文章目录
- 一： OpenSSH 简介
- 二：OpenSSH的作用
- 三：OpenSSH的工作模式
- 四：OpenSSH使用
- 五 SSH 主机密钥
- 六：配置基于 SSH 密钥的身份验证
- 七：自定义 SSH 服务配置
- 八：SSH 安全注意事项 @H_404_25@
一： OpenSSH 简介
OpenSSH这一术语指系统中使用的Secure Shell软件的软件实施。用于在远程系统上安全运行shell。如果您在可提供ssh服务的远程Linux系统中拥有用户帐户，则ssh是通常用来远程登录到该系统的命令。ssh命令也可用于在远程系统中运行命令。
常用的远程工具
telnet //远程登录协议，23/TCP
认证明文
数据传输明文
ssh //Secure SHell，应用层协议，22/TCP
通信过程及认证过程是加密的，主机认证
用户认证过程加密
数据传输过程加密
dropbear //嵌入式系统专用的SSH服务器端和客户端工具
SSH 认证方式
openssh有两种认证方式，分别是：
-
基于口令认证：口令就是密码，这种方式需要输入密码，容易被破解，而且用起来很复杂。当有100台主机，你需要创建100个密码，全部一样，你管理的时候每台主机都要输入密码，那如果全部不一样呢，那就更麻烦了！！！
- @H_404_25@
二：OpenSSH的作用
OpenSSH提供了服务端后台程序和客户端工具，用来加密远程控制和文件传输过程中的数据，并由此来代替原来的类似服务。 OpenSSH是使用SSH透过计算机网络加密通讯的实现。
三：OpenSSH的工作模式
openSSH是基于C/S架构工作的。一台客户端，一台服务端。
ssh-keygen //密钥生成器,
ssh-copy-id //将公钥传输至远程服务器
scp //跨主机安全复制工具,传输工具
ssh-keygen是客户端生成密钥，不是服务端
四：OpenSSH使用
ssh + ip/主机名 直接连接：会使用当前用户身份直接去连接主机（必须当前用户在对面主机也存在，否则无法连接）
ssh user@ip/主机名：指定用户连接（指定user用户连接你想要连接的主机）
需要你输入密码是用户认证，先进行主机用证在进行用户验证，平时就是用户验证，就第一次验证需要输入yes，后面输入密码即可登录。第一次主机用证之后，本地就保存了，只要不更改公钥后面都是默认的
ssh命令常用选项：
// 使用192.168.91.133连接192.168.91.135
// 查看要连接的主机的ip信息
[root@centos2 ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNowN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens32: <broADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 00:0c:29:5b:3b:74 brd ff:ff:ff:ff:ff:ff
inet 192.168.91.135/24 brd 192.168.91.255 scope global dynamic noprefixroute ens32
valid_lft 1241sec preferred_lft 1241sec
inet6 fe80::29db:511:eca0:9fec/64 scope link noprefixroute
valid_lft forever preferred_lft forever
//查看centos2的文件
[root@centos2 ~]# ls
abc anaconda-ks.cfg
//开始连接
[root@centos1 ~]# ssh 192.168.91.135
The authenticity of host '192.168.91.135 (192.168.91.135)' can't be established.
ECDSA key fingerprint is SHA256:5pPUIiez/akZsk/v0W86vbS3d2uq5xaByrIC/cUqR5E.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '192.168.91.135' (ECDSA) to the list of kNown hosts.
[email protected]'s password:
Last login: Sat Sep 25 20:22:34 2021 from 192.168.91.133
//连接之后查看文件是否一样
[root@centos2 ~]# ls
abc anaconda-ks.cfg
//退出连接
[root@centos2 ~]# exit
logout
Connection to 192.168.91.135 closed.
//查看centos1文件
[root@centos1 ~]# ls
anaconda-ks.cfg
- 使用用户通过ip地址/主机名 远程连接
//使用用户远程连接
[root@centos1 ~]# ssh [email protected]
[email protected]'s password:
Last login: Sat Sep 25 20:55:01 2021 from 192.168.91.133
[root@centos2 ~]# ls
abc anaconda-ks.cfg
[root@centos1 ~]# exit
logout
Connection to 192.168.91.135 closed.
