一、ssh远程管理
(1)SSH(Secure Shell)协议
SSH(Secure Shell)是一种安全通道协议,主要用来实现字符界面的远程登录、远程 复制等功能。SSH 协议对通信双方的数据传输进行了加密处理,其中包括用户登录时输入 的用户口令。与早期的 Telent(远程登录)、RSH(Remote Shell,远程执行命令)、RCP (Remote File Copy,远程文件复制)等应用相比,SSH 协议提供了更好的安全性。
注:
SSH客户端:Putty、Xshell、CRT
SSH服务端:OpenSSH
(2)OpenSSH
服务名称:sshd(默认使用TCP 22号端口:密文传输)
服务端主程序:/usr/sbin/sshd
服务端配置文件:/etc/ssh/sshd_config(ssh_config则是针对客户端的配置文件)
OpenSSH是实现SSH协议的开源软件项目,适用于各种UNIX、Linux操作系统
CentOS 7系统默认已安装openssh相关软件包,并已将sshd服务添加为开机自启动
1.配置OpenSSH服务端
在 CentOS 7.3 系统中,OpenSSH 服务器由 openssh、openssh-server 等软件包提供 (默认已安装),并已将 sshd 添加为标准的系统服务。执行“systemctl start sshd”命令即可 启动 sshd 服务,包括 root 在内的大部分用户(只要拥有合法的登录 Shell)都可以远程登 录系统。
sshd 服务的默认配置文件是/etc/ssh/sshd_config,正确调整相关配置项,可以进一步 提高 sshd 远程登录的安全性。下面介绍最常用的一些配置项,关于 sshd_config 文件的更 多配置可参考 man 手册页。
(1)sshd_config配置文件常用选项:vim /etc/ssh/sshd_config
(2)修改完所需配置后启动服务即可:systemctl start sshd
2.用户登陆控制
sshd 服务默认允许 root 用户登录,但在 Internet 中使用时是非常不安全的。普遍的做 法如下:先以普通用户远程登入,进入安全 Shell 环境后,根据实际需要使用 su 命令切换 为 root 用户。
关于 sshd 服务的用户登录控制,通常应禁止 root 用户或密码为空的用户登录。另外, 可以限制登录验证的时间(默认为 2 分钟)及最大重试次数,若超过限制后仍未能登录则 断开连接。
当希望只允许或禁止某些用户登录时,可以使用 AllowUsers 或 DenyUsers 配置,两者 用法类似(注意不要同时使用)。例如,若只允许 jerry、tsengyia 和 admin 用户登录,且其 中 admin 用 户 仅 能 够 从 IP 地 址 为 61.23.24.25 的 主 机 远 程 登 录 , 则 可 以 在 /etc/ssh/sshd_config 配置文件中添加以下配置。
3.登陆方式验证
对于服务器的远程管理,除了用户账号的安全控制以外,登录验证的方式也非常重要。sshd 服务支持两种验证方式——密码验证、密钥对验证,可以设置只使用其中一种方式,也可以两种方式都启用。
密码验证:对服务器中本地系统用户的登录名称、密码进行验证。这种方式使用最 为简便,但从客户端角度来看,正在连接的服务器有可能被假冒;从服务器角度来 看,当遭遇密码穷举(暴力破解)攻击时防御能力比较弱。
密钥对验证:要求提供相匹配的密钥信息才能通过验证。通常先在客户端中创建一 对密钥文件(公钥、私钥),然后将公钥文件放到服务器中的指定位置。远程登录 时,系统将使用公钥、私钥进行加密/解密关联验证,大大增强了远程管理的安全 性。该方式不易被假冒,且可以免交互登录,在 Shell 中被广泛使用。
当密码验证、密钥对验证都启用时,服务器将优先使用密钥对验证。对于安全性要求较 高的服务器,建议将密码验证方式禁用,只允许启用密钥对验证方式;若没有特殊要求,则 两种方式都可启用
其中,公钥库文件用来保存多个客户端上传的公钥文本,以便与客户端本地的私钥文件 进行匹配。
4.使用SSH客户端程序
(1)命令程序ssh、scp、sftp
1.ssh远程登陆
通过 ssh 命令可以远程登录 sshd 服务,为用户提供一个安全的 Shell 环境,以便对服 务器进行管理和维护。使用时应指定登录用户、目标主机地址作为参数
ssh [-p 端口] 用户名@目标主机IP
ssh [-p 端口] 用户名@目标主机IP 命令
2.scp远程复制
通过 scp 命令可以利用 SSH 安全连接与远程主机相互复制文件。使用 scp 命令时,除 了必须指定复制源、目标之外,还应指定目标主机地址、登录用户,执行后根据提示输入验 证口令即可。例如,以下操作分别演示了下行、上行复制的操作过程,将远程主机中的 /etc/passwd 文件复制到本机,并将本机的/etc/vsftpd 目录复制到远程主机。
将目标主机的文件/目录复制到本机
