ssh-agent 与 Centos 基于key的免密码登录

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了ssh-agent 与 Centos 基于key的免密码登录相关的知识,希望对你有一定的参考价值。

   SSH 为 Secure Shell 的缩写,由 IETF 的网络小组(Network Working Group)所制定;
SSH 为建立在应用层基础上的安全协议。SSH是目前较可靠,专为远程登录会话和其他网络服务提供安全性的协议。
利用 SSH 协议可以有效防止远程管理过程中的信息泄露问题。

   传统的网络服务程序,如:ftp、pop和telnet在本质上都是不安全的,因为它们在网络上用明文传送口令和数据,
别有用心的人非常容易就可以截获这些口令和数据。而且,这些服务程序的安全验证方式也是有其弱点的, 就是很容易受到“中间人”(man-in-the-middle)这种方式的攻击。
所谓“中间人”的攻击方式, 就是“中间人”冒充真正的服务器接收你传给服务器的数据,然后再冒充你把数据传给真正的服务器。服务器和你之间的数据传送被“中间人”一转手做了手脚之后,
就会出现很严重的问题。通过使用SSH,你可以把所有传输的数据进行加密,这样"中间人"这种攻击方式就不可能实现了,而且也能够防止DNS欺骗和IP欺骗。
使用SSH,还有一个额外的好处就是传输的数据是经过压缩的,所以可以加快传输的速度。SSH有很多功能,它既可以代替Telnet,又可以为FTP、PoP、甚至为PPP提供一个安全的"通道"。

OpenSSH 是 SSH (Secure SHell) 协议的免费开源实现。OpenSSH提供了服务端后台程序和客户端工具,用来加密远程控制和文件传输过程中的数据,并由此来代替原来的类似服务。

ssh连接服务器慢的解决方法

编辑以下文件
ssh服务端
配置文件/etc/ssh/sshd_config
把以下2项修改为,并重启ssh服务
UseDNS no
GSSAPIAuthentication no

ssh客户端

配置文件:/etc/ssh/ssh_config

语法:

ssh [[email protected]]host [命令]  远程执行命令后返回信息并退出
    -p port:远程服务器监听的端口
    -b:指定连接的源IP
    -v:调试模式
    -C:压缩方式
    -X: 支持x11(图形)转发
    -Y:支持信任x11转发
    ForwardX11Trusted yes
    -t: 强制伪tty分配
ssh -t 跳板机IP ssh 最终访问IP
#ssh -t 192.168.4.101 ssh 192.168.4.113

ssh服务登录验证方式

基于用户和口令登录验证

技术分享图片

基于密钥的登录方式

1 首先在客户端生成一对密钥(ssh-keygen)
2 并将客户端的公钥ssh-copy-id 拷贝到服务端
3 当客户端再次发送一个连接请求,包括ip、用户名
4 服务端得到客户端的请求后,会到authorized_keys中查找,如果有响应的IP和用户,就会随机生成一个字符串,例如:acdf
5 服务端将使用客户端拷贝过来的公钥进行加密,然后发送给客户端
6 得到服务端发来的消息后,客户端会使用私钥进行解密,然后将解密后的字符串发送给服务端
7 服务端接受到客户端发来的字符串后,跟之前的字符串进行对比,如果一致,就允许免密码登录

基于密钥的认证实现步骤

命令语法

生成密钥对
ssh-keygen -t rsa [-P ‘‘] [-f "~/.ssh/id_rsa"]
ssh-keygen -t 加密算法 -P ‘加密口令‘ -f "指定生成密钥位置"   这个是大写的P

公钥文件传输至远程服务器
ssh-copy-id [-i [identity_file]] [[email protected]]host
ssh-copy-id -i 指定密钥 远程用户@远程主机

根据私钥生成公钥
#ssh-keygen -f id_rsa -y
-y选项表示根据私钥生成对应的公钥,生成的公钥会打印在屏幕中,可以使用重定向生成公钥文件

修改现有私钥的密码
小写的p是修改密码
#ssh-keygen -f id_rsa -p
步骤:

1.在客户端生成密钥对
#ssh-keygen
#cat id_rsa
id_rsa      id_rsa.pub 

2.把公钥文件传输至远程服务器对应用户的家目录
#ssh-copy-id -i id_rsa.pub [email protected]
如果在COPY的时候不小心把公钥写成了私钥,放心,实际执行时只会复制公钥。

会在用户的家目录的.ssh/目录生成authorized_keys文件

3. 测试
#ssh [email protected]

4.实现了免密登录了
注意:如果不想再基于key认证了,可以把~/.ssh/authorized_keys文件删除

基于key的免密码登录安全防范

私钥很重要,等于身份的确认,一但私钥丢失,风险是极高的。可是,好不容易刚整完了免密码登录,如果对私钥进行加密码,每次使用都需要输入密码,岂不是给便利性带来了麻烦?

ssh-agent

它可以帮助我们管理私钥:

1.在使用不同的密钥连接到不同的主机时,ssh代理可以帮助我们选择对应的密钥进行认证,不用手动指定密钥即可进行连接。

2.当私钥设置了密码,ssh代理可以帮助我们免去重复的输入密码的操作。

基于Linux的步骤如下:

1.先完成以上的基于key验证的步骤
2.启动ssh-agent
    # eval `ssh-agent`
3.将私钥添加到ssh代理
    # ssh-add 私钥名
4.测试

基于Windows的 xshell 步骤如下:

技术分享图片
技术分享图片
技术分享图片
技术分享图片
技术分享图片
技术分享图片
技术分享图片

以下为ssh-agent命令的一些常用选项。

启动与关闭ssh-agent

方法一:
ssh-agent bash
在子shell中打开ssh-agent,退出子shell自动结束代理

方法二:
eval `ssh-agent`
在当前shell中打开ssh-agent,退出当前shell时最好使用ssh-agent -k关闭对应代理

将私钥添加到ssh代理

ssh-add 私钥名

#ssh-add id_rsa
Enter passphrase for id_rsa: 密钥口令
Identity added: id_rsa (id_rsa)

查看代理中的私钥

ssh-add -l

查看代理中的私钥对应的公钥

ssh-add -L

移除指定的私钥

ssh-add -d 私钥名

#ssh-add -d id_rsa
Identity removed: id_rsa ([email protected])

移除代理中的所有私钥

ssh-add -D

#ssh-add -D
All identities removed.

以上是关于ssh-agent 与 Centos 基于key的免密码登录的主要内容,如果未能解决你的问题,请参考以下文章

在 ssh-agent 中同时加载两个 ssh-keys 时,克隆(更新)git 子模块失败

在 Windows 10 上激活 ssh-agent 的 VSCode

让 ssh-agent 与 Windows 命令 shell 中的 git run 一起工作

在轮询 SCM 时将 ssh-agent 与 jenkins 一起使用

CentOS DNS服务详解与基于bind的智能DNS

“无法打开与您的身份验证代理的连接”,即使在 ssh-agent 启动后,ssh-add 也会出错