//在192.168.91.135上查看192.168.91.133是否还在使用本主机
[root@centos2 ~]# w
21:05:15 up 1:17, 3 users, load average: 0.04, 0.09, 0.08
USER TTY FROM LOGIN@ IDLE Jcpu Pcpu WHAT
root pts/0 192.168.91.1 20:54 0.00s 0.01s 0.00s w
root pts/1 192.168.91.1 20:54 10:48 1.35s 1.34s top
root pts/2 192.168.91.133 21:05 3.00s 0.00s 0.00s -bash
[root@centos1 ~]# ls
anaconda-ks.cfg
[root@centos1 ~]# touch amu
//使用scp命令将文件amu传送到远程主机
[root@centos1 ~]# scp amu [email protected]:/tmp
[email protected]'s password:
amu 100% 0 0.0KB/s 00:00
[root@centos1 ~]# ls
amu anaconda-ks.cfg
//使用scp命令将文件amu下载到本地主机
[root@centos2 ~]# scp [email protected]:/tmp/amu /root/
[email protected]'s password:
amu 100% 0 0.0KB/s 00:00
[root@centos2 ~]# ls
abc amu anaconda-ks.cfg
五 SSH 主机密钥
管理的时候第一步就是要进行主机认证
ssh使用公钥加密的方式保持通信安全，当某一台ssh客户端想要连接ssh服务器时，客户端登录之前，服务器会像客户端发送公钥副本。使其通信渠道安全加密，并验证客户端的服务器本地保存的公钥是否一致，不一样无法连接、一样则匹配成功进行连接。
//客户端主机公钥存储在 ~/.ssh/kNown_hosts 中
[root@centos1 ~]# cat ~/.ssh/kNown_hosts
192.168.91.135 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBPQs5n7tztRrOWUuqW99/FoDAqN8k+WBkMgjKWu+VySvOVAAmEysHJTznMW48BL70Ad7FjDFcpjLV9nnWcsfyks=
192.168.91.133 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBE9YQ0YFb3i+hRtBvSJO/38aDx6bg5SZuHQbkfcKCuj2vorkAlIU+Ugv9k+Jc/N9vdrCf8LwNIg2vRpu+LpulfI=
//服务端私钥存储在 /etc/ssh/ssh_host_key* 中
[root@centos1 ~]# ls /etc/ssh/*key*
/etc/ssh/ssh_host_ecdsa_key
/etc/ssh/ssh_host_ecdsa_key.pub
/etc/ssh/ssh_host_ed25519_key
/etc/ssh/ssh_host_ed25519_key.pub
/etc/ssh/ssh_host_rsa_key
/etc/ssh/ssh_host_rsa_key.pub
//带有.pub的是公钥，不带的是私钥
//有三套密钥，默认使用ecdsa_key
生成的密钥是一对：
公钥：给别人的（给需要连接的主机，来匹配本地主机）
私钥：留个自己的（留在本地）
如果服务器的公钥发生更改（由于硬盘出现故障导致公钥丢失，或者出于某些正当理由替换公钥），用户则需要更新其~/.ssh/kNown_hosts文件并删除旧的条目才能够进行登录。
六：配置基于 SSH 密钥的身份验证
用户可通过使用公钥身份验证进行ssh登录身份验证。ssh允许用户使用私钥-公钥方案进行身份验证。这意味着将生成私钥和公钥这两个密钥。私钥文件用作身份验证凭据，像密码一样，必须妥善保管。公钥复制到用户希望登录的系统，用于验证私钥。公钥并不需要保密。拥有公钥的ssh服务器可以发布仅持有您私钥的系统才可解答的问题。因此，可以根据所持有的密钥进行验证。如此一来，就不必在每次访问系统时键入密码，但安全性仍能得到保证。
使用ssh-keygen命令生成密码。将会生成私钥~ /.ssh/id_rsa和公钥~/.ssh/id_rsa.pub。
注意：
生成密钥时，系统将提供指定密码的选项，在访问私钥时必须提供该密码。如果私钥被偷，除颁发者之外的其他任何人很难使用该私钥，因为已使用密码对其进行保护。这样，在攻击者破解并使用私钥前，会有足够的时间生成新的密钥对并删除所有涉及旧密钥的内容。
生成ssh密钥后，密钥将默认存储在家目录下的.ssh/目录中。私钥和公钥的权限就分别为600和644。.ssh目录权限必须是700。
在可以使用基于密钥的身份验证前，需要将公钥复制到目标系统上。可以使用ssh-copy-id完成这一操作
ssh-keygen命令常用选项：
//使用ssh-keygen创建私钥
[root@centos1 ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:T2mAB0RcKfmKQWobL78c0nC9Du+XYc0B+2fwgyG+fTY root@centos1
The key's randomart image is:
+---[RSA 3072]----+
| ++o.. |
| . +oo |
| o .ooo |
| + .. .+.+. |
| ..+.o.oS=+* |
| o+o ..++= = |
| .o+ .. =.o . |
| o.= + . E |
| oo+. o . |
+----[SHA256]-----+
[root@centos1 ~]# ssh [email protected]
[email protected]'s password:
//使用 ssh-copy-id 将公钥复制到远程系统上的正确位置
[root@centos1 ~]# ls .ssh/
id_rsa id_rsa.pub kNown_hosts
[root@centos1 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub [email protected]
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted Now it is to install the new keys
[email protected]'s password:
Number of key(s) added: 1
Now try logging into the machine, with: "ssh '[email protected]'"
and check to make sure that only the key(s) you wanted were added.
