Bootstrap

详解ssh远程登录服务

目录

简介

概念

  • 远程连接服务器通过文字接口或图形接口方式来远程登录系统，让你在远程终端前登录Linux主机以取得可操作主机接口(shell)，而登录后的操作感觉就像坐在系统前面一样

功能

  • 分享主机的计算能力
  • 服务器类型：有限度开放连接
  • 工作站类型：只对内网开放

分类

文字接口

  • 明文传输：Telnet，RSH等，目前非常少用

图形接口

  • XDMCP,VNC,XRDP等

文字接口ssh连接服务器

  • ssh(Secure Shell Protocol，安全壳程序协议)由IETF的网络小组（Network Working Group）所制定，可以通过数据包加密技术将等待传输的数据包加密后在传输都网络上
  • ssh协议本省提供两个服务器功能：
    • 一个是类似telnet的远程连接使用shell的服务器。
    • 另一个是类似ftp服务的sftp-server,提供更安全的ftp服务。

介绍加密技术

明文：原始消息
密文：加密后的消息
密钥：加解密的关键参数
加密算法：替换，位置移动等等

凯撒加密

明文：hello
密钥：3
参考：
abcdefghijklmnopq...
defghijklmnopqrstuv...
密文：KHOOR

加密分类

对称加密

加密使用同一个密钥，DES（加密算法）

非对称加密

加解密双方各用一对密钥，公钥和私钥

  • 公钥：公共密钥，存储在公共的设备上，任何用户都可以获取
  • 私钥：私有密钥，存储在个人计算机设备上，只有自己可以使用
  • 使用公钥加密必须使用私钥加密，使用私钥加密必须使用公钥解密

非对称加密方法（也叫公钥加密）

alice   私钥a
bob    私钥b
公钥a   公钥b
1.bob  公钥b加密 <------>  alice  私钥b解密   （不成立）
2.bob  公钥a加密 <------>  alice  私钥a解密   （能保证数据安全，但不能保证身份验证）
3.bob  私钥b加密 <------> alice   公钥b解密   （能进行身份验证，但不能保证数据安全）
4.bob  私钥a加密 <------> alice  公钥a解密    （不成立）

所以，在生产中，也就只能使用23方法

非对称加密使用rsa算法
数字证书

ssh两大类认证方式：

传统的密码认证
密钥认证

连接加密技术简介

  • 目前常见的网络数据包加密技术通常是通过非对称密钥系统来处理的
  • 主要通过两把不一样的公钥与私钥来进行加密与解密的过程

密钥解析

  • 公钥（public key）：提供给远程主机进行数据加密的行为，所有人都可获得你的公钥来将数据加密。
  • 私钥（private key）：远程主机用你的公钥加密的数据，在本地端就能使用私钥来进行加密，私钥只有自己拥有。

ssh工作过程

  • 服务端与客户端要经历如下5个阶段
过程说明
版本号协商阶段SSH目前包括SSH1和SSH2两个版本，双方通过版本协商确定使用的版本
密钥和算法协商阶段SSH支持多种加密算法，双方根据本端和对端支持的算法，协商出最终使用的算法
认证阶段SSH客户端向服务器端发起认证请求，服务器端对客户端进行认证
会话请求阶段认证通过后，客户端向服务器端发送会话请求
交互会话阶段会话请求通过后，服务器端和客户端进行信息的交互

版本协商阶段

  • 服务器端打开端口22（端口不会单独出现，必须和upd和tcp进行绑定），等待客户端连接；
  • 客户端向服务器端发起TCP初始连接请求，TCP连接建立后，服务器向客户端发送第一个报文，包括版本标志字符串，格式为SSH-<主协议版本号>.<次协议版本号>.<软件版本号>，协议版本号由主版本号和次版本号组成，软件版本号主要是为调试使用。
  • 客户端收到报文后，解析该数据包，如果服务器的协议版本号比自己的低，且客户端能支持服务器端的低版本，就使用服务器端的低版本协议号，否则使用自己的协议版本号。
  • 客户端回应服务器一个报文，包含了客户端决定使用的协议版本号。服务器比较客户端发来的版本号，决定是否能同客户端一起工作。如果协商成功，则进入密钥和算法协商阶段，否则服务器断开TCP连接
  • 注意：上述报文都是采用明文方式传输

