SSH 之远程登录

Posted 2023-03-16

参考技术A

从客户端来看，SSH提供两种级别的安全验证。

对于第二种级别，你必须知道自己密匙的口令。但是，与第一种级别相比，第二种级别不需要在网络上传送口令。第二种级别不仅加密所有传送的数据，而且“中间人”这种攻击方式也是不可能的（因为他没有用户的私人密匙）。但是整个登录的过程可能需要10秒。

将本地用户生成的公钥推送至远程服务器后，远程主机将用户的公钥，保存在登录后的用户主目录的$HOME/.ssh/authorized_keys文件中。公钥就是一段字符串，只要把它追加在authorized_keys文件的末尾就行了。
这里不使用ssh-copy-id命令，改用下面的命令，来解释公钥的保存过程：

输入命令 ssh user@host ，然后根据提示输入远程服务器的登录密码

也可在配置文件/etc/ssh/ssh_config 中设置user和host(ip), 来简化命令, 配置如下：

配置后, 登录请求时只需输入如下命令：

使用密码登录，每次都必须输入密码，非常麻烦。好在SSH还提供了公钥登录，可以省去输入密码的步骤。
公钥登录原理 ：就是用户将自己的公钥储存在远程主机上。登录的时候，远程主机会向用户发送一段随机字符串，用户用自己的私钥加密后，再发回来。远程主机用事先储存的公钥进行解密，如果解密验证成功，就证明用户是可信的，直接允许登录shell，不再要求密码。

执行上述命令首先会让你输入生成密钥的文件名： myPemKey (自定义)，之后一路回车。

配置后，登录远程服务器时只需输入一下命令，便可直接登录成功：

修改后重启ssh服务

则远程连接时指定端口

(1) 通过iptables设置ssh端口的白名单,如下设置只允许192.168.1.0/24网段的客户机可以远程连接本机

(2) 通过/etc/hosts.allow里面进行限制(如下)，/etc/hosts.deny文件不要任何内容编辑，保持默认！

例如：

修改远程服务器ssh服务配置文件/etc/ssh/sshd_config

修改远程服务器配置文件/etc/ssh/sshd_config， 如下：

如果本机系统有些账号没有设置密码，而ssh配置文件里又没做限制，那么远程通过这个空密码账号就可以登陆了，这是及其不安全的，所以一定要禁止空密码登陆。
修改远程服务器配置文件/etc/ssh/sshd_config，如下：

参考：

WSL优化之SSH远程登录篇

Some of the most devastating things that happen to you will teach you the most.
有些最打击你的事情反而教会你的东西越多。

重装原有SSH

sudo apt remove openssh-server
sudo apt install openssh-server

先解释一下WSL的网络，作为子系统的Ubuntu Linux和Windows主系统的IP是一样的。如果在Linux上搭建了Nginx服务器，那么在Windows上的浏览器上输入localhost是可以访问Nginx服务的。如果在Linux上运行netstat -nlp是不会看到任何端口服务的。在Linux上启用端口服务的时候，Windows系统会弹出窗口，询问是否允许相关端口访问。

WSL上的Ubuntu默认安装了openssh-server，也就是ssh服务的软件。但是，这个软件的配置是不完整的，如果启用服务，会报缺失几个密钥文件。为了解决这个问题，我们需要重新安装openssh-server：

重新安装完还不行，因为WSL上的Ubuntu的SSH服务配置默认不允许密码方式登录，我们需要改配置：

更改配置文件

sudo vim /etc/ssh/sshd_config

将以下配置复制到sshd_config配置文件

Port 2222   #设置ssh的端口号, 由于22在windows中有别的用处, 尽量不修改系统的端口号
PermitRootLogin yes   # 可以root远程登录
PasswordAuthentication yes     # 允许密码验证登录
AllowUsers sky # 远程登录时的用户名

重启sshd服务

sudo service ssh --full-restart

此时，我们可以在Ubuntu的Bash下连接自己测试，也可以用Windows的PowerShell连接Ubuntu来测试，命令都是一样的

测试连接

ssh username@localhost:2222 	# username为安装WSL Ubuntu时输入的用户名

如果要在其它机器上访问，需要查找本机IP，把localhost换成IP，那么同一子网（wifi、路由器）下的机器也可访问Ubuntu里的服务。
如果在其他机器上连接不成功看是不是Win10本地防火墙的2222端口没有放行，放行端口方法

防火墙->高级设置->入站规则->新建规则
端口->下一步
选择tcp 特定本地端口 2222
允许连接, 默认都选上, 下一步填个名字 完成

不出意外，就应该能连接成功了

顺便提一下，如果是搭建Nginx服务就比SSH简单多了，执行下面命令安装后在浏览器访问localhost即可：

sudo apt install nginx
sudo service nginx start