远程访问及控制

一、ssh远程管理

(1)SSH（Secure Shell）协议

SSH（Secure Shell）是一种安全通道协议，主要用来实现字符界面的远程登录、远程 复制等功能。SSH 协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入 的用户口令。与早期的 Telent（远程登录）、RSH（Remote Shell，远程执行命令）、RCP （Remote File Copy，远程文件复制）等应用相比，SSH 协议提供了更好的安全性。

注：

SSH客户端：Putty、Xshell、CRT

SSH服务端：OpenSSH

(2)OpenSSH
服务名称：sshd（默认使用TCP 22号端口：密文传输）
服务端主程序：/usr/sbin/sshd
服务端配置文件：/etc/ssh/sshd_config（ssh_config则是针对客户端的配置文件）
OpenSSH是实现SSH协议的开源软件项目，适用于各种UNIX、Linux操作系统

CentOS 7系统默认已安装openssh相关软件包，并已将sshd服务添加为开机自启动

1.配置OpenSSH服务端

在 CentOS 7.3 系统中，OpenSSH 服务器由 openssh、openssh-server 等软件包提供 （默认已安装），并已将 sshd 添加为标准的系统服务。执行“systemctl start sshd”命令即可 启动 sshd 服务，包括 root 在内的大部分用户（只要拥有合法的登录 Shell）都可以远程登 录系统。

sshd 服务的默认配置文件是/etc/ssh/sshd_config，正确调整相关配置项，可以进一步 提高 sshd 远程登录的安全性。下面介绍最常用的一些配置项，关于 sshd_config 文件的更 多配置可参考 man 手册页。

(1)sshd_config配置文件常用选项：vim /etc/ssh/sshd_config

(2)修改完所需配置后启动服务即可：systemctl start sshd

 2.用户登陆控制

sshd 服务默认允许 root 用户登录，但在 Internet 中使用时是非常不安全的。普遍的做 法如下：先以普通用户远程登入，进入安全 Shell 环境后，根据实际需要使用 su 命令切换 为 root 用户。

关于 sshd 服务的用户登录控制，通常应禁止 root 用户或密码为空的用户登录。另外， 可以限制登录验证的时间（默认为 2 分钟）及最大重试次数，若超过限制后仍未能登录则 断开连接。

当希望只允许或禁止某些用户登录时，可以使用 AllowUsers 或 DenyUsers 配置，两者 用法类似（注意不要同时使用）。例如，若只允许 jerry、tsengyia 和 admin 用户登录，且其 中 admin 用 户 仅 能 够 从 IP 地 址 为 61.23.24.25 的 主 机 远 程 登 录 ， 则 可 以 在 /etc/ssh/sshd_config 配置文件中添加以下配置。

3.登陆方式验证 

对于服务器的远程管理，除了用户账号的安全控制以外，登录验证的方式也非常重要。sshd 服务支持两种验证方式——密码验证、密钥对验证，可以设置只使用其中一种方式，也可以两种方式都启用。

密码验证：对服务器中本地系统用户的登录名称、密码进行验证。这种方式使用最 为简便，但从客户端角度来看，正在连接的服务器有可能被假冒；从服务器角度来 看，当遭遇密码穷举（暴力破解）攻击时防御能力比较弱。

密钥对验证：要求提供相匹配的密钥信息才能通过验证。通常先在客户端中创建一 对密钥文件（公钥、私钥），然后将公钥文件放到服务器中的指定位置。远程登录 时，系统将使用公钥、私钥进行加密/解密关联验证，大大增强了远程管理的安全 性。该方式不易被假冒，且可以免交互登录，在 Shell 中被广泛使用。

当密码验证、密钥对验证都启用时，服务器将优先使用密钥对验证。对于安全性要求较 高的服务器，建议将密码验证方式禁用，只允许启用密钥对验证方式；若没有特殊要求，则 两种方式都可启用

 其中，公钥库文件用来保存多个客户端上传的公钥文本，以便与客户端本地的私钥文件 进行匹配。

4.使用SSH客户端程序

（1）命令程序ssh、scp、sftp

1.ssh远程登陆

通过 ssh 命令可以远程登录 sshd 服务，为用户提供一个安全的 Shell 环境，以便对服 务器进行管理和维护。使用时应指定登录用户、目标主机地址作为参数

ssh [-p 端口] 用户名@目标主机IP 
ssh [-p 端口] 用户名@目标主机IP  命令  

2.scp远程复制

通过 scp 命令可以利用 SSH 安全连接与远程主机相互复制文件。使用 scp 命令时，除 了必须指定复制源、目标之外，还应指定目标主机地址、登录用户，执行后根据提示输入验 证口令即可。例如，以下操作分别演示了下行、上行复制的操作过程，将远程主机中的 /etc/passwd 文件复制到本机，并将本机的/etc/vsftpd 目录复制到远程主机。

