1 瞭解sshd服務

  SSH(Secure Shell)是一種能夠提供安全遠端登陸會話的協議，假如希望在遠端Linux系統中執行命令，就是通過這個協議啦！
為什麼要強調SSH協議是安全的呢？因為比如ftp、telnet等服務在網路上不會對口令或資料進行加密，那麼駭客們真的非常容易就可以截獲這些資訊（尤其是同區域網內的使用者），因此它們在本質是就是不安全的。
sshd服務提供兩種安全驗證的方法：
1. 基於口令的安全驗證:經過驗證帳號與密碼即可登陸到遠端主機。
1. 基於金鑰的安全驗證:需要在本地生成”金鑰對“後將公鑰傳送至服務端，進行公共金鑰的比較。
sshd服務的配置檔案解析：
sshd服務的配置檔案解析：

[root@hd1 ~]# cat /etc/ssh/sshd_config

若您想要修改服務的配置引數，請一定要記得刪除引數前面的註釋符”#“並重啟服務才生效的。

[[email protected]
 
 ssh]# service sshd restart
Stopping sshd:                                             [  OK  ]
Starting sshd:                                             [  OK  ]

在遠端主機上啟動sshd服務並加入到開機啟動項：
[[email protected] ~]# systemctl start sshd
[[email protected] ~]# systemctl enable sshd

2 使用ssh命令登入主機

ssh命令用於遠端管理Linux主機，格式為：“ssh [引數] 主機”。

[[email protected] ~]# ssh 192.168.10.20
The authenticity of host '192.168.10.20 (192.168.10.20)' can't be established.
ECDSA key fingerprint is 4f:a7:91:9e:8d:6f:b9:48:02:32:61:95:48:ed:1e:3f.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.10.20' (ECDSA) to the list of known hosts.
[email protected]192.168.10.20's password:此處輸入遠端主機root使用者的密碼
Last login: Wed Apr 15 15:54:21 2015 from 192.168.10.10
[[email protected] ~]#

3 安全金鑰驗證

使用密碼驗證終歸會存在著被駭客暴力破解或嗅探監聽的危險，其實也可以讓ssh服務基於金鑰進行安全驗證（可無需密碼驗證）。

3.1 第一步：使用Xshell生成金鑰（在本地主機中生成“金鑰對”亦可）

1. 我們開啟熟悉的XSHELL軟體，然後在工具-新建使用者金鑰生成嚮導；

2. 生成金鑰引數：確定公鑰的型別和長度；
   
   我們這裡需要選擇RSA金鑰型別，以及金鑰長度可以選擇1024或者我這裡選擇2048.然後點選下一步按鈕。

3. 生成公鑰對：生成公鑰和私鑰對
   
   繼續下一步，我們需要給我們設定的私鑰加密。

4. 私鑰加密:輸入密碼，只有該密碼才能得到私鑰（很重要）。
   

5. 公鑰格式:
   
   公鑰格式選擇SSH2-OPENSSH，儲存公鑰為檔案後完成。

3.2 第二步：上傳公鑰至伺服器中

將我們生成的id_rsa_2048.pub公鑰檔案上傳到/root/.ssh資料夾下面（如果沒有我們需要建立），然後我們需要將id_rsa_2048.pub重新命名為authorized_keys 並且用chmod 600 authorized_keys設定許可權。

3.3 第三步 ：修改sshd配置檔案

1. 編輯ssh服務程式主配置檔案

   [root@hd1 ~]# vim /etc/ssh/sshd_config

2. 將允許密碼驗證的引數設定為no
   
3. 將允許金鑰驗證的引數設定為yes
   

4. 儲存並退出配置檔案

5. 重啟ssh服務

   Debian/Ubuntu執行：/etc/init.d/ssh restart
   CentOS執行：/etc/init.d/sshd restart或者service sshd restart

3.4 第四步 ：配置Xshell使用金鑰登陸

1. 在Xshell新建一個連結；
2. 設定使用者身份為Public Key，選擇使用者金鑰；
3. 輸入我們之前設定的金鑰密碼，這個時候我們其實就可以登陸。

4 禁用root登入

為了防止root使用者被掃描，被暴力破解，可以禁止root使用者登入，指定特定使用者可以通過su - 的方式切換root身份。

4.1 禁用root登入

1. 修改配置檔案

   vi /etc/ssh/sshd_config

   修改PermitRootLogin為no

   PermitRootLogin no

2. 重啟sshd服務

   service sshd restart

4.2 限制使用者切換root身份

我們指定某個使用者可以切換root身份，其他使用者不可以
1. 修改/etc/pam.d/su配置

［[email protected] ~］# vi /etc/pam.d/su

找到下面這行，去掉行首的“#”

#auth required pam_wheel.so use_uid

1. 將指定使用者新增到wheel使用者組

```
usermod -G wheel 某使用者名稱
```

1. 修改登入檔案

```
[[email protected] ~]# vi /etc/login.defs
```
在末尾新增：

```
SU_WHEEL_ONLY yes
```

5 遠端傳輸命令

  要想將一些檔案通過網路傳送給其他主機，又恰好兩臺主機都是Linux系統，我們便可以直接用scp命令傳輸檔案到另外一臺主機。scp命令用於在網路中安全的傳輸檔案。

5.1 傳送檔案

格式為：“==scp [引數] 本地檔案 遠端帳戶@遠端IP地址:遠端目錄==”。

例如：將本地檔案/root/out.txt傳送到遠端主機的/home目錄：

[root@linuxprobe ~]# scp /root/out.txt 192.168.10.20:/home
root@192.168.10.20's password:此處輸入遠端主機中root使用者的密碼
out.txt 100% 0 0.0KB/s 00:00

傳送資料夾並指定遠端使用者：
[root@linuxprobe ~]# scp -r results/ [email protected]:/home
linuxprobe@192.168.10.20's password:此處輸入遠端主機中linuxprobe使用者的密碼

5.2 下載檔案

強大的scp命令還可以將遠端主機的檔案下載到本地。
格式為：“==scp [引數] 遠端使用者@遠端IP地址:遠端檔案 本地目錄==”。
例如：將遠端主機的/etc/issue.net檔案下載到本地的/root目錄：

[root@linuxprobe ~]# scp [email protected]:/etc/issue.net /root
linuxprobe@192.168.10.20's password:
issue.net 100% 22 0.0KB/s 00:00

例如：將遠端主機的/root/test資料夾下載到本地的/root目錄：

[root@njupt ~]# scp -r root@192.168.10.20:/root/test /root
Password: 
1.txt                                                                                                             100%    0     0.0KB/s   00:00    
2.txt                                                                                                             100%    0     0.0KB/s   00:00    
1.txt                                                                                                             100%    0     0.0KB/s   00:00