Linux必备技能之远程访问及控制——SSH

Posted 2021-06-04 28线不知名云架构师

一、SSH远程管理概念

SSH（Secure Shell)是一种安全通道协议，主要用来实现字符界面的远程登陆、远程复制等功能。SSH协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入的用户口令。因此SSH协议具有很好的安全性。

二、SSH远程管理的优点

①数据传输是加密的，可以防止信息泄漏

②数据传输是压缩的，可以提高传输速度

三、openssh软件

openssh是实现SSH协议的开源软件项目，适用于各种unix、linux操作系统。openssh是由openssh、openssh-server以及openssh-client等软件包提供的，并已将sshd添加为标准的系统服务，默认系统已安装。

①服务名称：sshd（CentOS6.5后默认安装开启）

②服务端配置文件：/etc/ssh/sshd_config

③客户端配置文件：/etc/ssh/ssh_config

[root@client ~]# rpm -qa | grep openssh
openssh-7.4p1-16.el7.x86_64
openssh-server-7.4p1-16.el7.x86_64
openssh-clients-7.4p1-16.el7.x86_64

[root@localhost .ssh]# vim /etc/ssh/sshd_config       //查看配置文件

端口：
port用来设置sshd监听的端口，监听任何端口，监听IPV6

秘钥：
HostKey用来设置服务器秘钥文件的路径，这里默认就好
每个加密算法放的文件位置是不一样的

开启公钥：
设置是否开启公钥验证，如果使用公钥验证的方式登录时，则设置为yes
AuthorizedKeysFile用来设置公钥验证文件的路径

开启密码认证：
用来设置是否开启密码验证机制，如果用密码登录系统，则设置yes
PermitEmptyPasswords：
用来设置是否允许用口令为空的账号登录系统，设置no
PasswordAuthentication yes，是否允许使用基于密码的认证。默认为"yes"

默认使用dns：
默认使用dns 通过dns查看域名，做域名解析
PIDFILE 进程号
每启动一个进程，都会产生一个文件，/var/run 里面存放的是进程的pid号，跟ps 查出来是一 一对应的，如果进程杀不掉的时候，kill .kill-9 可以直接吧这个文件给删去

修改防火墙：
进入配置文件 /etc/selinux/config

四、具体配置

rpm -qa openssh openssl // 查询openssl软件
ps -ef | grep ssh  //#查询sshd进程
        --> /usr/sbin/sshd
netstat -lntup | grep ssh  // 查看ssh端口
ss | grep ssh  (效果同上，同下，好用)
netstat -a | grep ssh
netstat -lnt | grep 22  ==>  查看22端口有没有开/ssh服务有没有开启
技巧： netstat -lnt | grep ssh | wc -l -->只要大于2个就是ssh服务就是好的
ll /root/.ssh/known_hosts  //查看ssh的秘钥目录,当前用户家目录的.ssh目录下
cat /etc/ssh/sshd_config   //ssh的配置文件
service  stop sshd //ssh服务的关闭
service start sshd  //ssh服务的开启
service reload sshd   //[停止进程后重启] ==> 推荐
service restart sshd  //[干掉进程后重启] ==> 不推荐,不过实验环境里面无所谓
# ssh远程登录
ssh root@192.168.1.100  -o stricthostkeychecking=no //首次登陆免输yes登录
ssh root@192.168.152.130    //登录                                                            
cat /root/.ssh/known_hosts  //查看已知主机 
ssh root@192.168.1.100 "ls /home/omd"  //当前服务器A远程登录服务器B后执行某个命令
ssh root@192.168.1.100 -t "sh /home/omd/ftl.sh" //当前服务器A远程登录服务器B后执行某个脚本              

scp :             
1.功能   -->远程文件的安全(加密)拷贝                   
scp -P22 -r -p /home/omd/h.txt omd@192.168.25.137:/home/omd/               
2.scp知识小结                   
scp是加密远程拷贝，cp为本地拷贝                   
可以推送过去，也可以拉过来                   
每次都是全量拷贝(效率不高，适合第一次)，增量拷贝用rsync

ssh自带的sftp功能               
1.Window和Linux的传输工具                   
wincp   filezip                   
sftp  -->基于ssh的安全加密传输                   
samba   
2.sftp客户端连接                   
sftp -oPort=22 root@192.168.25.137                   
put /etc/hosts /tmp                   
get /etc/hosts /home/omd   
sftp小结：                   
1.linux下使用命令： sftp -oPort=22 root@x.x.x.x                   
2.put加客户端本地路径上传                  
3.get下载服务器端内容到本地                   
4.远程连接默认连接用户的家目录

五、sshd服务支持验证方式

5.1密码验证

对服务器中本地系统用户的登录名称、密码进行验证。简便，但可能会被暴力破解

5.2密钥对验证

①要求提供相匹配的密钥信息才能通过验证。通常先在客户端中创建一对密钥文件（公钥、私钥），然后将公钥文件放到服务器中的指定位置。远程登录时，系统将使用公钥、私钥进行加密/解密关联验证。能增强安全性，且可以免交互登录。
②当密码验证、密钥对验证都启用时，服务器将优先使用密钥对验证。可根据实际情况设置验证方式。

vim /etc/ssh/sshd_config                        #编辑服务端主配置文件
PasswordAuthentication yes 						#启用密码验证
PubkeyAuthentication yes 						#启用密钥对验证
AuthorizedKeysFile .ssh/authorized_keys 		#指定公钥库文件