scp [-P 端口] (-r 复制目录情况下)用户@目标主机ip:目标路径文件 指定存放路径
3.sftp文件传输
通过 sftp 命令可以利用 SSH 安全连接与远程主机上传、下载文件,采用了与 FTP 类 似的登录过程和交互式环境,便于目录资源管理。例如,以下操作依次演示了 sftp 登录、 浏览、文件上传等过程。
sftp -P 端口 用户名@目标主机IP
>get put cd ls
5.构建密钥对验证的SSH体系
正如前面所提及的,密钥对验证方式可以为远程登录提供更好的安全性。下面将介绍 在 CentOS 7.3 服务器、客户端中构建密钥对验证 SSH 体系的基本过程。如图所示, 以 RSA 加密算法为例,整个过程包括四步,首先要在 SSH 客户端以 zhangsan 用户身份 创建密钥对,并且要将创建的公钥文件上传至 SSH 服务器端,然后要将公钥信息导入服务 器端的目标用户 lisi 的公钥数据库,最后以服务器端用户 lisi 的身份登录验证。
1.在客户端创建密钥对
![](https://img-blog.csdnimg.cn/direct/19ea8a4e1a3f445f9a02b90880153d61.png)
上述操作过程中,提示指定私钥文件的存放位置时,一般直接按 Enter 键即可,最后生 成的私钥、公钥文件默认存放在宿主目录中的隐藏文件夹.ssh 下。私钥短语用来对私钥文 件进行保护,当使用该私钥验证登录时必须正确提供此处所设置的短语。尽管不设置私钥短 语也是可行的(实现无口令登录),但在生产环境中不建议这样做。
新生成的密钥对文件中,id_ecdsa 是私钥文件,权限默认为 600,对于私钥文件必须 妥善保管,不能泄露给他人;id_ecdsa.pub 是公钥文件,用来提供给 SSH 服务器。
2.将公钥文件上传至服务器
将上一步生成的公钥文件上传至服务器,并部署到服务器端用户的公钥数据库中。上传 公钥文件时可以选择 SCP、FTP、Samba、HTTP 甚至发送 E-mail 等任何方式。
3.在服务器中导入公钥文本
在服务器中,目标用户(指用来远程登录的账号 lisi)的公钥数据库位于~/.ssh 目录, 默认的文件名是“authorized_keys”。如果目录不存在,需要手动创建。当获得客户端发送过 来的公钥文件以后,可以通过重定向将公钥文本内容追加到目标用户的公钥数据库。
ssh-copy-id [-i 公钥文件] 用户名@目标主机IP #公钥信息会自动保存到服务端的 ~/.ssh/authorized_keys 文件里
4.在客户端使用密钥对验证
当私钥文件(客户端)、公钥文件(服务器)均部署到位以后,就可以在客户端中进行 测试了。首先确认客户端中当前的用户为 zhangsan,然后通过 ssh 命令以服务器端用户 lisi 的身份进行远程登录。如果密钥对验证方式配置成功,则在客户端将会要求输入私钥短语,以 便调用私钥文件进行匹配(若未设置私钥短语,则直接登入目标服务器)。
经过“客户端创建密钥对”、“将公钥上传至服务器”、“在服务器中导入公钥文本”与“在客 户端使用密钥对验证”四个步骤,SSH 密钥对验证体系已经构建完成。 而在上述步骤中,第二步和第三步其实可以采用另外一种方法实现,即使用“ssh-copy-id -i 公钥文件 user@host”格式,“-i”选项指定公钥文件,“user”是指目标主机的用户。验证密 码后,会将公钥自动添加到目标主机 user 宿主目录下的.ssh/authorized_keys 文件结尾。
ssh-copy-id 命令在上传公钥文件到服务器的时候,具有简单、快捷的优点,可优先使 用此命令上传公钥,但通过SCP命令拷贝再导入的方式具有通用性,可应对没有ssh-copy-id 命令的情况
6.TCP Wrappers
1.TCP Wrappers概述
TCP Wrappers 将 TCP 服务程序“包裹”起来,代为监听 TCP 服务程序的端口,增加了 一个安全检测过程,外来的连接请求必须先通过这层安全检测,获得许可后才能访问真正 的服务程序,如图 4.3 所示。TCP Wrappers 还可以记录所有企图访问被保护服务的行为, 为管理员提供丰富的安全分析资料
2.TCP Wrappers保护原理
如何判断是否支持 TCP Wrappers:执行命令 ldd $(which c程序名称) | grep libwrap
$()作用:提取括号内命令的结果
3.TCP Wrappers访问原则
首先检查/etc/hosts.allow文件,如果找到相匹配的策略,则允许访问;否则继续查/etc/hosts.deny文件,如果找到相匹配的策略,则拒绝访问;如果检查上述两个文件都找不到相匹配的策略,则允许访问。
[root@localhost ~]# ldd $(which sshd) | grep libwrap
libwrap.so.0 => /lib64/libwrap.so.0 (0x00007f9cbe054000)
[root@localhost ~]#