密钥和算法协商阶段

  • 服务器端和客户端分别发送算法协商报文给对端，报文中包含自己支持的公钥算法列表、加密算法列表、MAC（Message Authentication Code，消息验证码）算法列表、压缩算法列表等等

  • 服务器端和客户端根据对端和本端支持的算法列表得出最终使用的算法

  • 服务器端和客户端利用DH交换（Diffie-Hellman Exchange）算法、主机密钥对等参数，生成会话密钥和会话ID。

  • 由此，服务器端和客户端就取得了相同的会话密钥和会话ID。对于后续传输的数据，两端都会使用会话密钥进行加密和解密，保证了数据传送的安全。在认证阶段，两端会使用会话用于认证过程

  • 会话密钥的生成：

    • 客户端需要使用适当的客户端程序来请求连接服务器，服务器将服务器的公钥发送给客户端。（服务器的公钥产生过程：服务器每次启动sshd服务时，该服务会主动去找/etc/ssh/ssh_host*文件，若系统刚装完，由于没有这些公钥文件，因此sshd会主动去计算出这些需要的公钥文件，同时也会计算出服务器自己所需要的私钥文件。）
    • 服务器生成会话ID，并将会话ID发给客户端。
    • 若客户端第一次连接到此服务器，则会将服务器的公钥数据记录到客户端的用户主目录内的~/.ssh/known_hosts。若是已经记录过该服务器的公钥数据，则客户端会去比对此次接收到的与之前的记录是否有差异。客户端生成会话密钥，并用服务器的公钥加密后，发送给服务器。
    • 服务器用自己的私钥将收到的数据解密，获得会话密钥。
    • 服务器和客户端都知道了会话密钥，以后的传输都将被会话密钥加密

认证阶段（两种认证方法）

  • 基于口令的认证（password认证）：客户端向服务器发出password认证请求，将用户名和密码加密后发送给服务器，服务器将该信息解密后得到用户名和密码的明文，与设备上保存的用户名和密码进行比较，并返回认证成功或失败消息。
  • 基于密钥的认证（publickey认证）：
    • 客户端产生一对公共密钥，将公钥保存到将要登录的服务器上的那个账号的家目录的.ssh/authorized_keys文件中
    • 认证阶段：客户端首先将公钥传给服务器端。服务器端收到公钥后会与本地该账号家目录下的authorized_keys中的公钥进行对比，如果不相同，则认证失败；否则服务端生成一段随机字符串，并先后用客户端公钥和会话密钥对其加密，发送给客户端。客户端收到后将解密后的随机字符串用会话密钥发送给服务器。如果发回的字符串与服务器端之前生成的一样，则认证通过，否则，认证失败。
  • 注：服务器端对客户端进行认证，如果认证失败，则向客户端发送认证失败消息，其中包含可以再次认证的方法列表。客户端从认证方法列表中选取一种认证方法再次进行认证，该过程反复进行。直到认证成功或者认证次数达到上限，服务器关闭连接为止

ssh服务配置

安装ssh

[root@server ~]# yum install openssh-server -y

[root@server ~]# systemctl status sshd

在这里插入图片描述

21.#Port 22  # 默认监听22端口,可修改
22.#AddressFamily any  # IPV4和IPV6协议家族用哪个，any表示二者均有
23.#ListenAddress 0.0.0.0 # 指明监控的地址，0.0.0.0表示本机的所有地址(默认可修改)
24.#ListenAddress :: # 指明监听的IPV6的所有地址格式

26.#HostKey /etc/ssh/ssh_host_rsa_key     # rsa私钥认证,默认
27.#HostKey /etc/ssh/ssh_host_ecdsa_key   # ecdsa私钥认证
28.#HostKey /etc/ssh/ssh_host_ed25519_key # ed25519私钥认证


34 #SyslogFacility AUTH  # ssh登录系统的时会记录信息并保存在/var/log/secure
35.#LogLevel INFO   # 日志的等级

39.#LoginGraceTime 2m   # 登录的宽限时间，默认2分钟没有输入密码，则自动断开连接
40 #PermitRootLogin prohibit-password  # 只允许root以密钥形式登录，不能以密码的方式登录 可以设置PermitRootLogin yes，允许管理员登录
41.#StrictModes yes   # 是否让sshd去检查用户主目录或相关文件的权限数据
42.#MaxAuthTries 6  # 最大认证尝试次数，最多可以尝试6次输入密码。之后需要等待某段时间后才能再次输入密码
43.#MaxSessions 10   # 允许的最大会话数

