远程访问及控制(SSH远程管理及TCP Wrappers 访问控制)

远程访问及控制(SSH远程管理及TCP Wrappers 访问控制)

目录

远程访问及控制(SSH远程管理及TCP Wrappers 访问控制)

SSH远程管理

定义

客户端和服务端

OpenSSH服务端的配置

SSHD服务支持两种验证方式

一、密码验证

二、秘钥对验证

实验

在客户机创建秘钥对

将公钥对上传至服务器

在服务器中导入公钥文本

TCP Wrappers 访问控制

TCP wrapper 保护机制的两种实现方式

TCP Wrappers 的访问策略

TCP Wrappers 机制的基本原则

 

SSH远程管理

定义

SSH(Secure Shell）是一种安全通道协议，主要用来实现字符界面的远程登录、远程复制等功能。
SSH协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入的用户口令。因此ssH协议具有很好的安全性。

客户端和服务端

SSH客户端: Putty、Xshell、CRT

SSH服务端:OpenSSH
OpenSSH是实现SSH协议的开源软件项目，适用于各种UNIX、Linux操作系统。
CentoS 7系统默认已安装openssh相关软件包，并已将 sshd 服务添加为开机自启动。

执行"systemctl start sshd"命令即可启动sshd 服务
sshd服务使用的默认端口号为22 服务端主程序: /usr/sbin/sshd
sshd服务的默认配置文件是/etc/ssh/ sshd config

OpenSSH服务端的配置

vim /etc/ ssh/sshd_config
Port 22                                  #监听端口为22
ListenAddress 0.0.0.0           #监听地址为任意网段，也可以指定OpenSSH服务器的具体IP
LoginGraceTime 2m             #登录验证时间为2分钟
PermitRootLogin no             #禁止 root用户登录
MaxAuthTries 6                    #最大重试次数为6
PermitEmptyPasswords no  #禁止空密码用户登录
UseDNS no                          #禁用DNS 反向解析，以提高服务器的响应速度
AllowUsers zhangsan lisi wangwu@61.23.24.25     #只允许zhangsan、lisi、wangwu用户登录，且其中wangwu用户仅能够从IP地址为61.23.24.25的主机远程登录#多个用户以空格分隔
DenyUsers zhangsan            #禁止某些用户登录，用法于AllowUsers 类似（注意不要与AllowUsers同时使用)

SSHD服务支持两种验证方式

一、密码验证

 对服务器中本地系统用户的登录名称、密码进行验证。简便，但可能会被暴力破解

二、秘钥对验证

 要求提供相匹配的密钥信息才能通过验证。通常先在客户端中创建一对密钥文件（公钥、私钥），然后将公钥文件放到服务器中的指定位置。远程登录时，系统将使用公钥、私钥进行加密/解密关联验证。能增强安全性，且可以免交互登录。

 当密码验证、密钥对验证都启用时，服务器将优先使用密钥对验证。可根据实际情况设置验证方式。

vim /etc/ssh/sshd_config                       

PasswordAuthentication yes                              #启用密码验证

PubkeyAuthentication yes                                   #启用密钥对验证

AuthorizedKeysFile .ssh/authorized_keys          #指定公钥库文件

通过ssh-keygen工具为当前用户创建密钥对文件。可用的加密算法为RSA、ECDSA或DSA等

实验

在客户机创建秘钥对

将公钥对上传至服务器

在服务器中导入公钥文本

至此就完成了

TCP Wrappers 访问控制

TCP Wrappers将TCP服务程序"包裹"起来，代为监听nCP服务程序的端口，增加了一个安全检测过程，外来的连接请求必须先通过这层安全检测，获得许可后才能访问真正的服务程序。
大多数Linux发行版，TCP Wrappers是默认提供的功能。

TCP wrapper 保护机制的两种实现方式

1.直接使用tcpd程序对其他服务程序进行保护，需要运行 tcpd程序。
2.由其他网络服务程序调用libwrap.so.*链接库，不需要运行 tcpd程序。此方式的应用更加广泛，也更有效率。使用ldd命令可以查看程序的 libwrap.so.*链接库
ldd $(which ssh vsftpd)

TCP Wrappers 的访问策略

TCP Wrappers机制的保护对象为各种网络服务程序，针对访问服务的客户端地址进行访问控制。对应的两个策略文件为/etc/hosts.allow和/etc/hosts.deny，分别用来设置允许和拒绝的策略。
TCP Wrappers机制的保护对象为各种网络服务程序，针对访问服务的客户端地址进行访问控制。对应的两个策略文件为/etc/hosts.allow和/etc/hosts.deny，分别用来设置允许和拒绝的策略。

TCP Wrappers 机制的基本原则

 首先检查/etc/hosts.allow文件，如果找到相匹配的策略，则允许访问；

 否则继续检查/etc/hosts.deny文件，如果找到相匹配的策略，则拒绝访问；

 如果检查上述两个文件都找不到相匹配的策略，则允许访问。

 允许所有，拒绝个别只需在/etc/hosts.deny文件中添加相应的拒绝策略

 允许个别，拒绝所有除了在/etc/hosts.allow中添加允许策略之外，还需要在/etc/hosts.deny文件中设置“ALL:ALL”的拒绝策略。