ssh远程管理服务配置

Posted 2020-09-30

##sshd远程连接的优化

版主QQ:2559721591    资料网站：http://rshare.ys168.com

网络环境：

ssh服务器(虚拟机)：192.168.10.25

ssh客户机(物理机)：192.168.10.1

 

ssh:是安全的外壳的缩写(Secure Shell)。是专门为远程登录会话和其他网络服务提供安全性的协议。

linux的ssh远程登录软件：openssh，默认端口是22。

 

显示远程连接过程：ssh  -v  [email protected]

 

#软件安装

yum  install  -y  openssh-server  openssh-clients  openssh

说明：服务端：openssh-server

      客户端：openssh-clients

      通用程序：openssh

      密钥验证：openssh-askpass

 

服务基本管理：

    重启服务：service  sshd  restart

    设为开机启动：chkconfig   sshd  on

 

常用命令：ssh、scp、ssh-keygen、ssh-copy-id、sftp

 

ssh远程登录：

语法：ssh   [选项]  用户@远程IP   [命令]

选项：-v  显示过程

例：远程执行命令：ssh  [email protected]   ‘ls /;ifconfig‘

    远程登录：ssh  [email protected] 

 

scp命令：

功能：采用ssh协议上传、下载文件。

语法：scp  -rv   源文件    目标文件

选项：-r 递归复制目录     -v 显示过程    -P 指定端口  

实例：上传本机/etc目录到[email protected]:/tmp/目录。

   scp  -rv  /etc   [email protected]:/tmp/       //上传文件

   ssh  [email protected]   ls  /tmp/et*         //验证结果

 

实例：上传[email protected]:/etc目录到本机/opt目录。

   scp  -rv  [email protected]:/etc   /opt/       //下载文件 

   ls   /opt/      //验证结果

 

#问题：ssh服务连接慢的解决。

说明：sshd_config是服务器配置，ssh_config是客户端配置文件。

首先：vi  /etc/ssh/sshd_config 修改如下内容：

UseDNS  no     //禁用DNS解析功能(122行)

GSSAPIAuthentication   no    //禁用GSSAPI授权功能(81行)

 

然后：vi  /etc/ssh/ssh_config    //客户端配置文件，修改如下内容：

GSSAPIAuthentication   no    //禁用GSSAPI授权功能(81行)

 

最后：1、重启sshd服务：service  sshd  restart

      2、用客户机远程登录测试：ssh  [email protected]   ifconfig

 

##需求：实现ssh免密码远程登录。采用id_rsa私钥、id_rsa.pub公钥文件自动验证功能。

RSA签名和验签过程：

1.签名过程：

    client提取消息m的消息摘要h(m)，并使用自己的私钥对摘要h(m)进行加密，生成签名s。

    client将签名s和消息m一起，使用server发过来的公钥进行加密，获得密文c，发送给server。

2.验签过程：

    server接受到密文后，用自己的私钥对其解密，获得明文消息m和签名s。

    server使用client的公钥解密数字签名s，获得消息摘要h(m)。

    server使用相同的方法提取消息m的消息摘要h(m)与上一步解密得到的h(m)进行比较，如果相同则验签成功。

 

公钥和私钥须知：

  A、公钥是给别人的：

      1、发送密文使用公钥加密

      2、验证签名使用公钥验证

  B、私钥是自己保留的

      1、接受密文使用私钥解密

      2、发送签名使用私钥签名

注意：上述过程逆转是不行的，比如使用私钥加密，使用公钥解密是不行的。

 

实现思路：1、在客户机用ssh-keygen生成id_rsa私钥、id_rsa.pub公钥文件。

          2、将客户机的id_rsa.pub公钥文件上传给ssh服务器指定的用户家目录。

          3、在客户机远程登录，测试是否免密码登录。

注意：公钥和私钥验证是识别身份是根据客户机的主机名来确认。上传客户机的公钥后，一定不要再修改客户机的主机名，否则公钥和私钥无法认证。

实施步骤：

1、在客户机生成公钥和私钥(交互式)：ssh-keygen  -t  rsa

(非交互)：ssh-keygen  -t  rsa  -f  ~/.ssh/id_rsa  -N  ‘‘

选项说明：-t指定加密算法    -f指定密钥文件   -N指定加密密码

#生成成对的公钥和私钥密钥。

Generating public/private rsa key pair.

