远程访问及控制——SSH服务

远程管理linux系统基本上都要使用到ssh，原因很简单: telnet、FTP等传输方式是以明文传送用户认证信息，本质上是不安全的，存在被网络窃听的危险。SSH (Secure shell）目前较可靠，是专为远程登录会话和其他网络服务提供安全性的协议。利用ssH协议可以有效防止远程管理过程中的信息泄露问题，透过sSH可以对所有传输的数据进行加密，也能够防止DNS欺骗和IP欺骗。

1.4 OpenSSH

服务名称：sshd

服务端主程序：/usr/bin/sshd

服务端配置文件：/etc/ssh/sshd_config

客户端配置文件：/etc/ssh/ssh_config

ssh_config:为客户端配置文件，设置与客户端相关的应用可通过此文件实现

sshd_config:为服务器端配置文件，设置与服务端相关的应用可通过此文件实现。

ssh -V 查询版本信息

1.5 远程登录方式

登录方法一

ssh[远程主机用户名]@[远程服务器主机名或IP地址] -p port

当在Linux主机上远程连接另一台 Linux主机时，如当前所登录的用户是 root的话，当连接另一台主机时也是用root_用户登录时，可以直接使用ssh IP，端口默认即可，如果端口不是默认的情况下，需要使用-p 指定端口。

RSA算法基于一个十分简单的数论事实:将两个大素数相乘十分容易，但是想要对其乘积进行因式分解却极其困难，因此可以将乘积公开作为加密密钥。

或者在/etc/hosts本机映射文件里添加主机名和IP可以直接远程登录

登录方法二

ssh -l[远程主机用户名][远程服务器主机名或IP地址] -p port

-l：-l选项，指定登录名称。

-p: -p 选项，指定登录端口（当服务端的端口非默认时，需要使用-p指定端口进行登录

注:第一次登录服务器时系统没有保存远程主机的信息，为了确认该主机身份会提示用户是否继续连接，输入yes后登录，这时系统会将远程服务器信息写入用户主目录下的home/.ssh/known_hosts文件中，下次再进行登录时因为保存有该主机信息就不会再提示了

扩展：故障集

在平时工作中，有时候需要ssH登录到别的Linux主机上去，但有时候sSH登录会被禁止，并弹出·如下类似提示:

The authenticity of host '192.168.10.9 (192.168.10.9)' can't be established.

ECDSA key fingerprint is SHA256:AaGpHeEiRuXMy96oezzV6Toej5nJJmZIe/djqR7qCVk.

ECDSA key fingerprint is MD5:78:al:bl:1c:36:76:c7:34:54:87:cc:ea:51:3f:0c:24.

Are you sure you want to continue connecting (yes/no) ? yes

warning: Permanently added '192.168.10.9'(ECDSA) to the list of known hosts.

Authentication failed.

ssh会把你每个你访问过计算机的公钥(public key)都记录在~/.ssh/known_hosts。当下次访问相同计算机时，opensSH会核对公钥。如果公钥不同，openssH会发出警告，避免你受到DNS Hijack之类的攻击。

解决办法：
1.使用ssh连接远程主机时加上"-o strictHostKeyChecking=no"的选项，如下:

ssh -o strictHostKeyChecking=no 192.168.xxx.xxx （生产上常用的命令）

2.一个彻底去掉这个提示的方法是，修改/etc/ssh/ssh_config文件（或$HOME/.ssh/config)中的配置，添加如下两行配置:

strictHostKeychecking no

UserKnownHostsFile /dev/null

3.使用 > /root/.ssh/known_hosts 删除里面的公钥

二、openssh服务包

2.1 openssh配置

要安装openssH 四个安装包:

openssH软件包，提供了服务端后台程序和客户端工具，用来加密远程控件和文件传输过程中的数据，并由此来代替原来的类似服务Telnet或Ftp。

安装包:

opensSH服务需要4个软件包。

openssh-5.3p1-114.el6_7,x86_64 #包含openssH服务器及客户端需要的核心文件。

openssh-clients-5.3p1-14.el6_7.x86_64 #openssH客户端软件包。

openssh-server-5.3p1-114.el6_7.x86_64 #openssH服务器软件包。

openssh-askpass-5.3p1-114.el6_7.x86_64 #支持对话框窗口的显示，是一个基于x系统的

2.2 服务配置

2.2.1 sshd_config配置文件的常用选项

两台虚拟机

#监听瑞口修改实验

设置ssHD监听端口号。

SSH预设使用22这个port，也可以使用多个port，即重复使用port 这个设定项!

