SSH Key的知識

Linux系統有一個鑰匙環(keyring)的管理程式．鑰匙環受到使用者登入密碼的保護．當你登入Linux系統時，會自動解開鑰匙環的密碼，從而可訪問鑰匙環．SSH的金鑰和公鑰也儲存在鑰匙環．所以初次使用SSH金鑰登入遠端Linux伺服器時需要輸入一次SSH金鑰的密碼．而將來使用SSH金鑰登入時不再輸入密碼．Ubuntu的鑰匙環程式是seahorse．

SSH金鑰就好比是你的身份證明．遠端Linux伺服器用你生成的SSH公鑰來加密一條訊息，而只有你的SSH金鑰可以解開這條訊息．所以其他人如果沒有你的SSH金鑰，是無法解開加密訊息的，從而也就無法登入你的Linux伺服器．

SSH無密碼登入的設定就是這麼簡單。

無密碼登入Linux的設定步驟

SSH無密碼登入Linux的設定步驟：
１、首先我們在自己的Linux系統上生成一對SSH Key：SSH金鑰和SSH公鑰．金鑰儲存在自己的Linux系統上。
２、然後公鑰上傳到Linux伺服器．之後我們就能無密碼SSH登入了．SSH金鑰就好比是你的身份證明

一、在自己的Linux系統上生成SSH金鑰和公鑰
開啟終端，使用下面的ssh-keygen來生成RSA金鑰和公鑰．-t表示type，就是說要生成RSA加密的鑰匙

cd .ssh
ssh-keygen -t rsa

RSA也是預設的加密型別．所以你也可以只輸入ssh-keygen．預設的RSA長度是2048位．如果你非常注重安全，那麼可以指定4096位的長度。

ssh-keygen -b 4096 -t rsa

生成SSH Key的過程中會要求你指定一個檔案來儲存金鑰，按Enter鍵使用預設的檔案就行了．然後需要輸入一個密碼來加密你的SSH Key．密碼至少要20位長度．SSH金鑰會儲存在home目錄下的.ssh/id_rsa檔案中．SSH公鑰儲存在.ssh/id_rsa.pub檔案中。

Generating public/private rsa key pair.
Enter file in which to save the key (/home/matrix/.ssh/id_rsa): 　按Enter鍵
Enter passphrase (empty for
 
 no passphrase): 　　輸入一個密碼
Enter same passphrase again: 　　再次輸入密碼
Your identification has been saved in /home/matrix/.ssh/id_rsa.
Your public key has been saved in /home/matrix/.ssh/id_rsa.pub.
The key fingerprint is:
e1:dc:ab:ae:b6:19:b0:19:74:d5:fe:57:3f:32:b4:d0 [email protected]
The key's randomart image is:
+---[RSA 4096]----+
| .. |
| . . |
| . . .. . |
| . . o o.. E .|
| o S ..o ...|
| = ..+...|
| o . . .o .|
| .o . |
| .++o |
+-----------------+

檢視.ssh/id_rsa檔案就會看到，這個檔案是經過加密的（encrypted），也就是用你輸入的密碼來加密。

less .ssh/id_rsa

二、將SSH公鑰上傳到Linux伺服器
可以使用ssh-copy-id命令來完成

ssh-copy-id [email protected]-server

輸入遠端使用者的密碼後，SSH公鑰就會自動上傳了．SSH公鑰儲存在遠端Linux伺服器的.ssh/authorized_keys檔案中。

上傳完成後，SSH登入就不需要再次輸入密碼了．但是首次使用SSH Key登入時需要輸入一次SSH金鑰的加密密碼。（只需要輸入一次，將來會自動登入，不再需要輸入金鑰的密碼．）

使用scp命令來傳送檔案時也不需要輸入密碼。

配置伺服器別名

雖然經過上面的配置，我們不用在每次登入時都輸入密碼。當仍然需要我們輸入使用者名稱和伺服器ip。有沒有可能把這一步驟也省略呢？答案是肯定的，通過配置伺服器別名的方式，登入時只需輸入別名即可。

一、開啟~/.ssh/config檔案，新增以下內容（如果木有 ~/.ssh/config 檔案的話就自個兒建一個吧）

Host server-alias           　　　# server-alias為SSH連結的伺服器別名
HostName server-ip  # 伺服器地址
Port 22
User username       # 伺服器端使用者名稱
PreferredAuthentications publickey 
IdentityFile ~/.ssh/id_rsa   　　# 私鑰地址，預設為 ~/.ssh/id_rsa

二、驗證，以後即可通過以下命令登入遠端伺服器

ssh server-alias

常見問題及解決方案

一、生成金鑰並上傳至遠端主機後，任然不可用 。

１、開啟伺服器的 /etc/ssh/sshd_config 這個檔案，取消註釋

#AuthorizedKeysFile .ssh/authorized_keys

２、重啟伺服器的ssh服務。

#RHEL/CentOS系統
$ service sshd restart
#ubuntu系統
$ service ssh restart
#debian系統
$ /etc/init.d/ssh restart

３、執行ssh-copy-id 命令

ssh-copy-id 遠端使用者名稱＠遠端IP地址

//如果不是預設埠22,是9001
ssh-copy-id -p 9001 遠端使用者名稱＠遠端IP地址

二、ssh連線遠端主機時，出現 sign_and_send_pubkey: signing failed: agent refused operation 錯誤，並且還是需要輸入密碼。

此時，表示ssh-agent 已經在運行了，但是找不到附加的任何keys，就是說你生成的key，沒有附加到ssh-agent上，需要附加一下執行。

檢視hosts中是否配置了git伺服器的地址，那樣的話，會一直讓你輸入密碼

ssh-add

//當然你也可以檢視附加了哪些key
ssh-add -l

ssh 遠端使用者名稱＠遠端IP地址

//如果不是預設埠22,是9001
ssh -p 9001 遠端使用者名稱＠遠端IP地址

如果顯示下面的錯誤

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@       WARNING: POSSIBLE DNS SPOOFING DETECTED!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
The ECDSA host key for [git.bbdservice.net]:51668 has changed,
and the key for the corresponding IP address [10.10.80.26]:51668
is unknown. This could either mean that
DNS SPOOFING is happening or the IP address for the host
and its host key have changed at the same time.
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
6e:92:c8:d6:f2:45:ae:ff:5f:1d:21:8b:01:52:8a:82.
Please contact your system administrator.
Add correct host key in /home/glowd/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /home/glowd/.ssh/known_hosts:1
  remove with: ssh-keygen -f "/home/glowd/.ssh/known_hosts" -R [git.bbdservice.net]:51668
ECDSA host key for [git.bbdservice.net]:51668 has changed and you have requested strict checking.
Host key verification failed.
fatal: Could not read from remote repository.

說明你連線的那一行訪問，驗證已經改變，/home/glowd/.ssh/known_hosts:1，刪除那一行，或者直接把整個known_hosts檔案刪除，重新連線一次就好了