SSH认证原理和批量分发管理

Posted 皮特王同学

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了SSH认证原理和批量分发管理相关的知识,希望对你有一定的参考价值。

SSH密码认证原理

几点说明:

1.服务端/etc/ssh目录下有三对公钥私钥:

[root@m01 ssh]# ls
moduli  ssh_config  sshd_config  ssh_host_dsa_key  ssh_host_dsa_key.pub  ssh_host_key  ssh_host_key.pub  ssh_host_rsa_key  ssh_host_rsa_key.pub

其中,ssh_host_key和ssh_host_key.pub 用于ssh协议1版本;其它两对密钥用于ssh协议2版本,默认采用rsa密钥。

2.基于安全考虑,SSH一般禁用密码登录,同时修改SSH监听端口。

[root@m01 ssh]# cat -n sshd_config | egrep "Port|Password" 
    13	Port 52113
    64	#PasswordAuthentication yes
    65	#PermitEmptyPasswords no
    66	PasswordAuthentication no
    90	# PasswordAuthentication.  Depending on your PAM configuration,
    94	# PAM authentication, then enable this but set PasswordAuthentication
    107	#GatewayPorts no

3.修改配置文件后,要使用reload重新加载,不要restart重启服务。

[root@m01 ssh]# /etc/init.d/sshd reload
Reloading sshd:                                            [  OK  ]

 SSH密钥认证原理

几点说明:

1.客户端传输公钥需要进行ssh密码认证,所以应在密钥传输成功后再禁止密码登录和修改端口。

2.密钥创建的命令

[oldgirl@web01 ~]$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/oldgirl/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase):   // 私钥密码不要加,见下文
Enter same passphrase again: 
Your identification has been saved in /home/oldgirl/.ssh/id_rsa.
Your public key has been saved in /home/oldgirl/.ssh/id_rsa.pub.
The key fingerprint is:
93:ba:3e:8c:1c:70:28:d9:c1:5c:cc:28:f0:23:3e:33 oldgirl@web01
[oldgirl@web01 ~]$ ssh-copy-id -i .ssh/id_rsa.pub oldgirl@172.16.1.61
oldgirl@172.16.1.61\'s password: 
Now try logging into the machine, with "ssh \'oldgirl@172.16.1.61\'", and check in:

  .ssh/authorized_keys

to make sure we haven\'t added extra keys that you weren\'t expecting.
[oldgirl@web01 ~]$ ls .ssh/
authorized_keys  id_rsa  id_rsa.pub  known_hosts

3.创建密钥时,不要创建私钥密码,因为批量执行命令不能有交互。如果创建了私钥密码,则执行远程登录或远程执行时,就需要输入私钥密码。使用密钥认证一是为了防止密码泄露,二是为了方便,三是为了批量管理。

[oldgirl@web01 ~]$ ssh oldgirl@172.16.1.61
Enter passphrase for key \'/home/oldgirl/.ssh/id_rsa\': 
Last login: Tue Aug 22 01:12:55 2017 from web01

 SSH批量管理

1.SSH的三个功能

  • 远程登录  ssh [-p port] user@host
  • 远程传输  scp 、rsync的ssh通道模式等
  • 远程执行  ssh [-p port] user@host [“command”]

2.实现原理

当我们配置好密钥认证之后,ssh的远程执行就不需要交互输入密码了,从而我们就可以将一组ssh远程执行命令写入脚本,以脚本的形式实现批量管理。ssh的远程管理和saltstack不同,前者本质上还是挨个管理,后者才是真正的批量管理。

3.脚本案例

[oldgirl@m01 shell_code]$ cat view_ip.sh 
#!/bin/bash
if [ $# -ne 1 ];then       //首先判断参数的个数是否为1
   /bin/echo "USAGE:/bin/sh $0 ARG1"
   exit 1
fi
for n in 8 31 41           // for循环代替重复命令
do
/bin/echo ========172.16.1.$n=====
/usr/bin/ssh oldgirl@172.16.1.$n "$1"
done

几点说明:

1.为了脚本的通用性,我们将命令做为参数$1传入脚本,命令统一加上双引号,多条命令之间用分号隔开。同时为了避免环境变量和别名的影响,命令统一使用绝对路径。

[oldgirl@m01 shell_code]$ sh view_ip.sh "/sbin/ifconfig eth0 ; /bin/ps -ef"

2.批量管理中,为了避免代码重复,我们使用for循环来多次执行命令,for n in 后面接上待管理的主机IP,如果有变化只需修改这里的ip即可。

SSH批量分发

1.实现原理

批量分发本质上是批量执行rsync命令,将待分发的文件同步到指定的目录。但由于某些目录普通用户没有权限写入,所以对于远端用户我们需要用sudo进行提权。所以,我们将待分发的文件先传输到远端用户的家目录,然后再由远端用户sudo执行rsync命令将家目录的文件同步至最终目录。

2.脚本案例

[oldgirl@m01 shell_code]$ cat fenfa.sh 
#!/bin/bash
if [ $# -ne 2 ];then
   /bin/echo "USAGE:/bin/sh $0 [file] [dir]"
   exit 1
fi
. /etc/init.d/functions
for n in 8 31 41
do
/bin/cp ~/$1 ~/$1_$(date "+%F_%T").bak >/dev/null 2>&1 &&\\
/usr/bin/scp ~/$1 oldgirl@172.16.1.$n:~ >/dev/null 2>&1 &&\\
/usr/bin/ssh -t oldgirl@172.16.1.$n "/usr/bin/sudo /usr/bin/rsync ~/$1 $2 ">/dev/null 2>&1 
if [ $? -eq 0 ];then
   action "fenfa hosts 172.16.1.$n" /bin/true
else
   action "fenfa hosts 172.16.1.$n" /bin/false
fi
done

[oldgirl@m01 shell_code]$ sh fenfa.sh hosts /tmp
fenfa hosts 172.16.1.8                                     [  OK  ]
fenfa hosts 172.16.1.31                                    [  OK  ]
fenfa hosts 172.16.1.41                                    [  OK  ]

几点说明:

1.传入的两个参数分别是家目录中的文件名和最终目录的绝对路径

2.分发文件之前首先进行备份,目的是为了回滚方便。当然如果有文件版本控制系统比如git,那么这里可以省略。

3.从脚本中可以发现,SSH批量分发管理核心是远程执行和FOR循环。

以上是关于SSH认证原理和批量分发管理的主要内容,如果未能解决你的问题,请参考以下文章

7)SSH批量管理分发项目

ssh批量管理分发项目实战介绍与实践

SSH密钥对批量认证Python脚本

SSH批量分发管理

ssh实现多级免密码验证企业分发管理

(转)SSH批量分发管理&非交互式expect