例如想要开放ssHD端口为22和222，则多加一行内容为: Port 222即可。

然后重新启动ssHD这样就好了。建议修改port number为其它端口，防止别人暴力破解。

#ListenAddress监听地址

ListenAddress 0.0.0.0 设置SSHD服务器绑定的IP地址，0.0.0.0表示侦听所有地址

安全建议:如果主机不需要从公网ssh访问，可以把监听地址改为内网地址这个值可以写成本地IP地址，也可以写成所有地址，即0.0.0.0表示所有IP。

#Protocol 2 设置协议版本为SSHl或SSH2，SSH1存在漏洞与缺陷，选择sSH2

#UseDNS yes 一般来说，为了要判断客户端来源是正常合法的，因此会使用DNS 去反查客户端的主机名,但通常在内网互连时，该基设置为no，因此使联机速度会快些

注:禁用DNS反向解析,以提高服务器的响应速度

#syslogFacility AUTHPRIV 当有人使用ssH登入系统的时候,SSH会记录信息，这个信息要记录的类型为AUTHPRIV，sshd 服务日志存放在:/var/log/secure。

#LoginGraceTime 2m

grace意思是系统给与多少秒来进行登录。(默认2分钟，О表示无限制)

当使用者连上 sSH server之后，会出现输入密码的画面，在该画面中。

在多久时间内没有成功连上ssHserver就强迫断线!若无单位则默认时间为秒。可以根据实际情况来修改实际

#PermitRootLogin yes

是否允许root登入，默认是允许的，但是建议设定成no，真实的生产环境服务器，是不允许root账号直接登录的，仅允许普通用户登录，需要用到 root用户再切换到root 用户。

PasswordAuthentication yes

密码验证当然是需要的!所以这里写yes，也可以设置为no，在真实的生产服务器上，根据不同安全级别要求，有的是设置不需要密码登录的，通过认证的秘钥来登录。

#PermitEmptyPasswords no 是否允许空密码的用户登录，默认为no，不允许空密码登录

#PrintLastLog yes 显示上次登入的信息!默认为yes

#MaxAuthTries 6 指定每个连接最大允许的认证次数。默认值是6。

如果失败认证的次数超过这个数值的一半，连接将被强制断开，且会生成额外的失败日志消息默认3次

或者：验证ssh -o NumberOfPasswordPrompts=8 lisi@192.168.111.15

黑白名单

#AllowUsers 当希望只允许或禁止某些用户登录时，可以使用AllowUsers或DenyUsers配置，两者用法类似(注意不要同时使用）。

仅允许某些用户登录
AllowUsers 用户名用户名用户名@主机地址多个用户以空格分隔

禁止某些用户登录，用法于AllowUsers 类似(注意不要同时使用)
DenyUsers 用户名

验证：另外一台虚拟机上

扩展命令参数：

ssh -o ConnectTimeout=3 -o ConnectionAttempts=5 -o PasswordAuthentication=no -ostrictHostKeychecking=no $ip（地址） "command（命令例如：ls查看）"

#connectTimeout=3 连接超时时间，3秒

#ConnectionAttempts=5 连接失败后重试次数，5次

#PasswordAuthentication=no 不使用密码认证,没有互信直接退出

#strictHostKeychecking=no 自动言任主机并添加到known_hosts文件

三、sshd服务支持的验证方式

3.1 密码验证

对服务器中本地系统用户的登录名称、密码进行验证。这种方式使用最为简便，但从客户端角度来

看，正在连接的服务器有可能被假冒:从服务器角度来看，当遭遇密码穷举（暴力破解）攻击时防

御能力比较弱。

3.2 密钥对验证

要求提供相匹配的密钥信息才能通过验证。通常先在客户端中创建一对密钥文件（公钥、私钥)，

然后将公钥文件放到服务器中的指定位置。远程登录时，系统将使用公钥、私钥进行加密/解密关

联验证，大大增强了远程管理的安全性。该方式不易被假冒，且可以免交互登录，在shell中被广泛

使用。

注：当密码验证、密钥对验证都启用时，服务器将优先使用密钥对验证。对于安全性要求较高的服务器，建议将密码验证方式禁用，只允许启用密钥对验证方式:若没有特殊要求，则两种方式都可启用