49.AuthorizedKeysFile .ssh/authorized_keys # 选择基于密钥验证时，客户端生成一对公私钥之后，会将公钥放到.ssh/authorizd_keys里面
65 #PasswordAuthentication yes  # 登录ssh时是否进行密码验证
66 #PermitEmptyPasswords no    # 登录ssh时是否允许密码为空

……
123.Subsystem sftp /usr/libexec/openssh/sftp-server #支持 SFTP ，如果注释掉，则不支持sftp连接
AllowUsers user1 user2 #登录白名单（默认没有这个配置，需要自己手动添加），允许远程登录的用户。如果名单中没有的用户，则提示拒绝登录

在这里插入图片描述

实验1

实验目的：配置ssh监听端口号

  • 第一步：server端操作，编辑配置文件
[root@server ~]# vim /etc/ssh/sshd_config

Port 2222    # 修改第21行参数，去掉#，改为2222
  • 第二步：server端操作，重启服务
[root@server ~]# systemctl  restart  sshd

[root@server ~]# netstat -ntlp  # 查看端口号是否改变
  • 第三步：node1端操作，ssh登录服务器
[root@node1 ~]# ssh [email protected]  # 默认登录会被拒绝，因为已经把端口号改成2222
ssh: connect to host 192.168.80.129 port 22: Connection refused

[root@node1 ~]# ssh  -p 2222  [email protected]  # 使用-p执行端口登录
  • 注意：修改ssh端口号必须关闭selinux，或者说只要涉及修改端口的操作，都需要关闭selinux
# 定位server端，修改回原来的22端口
# 可用:set nu查看行号
[root@server ~]# vim  /etc/ssh/sshd_config
Port 22    # 修改第21行参数，改为22 
[root@server ~]# systemctl restart sshd
[root@server ~]# netstat  -ntlp

# 开启selinux
[root@server ~]# vim  /etc/selinux/config #进入selinux配置文件
SELINUX=enforcing  # 改为enforcing即开启
[root@server ~]# reboot   # 重启生效，等待
[root@server ~]# vim  /etc/ssh/sshd_config  # 重新修改端口号为2222
Port 2222

#重启服务后会报错，selinux会拦截端口号修改
[root@server ~]# systemctl restart sshd
Job for sshd.service failed because the control process exited with error code.
See "systemctl status sshd.service" and "journalctl -xeu sshd.service" for details.  # 输入这两条提示命令可以进行排错
[root@server ~]# setenforce  0   # 临时关闭selinux，为1表示开启selinux
[root@server ~]# getenforce      # 查看selinux状态
Permissive                       # 临时关闭，不拦截但会记录行为

[root@server ~]# systemctl restart sshd    # 临时关闭selinux后重启服务成功
  • 注意：修改端口这类的系统参数，需要关闭selinux或配置selinux让其放行

实验2

  • 实验目的：拒绝root账户远程登录
  • 方法：使用配置文件中的permitrootlogin参数进行实现
  • 参数值：
参数类别是否允许ssh登录登录方式交互shell
yes允许无限制无限制
no不允许无无
prohibit-password允许仅允许使用密码无限制
forced-commands only允许仅允许密钥授权的口令
  • 定位server，编辑配置文件
[root@server ~]# vim /etc/ssh/sshd_config
PermitRootLogin no  # 将yes改成no,表示拒绝以root身份登录服务器

[root@server ~]# systemctl restart sshd
  • 定位node，测试远程登陆
[root@node ~]# ssh [email protected]  #做完实验1后记得将端口改回22
[email protected]'s password:          #输入正确密码后他还是不会登进去
Permission denied, please try again.