将目标主机的文件/目录复制到本机
scp [-P 端口] （-r 复制目录情况下）用户@目标主机ip:目标路径文件 指定存放路径

3.sftp文件传输

通过 sftp 命令可以利用 SSH 安全连接与远程主机上传、下载文件，采用了与 FTP 类 似的登录过程和交互式环境，便于目录资源管理。例如，以下操作依次演示了 sftp 登录、 浏览、文件上传等过程。

sftp -P 端口 用户名@目标主机IP
>get put cd ls

5.构建密钥对验证的SSH体系

正如前面所提及的，密钥对验证方式可以为远程登录提供更好的安全性。下面将介绍 在 CentOS 7.3 服务器、客户端中构建密钥对验证 SSH 体系的基本过程。如图所示， 以 RSA 加密算法为例，整个过程包括四步，首先要在 SSH 客户端以 zhangsan 用户身份 创建密钥对，并且要将创建的公钥文件上传至 SSH 服务器端，然后要将公钥信息导入服务 器端的目标用户 lisi 的公钥数据库，最后以服务器端用户 lisi 的身份登录验证。

 1.在客户端创建密钥对

在 CentOS 7.3 客户端中，通过 ssh-keygen 工具为当前用户创建密钥对文件。可用的 加密算法为 RSA 、 ECDSA 或 DSA 等（ ssh-keygen 命令的 “-t” 选项用于指定算法类型）。例 如，以 zhangsan 用户登录客户端，并生成基于 ECDSA 算法的 SSH 密钥对（公钥、私钥）文件

 

上述操作过程中，提示指定私钥文件的存放位置时，一般直接按 Enter 键即可，最后生 成的私钥、公钥文件默认存放在宿主目录中的隐藏文件夹.ssh 下。私钥短语用来对私钥文 件进行保护，当使用该私钥验证登录时必须正确提供此处所设置的短语。尽管不设置私钥短 语也是可行的（实现无口令登录），但在生产环境中不建议这样做。

新生成的密钥对文件中，id_ecdsa 是私钥文件，权限默认为 600，对于私钥文件必须 妥善保管，不能泄露给他人；id_ecdsa.pub 是公钥文件，用来提供给 SSH 服务器。

2.将公钥文件上传至服务器

将上一步生成的公钥文件上传至服务器，并部署到服务器端用户的公钥数据库中。上传 公钥文件时可以选择 SCP、FTP、Samba、HTTP 甚至发送 E-mail 等任何方式。

3.在服务器中导入公钥文本

在服务器中，目标用户（指用来远程登录的账号 lisi）的公钥数据库位于～/.ssh 目录， 默认的文件名是“authorized_keys”。如果目录不存在，需要手动创建。当获得客户端发送过 来的公钥文件以后，可以通过重定向将公钥文本内容追加到目标用户的公钥数据库。

 ssh-copy-id [-i 公钥文件]  用户名@目标主机IP    #公钥信息会自动保存到服务端的 ~/.ssh/authorized_keys 文件里

4.在客户端使用密钥对验证

当私钥文件（客户端）、公钥文件（服务器）均部署到位以后，就可以在客户端中进行 测试了。首先确认客户端中当前的用户为 zhangsan，然后通过 ssh 命令以服务器端用户 lisi 的身份进行远程登录。如果密钥对验证方式配置成功，则在客户端将会要求输入私钥短语，以 便调用私钥文件进行匹配（若未设置私钥短语，则直接登入目标服务器）。

经过“客户端创建密钥对”、“将公钥上传至服务器”、“在服务器中导入公钥文本”与“在客 户端使用密钥对验证”四个步骤，SSH 密钥对验证体系已经构建完成。 而在上述步骤中，第二步和第三步其实可以采用另外一种方法实现，即使用“ssh-copy-id -i 公钥文件 user@host”格式，“-i”选项指定公钥文件，“user”是指目标主机的用户。验证密 码后，会将公钥自动添加到目标主机 user 宿主目录下的.ssh/authorized_keys 文件结尾。

ssh-copy-id 命令在上传公钥文件到服务器的时候，具有简单、快捷的优点，可优先使 用此命令上传公钥，但通过SCP命令拷贝再导入的方式具有通用性，可应对没有ssh-copy-id 命令的情况

6.TCP Wrappers

1.TCP Wrappers概述

TCP Wrappers 将 TCP 服务程序“包裹”起来，代为监听 TCP 服务程序的端口，增加了 一个安全检测过程，外来的连接请求必须先通过这层安全检测，获得许可后才能访问真正 的服务程序，如图 4.3 所示。TCP Wrappers 还可以记录所有企图访问被保护服务的行为， 为管理员提供丰富的安全分析资料

2.TCP Wrappers保护原理

如何判断是否支持 TCP Wrappers：执行命令 ldd $(which c程序名称) | grep libwrap

$()作用：提取括号内命令的结果

3.TCP Wrappers访问原则

首先检查/etc/hosts.allow文件，如果找到相匹配的策略，则允许访问；否则继续查/etc/hosts.deny文件，如果找到相匹配的策略，则拒绝访问；如果检查上述两个文件都找不到相匹配的策略，则允许访问。

[root@localhost ~]# ldd $(which sshd) | grep libwrap
    libwrap.so.0 => /lib64/libwrap.so.0 (0x00007f9cbe054000)
[root@localhost ~]#