5.3验证步骤

①在客户端创建密钥对

通过ssh-keygen工具为当前用户创建密钥对文件。可用的加密算法为RSA、ECDSA或DSA等（ssh-keygen命令的“-t”选项用于指定算法类型）。

useradd lc
echo "123456" | passwd --stdin lc
su - lc

ssh-keygen -t ecdsa
Generating public/private ecdsa key pair.
Enter file in which to save the key (/home/lc/.ssh/id_ecdsa): 	#指定私钥位置，直接回车使用默认位置
Created directory '/home/lc/.ssh'.		    #生成的私钥、公钥文件默认存放在宿主目录中的隐藏目录.ssh/下
Enter passphrase (empty for no passphrase): 	#设置私钥的密码
Enter same passphrase again: 					#确认输入

ls -l .ssh/id_ecdsa*      #id_ecdsa是私钥文件，权限默认为600；id_ecdsa.pub是公钥文件，用来提供给 SSH 服务器

②将公钥文件上传至服务器

scp ~/.ssh/id_ecdsa.pub root@192.168.184.20:/opt
或
#此方法可直接在服务器的/home/lc/.ssh/目录中导入公钥文本
cd ~/.ssh/
ssh-copy-id -i id_ecdsa.pub zhangsan@192.168.184.20

③在服务器中导入公钥文本

mkdir /home/zhangsan/.ssh/
cat /tmp/id_ecdsa.pub >> /home/zhangsan/.ssh/authorized_keys

cat /home/zhangsan/.ssh/authorized_keys

④在客户端使用秘钥对验证

ssh zhangsan@192.168.184.20
lucien@192.168.184.20's password:          #输入私钥的密码

⑤在客户机设置ssh代理功能，实现免交互登录

ssh-agent bash
ssh-add
Enter passphrass for /home/zhangsan/.ssh/id_ecdsa:     #输入私钥的密码

ssh zhangsan@192.168.184.20

Ps:

scp ~/.ssh/id_ecdsa.pub root@192.168.80.10:/opt               #将本机~/.ssh目录下的公钥上传到服务器的/opt目录里
mkdir /home/zhangsan/.ssh/                                    #在服务器/home/zhangsan/目录下创建一个.ssh目录
cat /opt/id_ecdsa.pub >> /home/zhangsan/.ssh/authorized_keys  #在服务器将/opt目录下的公钥文件追加到/home/zhangsan/.ssh/目录中的authorzed_keys文件中
cat /home/zhangsan/.ssh/authorized_keys                       #在服务器查看/home/zhangsan/.ssh/authorized_keys文件               

六、TCP Wrappers 访问控制

6.1概念

TCP Wrappers是一个工作在第四层（传输层）的的安全工具，对有状态连接的特定服务进行安全检测并实现访问控制，凡是包含有libwrap.so库文件的的程序就可以受TCP_Wrappers的安全控制。它的主要功能就是控制谁可以访问，常见的程序有rpcbind、vsftpd、sshd，telnet。

rpm -q tcp_wrappers #查询是否已安装

6.2TCP Wrapper 保护机制的两种实现方式

①直接使用 tcpd 程序对其他服务程序进行保护，需要运行 tcpd程序。

②由其他网络服务程序调用 libwrap.so.* 链接库，不需要运行 tcpd 程序。此方式的应用更加广泛，也更有效率

配置文件

 - /etc/host.allow      //设置允许访问
 - /etc/howt.deny       //设置不允许访问
 ####两个文件同时存在时，先匹配allow文件中的内容再匹配deny文件

6.3TCP Wrappers 的访问策略

①TCP Wrappers 机制的保护对象为各种网络服务程序，针对访问服务的客户端地址进行访问控制

②对应的两个策略文件为 /etc/hosts.allow 和 /etc/hosts.deny，分别用来设置允许和拒绝的策略。

语法格式：

[服务程序列表]:[客户端地址列表]

举例：

[root@handsomeboy1 ~]# vim /etc/hosts.allow  
#### 在文件中添加内容：     
sshd,ALL                   //代表允许所有访问
sshd,:192.168.43.134       //代表允许该IP地址的客户端访问
sshd,:192.168.43.          //代表允许192.168.43.0这个网段访问
sshd,:192.168.43.*         //也是代表整个43网段的
sshd,:192.168.43.4?        //？只是代表一个字符，这里就表示40-49

6.4TCP Wrappers 机制的基本原则

①首先检查/etc/hosts.allow文件，如果找到相匹配的策略，则允许访问；

②否则继续检查/etc/hosts.deny文件，如果找到相匹配的策略，则拒绝访问；

③如果检查上述两个文件都找不到相匹配的策略，则允许访问。

④允许所有，拒绝个别
只需在/etc/hosts.deny文件中添加相应的拒绝策略

⑤允许个别，拒绝所有
除了在/etc/hosts.allow中添加允许策略之外，还需要在/etc/hosts.deny文件中设置“ALL:ALL”的拒绝策略。

⑥若只希望从IP地址为12.0.0.1的主机或者位于192.168.80.0/24网段的主机访问sshd服务，其他地址被拒绝。

vi /etc/hosts.allow
sshd:12.0.0.1,192.168.80.*

vi /etc/hosts.deny
sshd:ALL