Linux遠程服務之OpenSSH配置

1.使用SSH訪問遠程命令行

1.1 OpenSSH 簡介

OpenSSH 這一術語指系統中使用的Secure<br/>Shell軟件的軟件實施。用於在遠程系統上安全運行Shell。如果你在可提供ssh服務的遠程Linux系統中擁有用戶賬戶,則ssh是通常用來遠程登錄到該系統的命令。ssh命令也可用於在系統中運行命令。

常見的遠程登錄工具有：

telnet //遠程登錄協議，23/TCP
認證明文
數據傳輸明文
ssh //Secure Shell ，應用層協議，22/TCP
通信過程及認證過程是加密的，主機認證
用戶認證過程加密
數據傳輸過程加密
dropbear //嵌入式系統專門的SSH服務器端和客戶服工具

1.2 SSH版本

openssh有兩個版本，分別爲v1和v2，其特點如下
v1 ： 基於CRC-32做MAC。無法防範中間人（man-in-middle） ×××
v2：雙方主機協議選擇安全的MAC方式。基於DH算法做密鑰交換，基於RSA或DSA算法身份認證
1.3 SSH 認證方式
openssh 有兩種認證方式，分別是：
基於口令認證
基於密鑰認證

1.4 openSSH 的工作模式

openSSH 是基於C/S架構工作的
服務器 //sshd，配置文件在/etc/ssh/sshd_config
客戶端 //ssh，配置文件在/etc/ssh/ssh_config
ssh-keygen 密鑰生成器
ssh-copy-id 將公鑰傳輸至遠程服務器
scp 跨主機安全複製工具

2.配置基於SSH密鑰的身份驗證

使用 ssh-keygen 命令生成密碼。將會生成私鑰~/.ssh/id_ras和~/.ssh/id_ras.pub.

生成ssh 密鑰後，密鑰將默認存儲在家目錄下的.ssh/目錄中。私鑰和公鑰的權限分別爲600和644。.ssh目前權限必須是700

在可以使用基於密鑰的身份驗證前，需要將公鑰複製到目標系統上。可以使用ssh-copy-id

通過ssh-copy-id 將密鑰複製到另一系統時，它默認複製~/.ssh/id_rsa.pub文件
SSH密鑰演示

1.使用ssh-keygen 創建公鑰-私鑰對

[root@doudou ~]# ssh-keygen -t rsa

2.使用 ssh-copy-id 將公鑰複製到遠程系統上的正確位置

[root@doudou ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub [email protected]
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
[email protected]'s password:
Number of key(s) added: 1
Now try logging into the machine, with:   "ssh '[email protected]'"
and check to make sure that only the key(s) you wanted were added.

3.使用ssh 命令無命令登錄遠程主機

[root@doudou ~]# ssh [email protected]
Last login: Mon Jul 30 15:23:25 2018 from 192.168.24.1

4.使用scp 命令傳送文件到遠程主機

[root@doudou ~]# scp lin.txt [email protected]:/root
[root@doudou ~]# ls
anaconda-ks.cfg  lin.txt

---

scp命令常用選項

-r 遞歸複製
-p 保持權限
-P 端口
-q 靜默模式
-a 全部複製

自定義SSH服務配置

雖然OpenSSH服務器通常無需修改，但會通過其他安全措施，可以在配置文件/etc/ssh/sshd_config中修改OpenSSH服務器的各個方面。

PermitRootLogin yes 是否允許root用戶遠程登錄系統
PermitRootLogin without-password 僅允許root用戶基於密鑰方式遠程登錄
PasswordAuthentication 是否啓用密碼身份驗證，默認開啓

SSH 安全注意事項

密碼應該經常換且足夠複雜

[root@doudou ~]# openssl rand 20 -base64
pCsFZMQhp/wWJTSm9gqMRerpwu8= 生成20位隨機密碼

使用非默認端口
限制登錄客戶端地址
僅監聽特定的IP地址
禁止管理員直接登錄
AllowUsers
AllowGroups
使用基於密鑰的認證
禁止使用空密碼
禁止使用SSHv1v版本
設定空閒會話超時時長
利用防火牆設置SSH訪問策略
限制SSH的訪問頻度和併發在線數
做好日誌的備份，經常分析（集中於某臺服務器）

作業

1.說明密鑰認證的過程

在一客戶端創建公鑰-私鑰對，私鑰和公鑰的權限分別爲600和644。.ssh目前權限必須是700將公鑰複製到遠程系統上的.ssh目錄下，由於是第一次鏈接 需要輸入遠程系統上的密碼，然後使用ssh命令登錄遠程主機，此時不需要密碼即可直接登錄，此時通過ip all 查看當前所在IP 檢查得此時IP爲遠程系統上的IP地址

2.手動配置密鑰認證的過程

1.使用ssh-keygen 創建公鑰-私鑰對

[root@doudou ~]# ssh-keygen -t rsa

2.使用 ssh-copy-id 將公鑰複製到遠程系統上的正確位置

[root@doudou ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub [email protected]
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
[email protected]'s password:
Number of key(s) added: 1
Now try logging into the machine, with:   "ssh '[email protected]'"
and check to make sure that only the key(s) you wanted were added.

3.使用ssh 命令無命令登錄遠程主機

[root@doudou ~]# ssh [email protected]
Last login: Mon Jul 30 15:23:25 2018 from 192.168.24.1
[root@linfan ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
link/ether 00:0c:29:bb:9c:fb brd ff:ff:ff:ff:ff:ff
inet 192.168.24.130/24 brd 192.168.24.255 scope global dynamic eth0
valid_lft 1578sec preferred_lft 1578sec
inet6 fe80::5353:99b9:5c65:43ba/64 scope link
valid_lft forever preferred_lft forever