Openss服務的部署及安全優化
1.Openssh服務概述
2.實驗環境設置
3.ssh命令
4.Openssh服務的key認證
5.Openssh服務的常用配置參數
1.Openssh服務概述
1.Openssh功能介紹
2.ssh命令
3.Openssh的服務的key認證
4.Openssh服務的安全優化
Openssh功能概述
Openssh是ssh（secure shell）協議的免費開源軟件
軟件安裝名稱 Openssh-server
配置文件 /etc/ssh/sshd-conf
默認端口 22 ip:大門 接口：小門
客戶端命令 ssh
2.設置實驗環境
設置workstation IP地址，
ip addr show 看是否被設置好
同理:設置servera 的IP
設置完兩臺主機的地址後在servera中ping workstation
服務端，測試端？
Workstation:客戶端：用來做測試
Servera：服務端 在服務端設置，在測試端設置
設定火牆：連誰設定誰：servera
Cd 切換到家目錄 刪掉 .ssh文件（在兩臺主機中都進行操作）
網絡不穩定時：換一下網卡
1.真機中system tools virtual machine manager
2.Servera中 ip addr show 看要刪掉哪塊網卡 相應的mac 值
網卡換了之後要重新設定之前的步驟
3.Ssh命令
Ssh remoteUSER@remoteIP 遠程主機
| -l | 指定登錄用戶 |
|---|---|
| -i | 指定密鑰 |
| -X | 開啓圖形 |
| -p | 指定端口 |
| -f | 後臺運行 |
| -o | 指定連接參數 |
| -t | 指定連接跳板 |
Ssh @172.25.254.70 ssh -l root 172.25.254.70
w :查看哪些用戶登錄
w -i 看從哪裏登錄的
文本連接，不能開啓圖形
可以開啓遠程主機的圖形
打開的gedit進程在servera中，可以用ps aux | prep gedit 過濾
默認的接口爲22
佔用終端
不佔用終端 在遠程主機打開gedit 在後臺進行
用man 命令去查看幫助ssh -o 查看參數
-t
在servera上看到是1 連接的 ，把1作爲跳板
4.Openssh的key認證
Openssh認證方式
| 密碼認證 | 密鑰認證 |
|---|---|
| 1.至少6個字符 | 1.新型認證方式 |
| 2.包含數字，字母，下劃線特殊符號等 | 2.公鑰上傳服務器 |
| 3.易泄露 | 3.私鑰配對認證 |
| 4.可被暴力破解 | 4.***者一般無法通過密鑰登錄服務器 |
| 5.密碼容易丟失 |
公鑰：鎖頭 私鑰;密碼
Openssh key
支持rsa及dsa加密
加密方法
1.生成密鑰： ssh -keygen
2.上傳密鑰： ssh-copy-id -i keyfile remoteUSER@remoteIP
做實驗：先刪掉家目錄下的.ssh文件
Servera 服務器 做加密 用公鑰鎖，鎖服務器的用戶 有私鑰可以免密登錄，沒有的可以暴力破解（一直試），存在安全隱患，所以要關掉功能，沒有私鑰的就不能嘗試登錄
可以通過修改鎖，讓原本擁有私鑰的用戶就不能登錄，
1.ssh-keygen 回車，再回車 生成密鑰 公鑰，私鑰分別存放在不同文件中。
2，
3
鎖頭已經生成（公鑰）
誰想連servera 有密鑰的才能登錄 workstation 可以連，因爲有私鑰
沒有私鑰的不能免密登錄，但可以暴力破解，一直試，70主機認證存在安全隱患
所以要在servera中要關掉功能 （原始認證功能）
78行，把yes改爲no
功能關閉，沒有私鑰的1用戶無權進行嘗試登錄servera用戶
可以改掉密鑰名稱ssh服務無法識別，有密鑰的用戶也無法進行登錄，權限被拒絕
把密鑰名稱改回去，之前擁有私鑰的用戶就可以進行登錄
5.Openssh服務的常用配置參數
做實驗之前，把上個實驗所改動的原始認證功能還原
sshd服務常用相關配置參數
| 配置文件 | 配置參數 |
|---|---|
| /etc/ssh/sshd_config | Port 22 監聽端口 17行 |
| Protocol 2 指定協議版本 | |
| ListenAddress 綁定IP; | |
| Hostkey 設定hostkey密鑰路徑; | |
| Permitrootlogin 設定超級用戶是否能登錄 | |
| PubkeyAuthentication 公鑰認證開關 | |
| PasswordAuthentication 私鑰認證開關 | |
| AllowUsers 用戶白名單 | |
| DenyYUsers 用戶黑名單 |
做實驗之前 setenforce 0
1.在配置文件中改掉端口後 systemctl reload sshd 用netstat -anltupe | grep sshd查看端口號
2.綁定IP（有多個ip）指定只能連某個ip
只能去連接指定端口70
3.設定超級用戶是否能登錄 46行
Systemctl restart sshd 重啓（在servera中）
4.做完上一步的實驗要還原之前的數據
設置黑名單
westos用戶無法登錄
同理：設置白名單
只有白名單上的用戶可以登錄