实验3

  • 实验目的：虚拟机之间实现免密登录
    在学习前，介绍一些基础知识
  • ssh-keygen命令：用于生成，管理密钥
    • -t：指定加密类型
    • rsa：rsa公钥加密算法，可以产生公钥和私钥
    • 注意：执行后对应账户目录下的隐藏目录.ssh中会有2个文件：
      • /root/.ssh/id_rsa：本机私钥文件
      • /root/.ssh/id_rsa.pub：本机公钥文件
  • 一、定位server，制作公私钥对
# 一路enter就行
[root@server ~]# ssh-keygen -t rsa  

# 可以查看一下公钥
[root@server ~]# cd .ssh
[root@server .ssh]# ls
id_rsa  id_rsa.pub
[root@server .ssh]# cat id_rsa.pub
  • 二、server，将公钥上传
[root@server .ssh]# ssh-copy-id [email protected]
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
The authenticity of host '192.168.160.138 (192.168.160.138)' can't be established.
ED25519 key fingerprint is SHA256:0faRMPeYjGXNZ+rwDlETGmtKsWz+7H/kIbEYu23En68.
This key is not known by any other names
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys

Authorized users only. All activities may be monitored and reported.
[email protected]'s password:

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh '[email protected]'"
and check to make sure that only the key(s) you wanted were added.
  • 三、在server端进行测试，登录node
[root@server .ssh]# ssh [email protected]  #无需密码即可登录
  • 四、目的是双向登录，只需要在node端制作公私钥对，上传给server(与上面的步骤一样)
[root@node ~]# ssh-keygen -t rsa  #当这条命令一执行后，就会在当前用户的家目录下会有一个.ssh的目录，.ssh下会有id_rsa 和 id_rsa.pub

[root@node ~]# ssh-copy-id [email protected]  # 当这条命令执行后，192.168.80.130这台主机上的当前用户的家目录下的.ssh目录下会出现authorized_keys这个文本

[root@node ~]# ssh  [email protected]

Authorized users only. All activities may be monitored and reported.

Authorized users only. All activities may be monitored and reported.
Last login: Sun Sep  8 21:58:29 2024 from 192.168.160.1


Welcome to 5.10.0-182.0.0.95.oe2203sp3.x86_64

System information as of time:  2024年 09月 08日 星期日 22:00:32 CST

System load:    0.00
Processes:      145
Memory used:    10.5%
Swap used:      0%
Usage On:       12%
IP address:     192.168.160.137
Users online:   3


[root@server ~]#

实验4

  • x-shell使用密钥登录
  • 之前xshell使用的时密码登录，现在通过密钥的配置，实现无密码登录
# 注意：以下步骤检查后若有authorized_keys文件则可忽略

# 先在服务器端检查/root/.ssh/authorized_keys是否存在，它是存储公钥的文件，若不存在需要创建

# 服务器端操作
[root@server ~]# cd /root
[root@server ~]# ls -a   # 先检查
[root@server ~]# mkdir .ssh
[root@server ~]# cd .ssh
[root@server .ssh]# vim authorized_keys
#有时需要注意.ssh目录的权限

ssh-keygen

ssh-keygen是一个用于生成、管理和转换认证密钥的工具，他主要用于SSH（Secure Shell）协议中，以提供安全的远程登录和其他网络服务。ssh-keygen命令带有多个参数，允许用户定制密钥的生成和管理过程。下面是一些常用的ssh-keygen参数及其说明：
1.-t type

  • 指定要创建的密钥类型。type可以是rsa,ecdsa,ed25519,dsa等。例如，-t rsa会生成一个RSA密钥对。
[root@server ~]# ssh-keygen -t  #后面课跟dsa         ecdsa       ecdsa-sk    ed25519     ed25519-sk  rsa

2.-b bits

  • 对于某些密钥类型（如RSA），这个选项允许你指定密钥的位数。较大的位数回提供更强的安全性，但也会减慢密钥的生成和使用速度，例如，-b 4096会生成一个4096位的RSA密钥。

3.-C comment

  • 提供一个新注释，该注释将被添加到公钥和私钥文件中。这对于在拥有多个密钥时区分它们很有用。

4.-f filename

  • 指定私钥文件的名称。如果不指定，ssh-keygen会将私钥保存在用户的~/.ssh目录下，并使用默认的文件名（如id_rsa就是RSA密钥）

5.-P passphrase

  • 提供用于加密私钥的密码短语（passphrase）。出于安全考虑，建议使用密码短语来保护私钥。注意，出于安全考虑，直接在命令行中提供密码短语可能回通过进程列表泄露，因此更安全的做法的是让ssh-keygen提示你输入密码短语。

