一 ssh簡(jiǎn)介 

SSH為建立在應(yīng)用層上的安全協(xié)議，SSH是目前非?？煽?，專門為遠(yuǎn)程登錄會(huì)話和其它網(wǎng)了服務(wù)提供安全性的協(xié)議。

利用SSH可以有效防止遠(yuǎn)程管理過(guò)程中的信息泄露問(wèn)題。

SSH最初是UNIX系統(tǒng)上的一個(gè)程序，后來(lái)又迅速擴(kuò)展到其它操作平臺(tái)，默認(rèn)情況下，SSH協(xié)議需要用到一個(gè)tcp22的端口號(hào)。

查看ssh服務(wù)運(yùn)行情況

systemctl status sshd

二 ssh配置文件

ssh配置文件在/etc/ssh/sshd_config

• 顯示root用戶可以登錄

• 禁止root用戶登錄ssh

vi /etc/ssh/sshd_config
PermitRootLogin no
systemctl restart sshd

• 指定普通用戶lmy進(jìn)行SSH登錄

vi /etc/ssh/sshd_config
AllowUsers lmy
systemctl restart sshd

• ssh密碼嘗試次數(shù)

vi /etc/ssh/sshd_config
MaxAuthTries 5
systemctl restart sshd

三 ssh遠(yuǎn)程登錄

ssh root@servera（主機(jī)名）
ssh root@172.25.254.250

正常情況下，會(huì)讓你輸入兩個(gè)yes，然后輸入密碼才能ssh登錄到終端，這里rhcsa系統(tǒng)設(shè)置了免密。

四 ssh遠(yuǎn)程登錄原理

ssh和telnet、ftp等協(xié)議的主要區(qū)別在于安全性，加密的方式主要有兩種：

• 對(duì)稱加密（密鑰加密）
• 非對(duì)稱加密（公鑰加密）

4.1 對(duì)稱加密

所謂對(duì)稱加密，指加密解密使用同一套秘鑰

下面舉個(gè)例子來(lái)簡(jiǎn)要說(shuō)明一下對(duì)稱加密的工作過(guò)程。甲和乙是一對(duì)生意搭檔，他們住在不同的城市。由于生意上的需要，他們經(jīng)常會(huì)相互之間郵寄重要的貨物。為了保證貨物的安全，他們商定制作一個(gè)保險(xiǎn)盒，將物品放入其中。他們打造了兩把相同的鑰匙分別保管，以便在收到包裹時(shí)用這個(gè)鑰匙打開(kāi)保險(xiǎn)盒，以及在郵寄貨物前用這把鑰匙鎖上保險(xiǎn)盒。

上面是一個(gè)將重要資源安全傳遞到目的地的傳統(tǒng)方式，只要甲乙小心保管好鑰匙，那么就算有人得到保險(xiǎn)盒，也無(wú)法打開(kāi)。

但是，如果這個(gè)鑰匙丟了，就不能解密了

• Client 端

• server端

4.3非對(duì)稱加密

為了應(yīng)對(duì)如何安全的保存密鑰這個(gè)棘手的問(wèn)題，非對(duì)稱加密應(yīng)運(yùn)而生。

非對(duì)稱加密有兩個(gè)密鑰：”公鑰“和”私鑰“

1、乙方生成一對(duì)密鑰（公鑰和私鑰）并將公鑰向其它方公開(kāi)。

2、得到該公鑰的甲方使用該密鑰對(duì)機(jī)密信息進(jìn)行加密后再發(fā)送給乙方。

3、乙方再用自己保存的另一把專用密鑰（私鑰）對(duì)加密后的信息進(jìn)行解密。乙方只能用其專用密鑰（私鑰）解密由對(duì)應(yīng)的公鑰加密后的信息。

在傳輸過(guò)程中，即使攻擊者截獲了傳輸?shù)拿芪?，并得到了乙的公鑰，也無(wú)法破解密文，因?yàn)橹挥幸业乃借€才能解密密文。

同樣，如果乙要回復(fù)加密信息給甲，那么需要甲先公布甲的公鑰給乙用于加密，甲自己保存甲的私鑰用于解密。

• 遠(yuǎn)程 Server 收到 Client 端用戶的登錄請(qǐng)求，Server 把自己的公鑰發(fā)給用戶
• Client 使用這個(gè)公鑰，將密碼進(jìn)行加密
• Client 將加密的密碼發(fā)送給 Server 端
• 遠(yuǎn)程 Server 用自己的私鑰，解密登錄密碼，然后驗(yàn)證其合法性
• 若驗(yàn)證結(jié)果，給 Client 相應(yīng)的響應(yīng)

正常情況下，在servera上ssh到serverb，因?yàn)椴恍湃?，所有要?wèn)你是否密碼驗(yàn)證，然后你需要輸入密碼才能ssh

#ssh-keygen -t rsa -P " -f ~/.ssh/id rsa

• -t 指定生成密鑰類型 (rsa、dsa、ecdsa 等)
• -p 指定 passphrase，用于確保私鑰的安全
• -f 指定存放密鑰的文件 (公文件默認(rèn)和私鑰同目錄下，不同的是，存放公鑰的文件名需要加上后綴.pub)

這樣就生成了私鑰和公鑰

復(fù)制公鑰到管理節(jié)點(diǎn)

拷貝xxx-ip節(jié)點(diǎn)的root用戶家目錄下的.ssh目錄下

ssh-copy-id root@xxx-ip?

然后接下來(lái)ssh到serverb，不再需要密碼，因?yàn)閟ervera和serverb之間已經(jīng)互相信任，二者采用了非對(duì)稱加密進(jìn)行ssh協(xié)議

總結(jié)

以上為個(gè)人經(jīng)驗(yàn)，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。

最新評(píng)論