//无需输入密码远程连接
[root@centos1 ~]# ssh [email protected]
Last login: Sat Sep 25 21:05:12 2021 from 192.168.91.133
[root@centos2 ~]# ls
abc amu anaconda-ks.cfg
//查看ip
```[root@centos2 ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNowN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens32: <broADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 00:0c:29:5b:3b:74 brd ff:ff:ff:ff:ff:ff
inet 192.168.91.135/24 brd 192.168.91.255 scope global dynamic noprefixroute ens32
valid_lft 1336sec preferred_lft 1336sec
inet6 fe80::29db:511:eca0:9fec/64 scope link noprefixroute
valid_lft forever preferred_lft forever
七：自定义 SSH 服务配置
虽然OpenSSH服务器通常无需修改，但会提供其他安全措施，可以在配置文件/etc/ssh/sshd_config中修改OpenSSH服务器的各个方面。
PermitRootLogin {yes|no} //是否允许root用户远程登录系统
PermitRootLogin without-password //仅允许root用户基于密钥方式远程登录
PasswordAuthentication {yes|no} //是否启用密码身份验证，默认开启
八：SSH 安全注意事项
密码应该经常换且足够复杂
// 生成100位的密码
[root@centos2 ~]# tr -dc A-Za-z0-9_ < /dev/urandom | head -c 1000 |xargs
g4MzAsparvD_FVgC4LX1kw74tSusyKs9DS5z6kjwInqMxWPLHSuFIw2qvWkJhXwnenxyS8U6TznnVP2uF6J50vceSx0Dz9T5RT0divfSI29wmMqgqfZbc4mHZXsXhgAIPV2AzB5Iw5GLZTzeOJceAMhlo9JP2W0J8M5kHvejFFH3O_wVV5pnYTeJMfFPKTDd3TWXBrZTeqy6kydwrBR1mNPF4LQPbmlRZ_X8iF3lSSAEmvmSxpgWNH4CQqAfzHIryZ7ABHcZ8TdmG6oDteeG3caHfcK0th4uJo3ZeQLYZt5DO4tfa46tbVUYlOLICdBI4GXHTvMydWfMaxKKiypm06m3FS22RGDnrKFaRtVF7LDxppikOXt8RwSMSdONegfSqjvd0aKNnIa3ascraYevedbRXtP9xgxacY9pjb7e_J9vovPMIkD7wsGwSix8hFxN0xaHtX4Fd1BN12ZROS5UYy5edBMjsgkF4fxLyhqT27MDVqrzRRXwyp4Drs8PHP1ayuP3acbRxo6DMqOWUqVT9UROUD9p5bE8AFFpWd2x8SFtRfNDIIjR6LceZ1sYJroSRNiAX10d3mPsnQ6HrmJ6u28Z1Dbl5figUn5MWmyb2sez7pE_Hfzbq4mRYG8pqwo1txLzOX9IiKsTFc8pUoSHYlyh66GlvHN1Z7kgAZ1TA1nRIWv3cI8IjzzReaUCY9ji27B7LUa5QZgIZqljj6ikRuPeBoYBJKjevO4dff67QIPIfI7BhLFxORW4ktPDgeBS2u5yWj_o6VsguQQepY4iv8VI4KnsOYfkusSY_XWYhCIeFpdtDCnVbYPCpQPLDgff311epf9_rHJ9vJwchw8pyv1w2gifEDVlqKZuOR4NmOHPkR6x0geW0fp4DWOgx3YzN1alWGizTnpi5KcM_ceGHtzZC7cfvQSdplRtQbS8KqXcbytvi7LYsBP4AUcbqdb6Nw8B4Jw89HpPt3qGPLCDhFdYW0oi0MZEb2BwYcyt