6.-p

  • 更改私钥的密码短语。使用这个选项，你需要先指定私钥文件（使用-f选项），然后系统会提示你输入旧密码短语和新密码短语。

7.-N new_passphrase

  • 与 -p 选项一起使用时，-N 用于指定新的密码短语，这样就不需要手动输入新密码短语了。但请注意，出于安全考虑，直接在命令行中提供密码短语可能会带来风险。

8.-e

  • 导出私钥，用于将现有的私钥或公钥导出到其他格式。主要用途是将 OpenSSH 格式的密钥转换为 RFC 4716（SSH2 公钥）格式。

9.-i

导入私钥，用于导入一个已经存在的密钥文件，并将其转换为 OpenSSH 格式。常用于将 RFC 4716（SSH2 公钥）格式密钥导入并转换成 OpenSSH 支持的格式。

10.-l

  • 显示公钥的指纹。这对于验证公钥的身份很有用，因为指纹是一个简短的、易于识别的字符串，代表了公钥的哈希值。

11.-y

  • 导出公钥。这允许你将私钥的公钥部分导出到文件中，通常用于在服务器上配置SSH公钥认证。

ssh-keygen的这些参数提供了灵活性和安全性，使用户能够根据自己的需求生成和管路SSH密钥。记得在生成密钥的选择强密码短语来保护私钥，并妥善保管这些密钥文件，以防止未授权访问。

ssh-copy-id

ssh-copy-id是一个用于将本地用户的公钥复制到远程主机的authorized-keys文件中 ，以实现SSH公钥身份验证的工具。这使得用户可以通过密钥对其进行SSH，而无需输入密码，一下是ssh-copy-id 命令的一些常用参数及其详解：
1.-i [identity_file]

  • 指定要复制的公钥文件。如果不指定，则默认为 ~/.ssh/id_rsa.pub。如果你有多个公钥，可以使用此选项指定其他公钥文件。

2.-p port

  • 指定远程主机的 SSH 服务端口。如果不指定，则默认为 SSH 的标准端口 22。

3.-n

  • 测试模式，不会实际复制公钥。这可以用于检查命令的执行过程，但不会修改远程主机的 authorized_keys 文件。

4.-f

  • 强制模式，即使远程主机的 authorized_keys 文件已经存在且包含相同的公钥，也会尝试复制公钥。这通常用于覆盖或更新远程主机的公钥。

5.-o ssh_option

  • 允许指定其他 SSH 客户端选项。这可以用于调整 SSH 连接的行为，如设置超时时间、启用压缩等。

6.[user@]hostname

  • 目标主机的用户名和主机名或 IP 地址。这是命令的必需部分，用于指定要将公钥复制到的远程主机。

注意事项

  • 在使用 ssh-copy-id之前，请确保你的本地公钥文件已经生成，并且你有权限访问远程主机。
  • 如果远程主机的 ~/.ssh 目录或 authorized_keys 文件不存在，ssh-copy-id 会自动创建它们，并设置适当的权限。
  • 如果远程主机的 sshd 配置要求使用密码认证，则你可能需要在首次执行 ssh-copy-id 时输入密码。一旦公钥被添加到 authorized_keys文件中，你就可以使用密钥对进行 SSH 登录，而无需再输入密码。
  • ssh-copy-id 命令也会检查远程主机的 ~/.ssh 目录和 authorized_keys 文件的权限，以确保它们符合 SSH 的安全要求。如果权限设置不正确，ssh-copy-id 可能会失败或给出警告。

悦读

道可道，非常道；名可名，非常名。 无名，天地之始，有名，万物之母。 故常无欲，以观其妙，常有欲，以观其徼。 此两者，同出而异名，同谓之玄，玄之又玄，众妙之门。

最新收录
java中全局异常捕捉
机器学习 - 准备数据
linux（Mac）下查看文件编码及修改编码
【线性序列机-01】- 简介
SQL Server 跨数据库查询
【虚拟机】Windows（x86）上部署ARM虚拟机（Ubuntu）
网络安全 IP地址防泄漏指南
实践Prometheus+Grafana监控Mysql性能
基于ssm+vue家与流光装修公司【开题+程序+论文】-计算机毕业设计
【方向估计】稀疏阵列的L型阵列波达方向估计【含Matlab源码 7264期】
;