認證的過程
1.使用ssh-keygen 創建公鑰-私鑰對
[root@doudou ~]# ssh-keygen -t rsa
2.使用 ssh-copy-id 將公鑰復制到遠程系統上的正確位置
[root@doudou ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub [email protected]
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
[email protected]‘s password:
Number of key(s) added: 1
Now try logging into the machine, with: "ssh ‘[email protected]‘"
and check to make sure that only the key(s) you wanted were added.3.使用ssh 命令無命令登錄遠程主機
[root@doudou ~]# ssh [email protected]
Last login: Mon Jul 30 15:23:25 2018 from 192.168.24.1
[root@linfan ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
link/ether 00:0c:29:bb:9c:fb brd ff:ff:ff:ff:ff:ff
inet 192.168.24.130/24 brd 192.168.24.255 scope global dynamic eth0
valid_lft 1578sec preferred_lft 1578sec
inet6 fe80::5353:99b9:5c65:43ba/64 scope link
valid_lft forever preferred_lft foreverLinux遠程服務之OpenSSH配置