Enter file in which to save the key (/root/.ssh/id_rsa):回车

#这里需要输入两次密钥验证密码 这里我们不在设置

Enter passphrase (empty for no passphrase):回车(空密码)

Enter same passphrase again:回车(空密码)

+

#私钥保存路径及文件名

Your identification has been saved in /root/.ssh/id_rsa. 回车

+

#公钥保存路径进文件名

Your public key has been saved in /root/.ssh/id_rsa.pub. 回车

The key fingerprint is:以下为密钥指纹标识符

aa:0e:89:eb:83:55:44:d1:a1:ed:2d:81:aa:4e:47:29 [email protected]

2、在客户机上传公钥给服务器：

   方法一：ssh-copy-id   [email protected]

   方法二：ssh-copy-id   -i  ~/.ssh/id_rsa.pub   [email protected]

3、在客户机测试远程控制：ssh   [email protected]   ifconfig

 

附加任务：扫描192.168.10.25主机上的key文件内容。

   ssh-keyscan  192.168.10.25

 

#ssh服务端配置文件安全加固。

#修改服务器主配置文件：vi  /etc/ssh/sshd_config

Port 22

ListenAddress 0.0.0.0

Protocol 2

HostKey /etc/ssh/ssh_host_rsa_key

HostKey /etc/ssh/ssh_host_dsa_key

#LoginGraceTime  2m     //登录宽限期为2分钟

#PermitRootLogin yes    //允许root登录

#StrictModes yes  //yes必需保证存放公钥的目录的属主与登陆用户名是相同的

#MaxAuthTries 6    //密码错误重试6次

#MaxSessions 10    //最大10个会话

#RSAAuthentication yes        //启用RSA验证

#PubkeyAuthentication yes     //启用公钥验证

#AuthorizedKeysFile     .ssh/authorized_keys    //公钥保存的文件

#PermitEmptyPasswords no      //禁止空密码登录

PasswordAuthentication yes     //启用密码验证

Subsystem       sftp    /usr/libexec/openssh/sftp-server     //启用子系统sftp共享服务

 

#sftp客户端

功能：采用sftp协议登录到ssh服务器，访问服务器上的文件，在服务器和客户机之间传输文件(上传、下载)。

语法：sftp   用户名@远程IP

实例：sftp   [email protected]

常用命令：

说明：sftp登录成功后，可以执行大多数文件管理的shell命令。

help或?      //显示命令帮助

pwd      //显示服务器工作路径

!pwd     //显示本地工作路径

ls       //显示服务器当前目录的文件列表

cd   /tmp     //切换服务器路径到/tmp目录

!ls           //查看本地文件列表

lcd  /etc     //切换本地路径到/etc

get  源   目标     //下载文件

put  源   目标     //上传文件

bye     //退出登录

 

服务器端配置文件小结：

[[email protected]localhost ~]# vim /etc/ssh/sshd_config 配置文件中主要的三部分内容如下

1、常见SSH服务器监听的选项如下：

Port 22                    //监听的端口为22

Protocol 2                //使用SSH V2协议

ListenAdderss 0.0.0.0    //监听的地址为所有地址

UseDNS no                //禁止DNS反向解析

必做：找到UseDNS选项，默认为yes，会影响连接速度，将yes改为no。

2、常见用户登录控制选项如下：

PermitRootLogin no            //禁止root用户登录

PermitEmptyPasswords no        //禁止空密码用户登录

LoginGraceTime 2m            //登录验证时间为2分钟

MaxAuthTries 6                //最大重试次数为6

AllowUsers user            //只允许user用户登录，与DenyUsers选项相反

3、常见登录验证方式如下：

PasswordAuthentication yes                //启用密码验证

PubkeyAuthentication yes                    //启用秘钥验证

AuthorsizedKeysFile .ssh/authorized_keys    //指定公钥数据库文件