3.3 免密登录

ssh-agent bash #将公钥添加管理在客户端操作

ssh-add

3.4 构建密钥对验证的SSH

3.4.1 公钥和私钥的关系:

在非对称加密技术中，有两种密钥，分为私钥和公钥，私钥是密钥对所有者持有，不可公布，公钥是密钥对持有者公布给他人的。

公钥用来给数据加密，用公钥加密的数据只能使用私钥解

3.4.2 构建密钥对验证的ssH原理

首先ssh通过加密算法在客户端产生密钥对（公钥和私钥)，公钥发送给服务器端，自己保留私钥，如果要想连接到带有公钥的SSH服务器，客户端SSH软件就会向SSH服务器发出请求，请求用联机的用户密钥进行安全验证。SSH服务器收到请求之后，会先在该SSH服务器上连接的用户的家目录下寻找事先放上去的对应用户的公用密钥，然后把它和连接的SSH客户端发送过来的公用密钥进行比较。如果两个密钥一致，SSH服务器就用公钥加密"质询"(challenge)并把它发送给SSH客户端。

当密码验证、密钥对验证都启用时，服务器将优先使用密钥对验证。可根据实际情况设置验证方式：

vim /etc/ssh/sshd_config

PasswordAuthentication yes #启用密码验证

PubkeyAuthentication yes #启用密钥对验证

AuthorizedKeysFile .ssh/authorized_keys #指定公钥库文件

3.5 scp复制

安全性复制

scp是secure copy的简写，用于在Linux下进行远程拷贝文件的命令，而且scp传输是加密的。

3.5.1 本地文件复制到服务器

scp passwd root@192.168 .111.15 : /opt

3.5.2 复制服务器的文件或目录到本地

scp -r root@192.168.111.15:/home/zhangsan/ ./

3.5.3 本地目录复制到服务器

scp -r wd/ root@192.168.111.15:/opt/

3.6 sftp

安全性传输sftp

sftp是secure File Transfer Protocol的缩写，安全文件传送协议。可以为传输文件提供一种安全的网络的加密方法。

sftp与ftp有着几乎一样的语法和功能。SFTP为ssH的其中一部分，其实在ssH软件包中，已经包含了一个叫作SFTP(Secure File Transfer Protocol)的安全文件信息传输子系统，SFTP木身没有单独的守护进程，它必须使用sshd守护进程(端口号默认是22）来完成相应的连接和答复操作。所以 sftp 是非常安全的。但是，由于这种传输方式使用了加密/解密技术，所以传输效率比普通的 ftp 要低得多，如果对网络安全性要求更高时，可以使用 sftp 代替 ftp。

用法：

#连接远程服务器
sftp username@ip

#将文件上传到服务器上
put [本地文件的地址] [服务器上文件存储的位置]

#将服务器上的文件下载到本地
get [服务器上文件存储的位置] [本地要存储的位置]

#查看可用命令

help

#打印服务器当前位置

lpwd #打印当前本地位置

#切换目录、查看文件

cd #切换服务器上的目录

ls #查看当前目录下文件列表

# 退出命令:

quit、 exit、 bye

案例：

四、构建密钥对验证的 SSH 体系

密钥形式登录的原理是：利用密钥生成器制作一对密钥，一只公钥和一只私钥。将公钥添加到服务器的某个账户上，然后在客户端利用私钥即可完成认证并登录。这样一来，没有私钥，任何人都无法通过 SSH 暴力破解你的密码来远程登录到系统。此外，如果将公钥复制到其他账户甚至主机，利用私钥也可以登录。

4.1 在客户端创建密钥对

通过 ssh-keygen 工具为当前用户创建密钥对文件。可用的加密算法为 RSA、ECDSA、DSA 等（ssh-keygen 命令的 “-t” 选项用于指定算法类型）。

服务端 [root@wudan ~]# ： 192.168.111.15

客户端 [root@wd ~]# ： 192.168.111.20

useradd admin

echo "123123”l passwd --stdin adnin

su - admin

ssh-keygen -t ecdsa

Generating public/private ecdsa key pair.

Enter file in which to save the key (/home/ admin/ .ssh/id_ecdsa): #指定私钥位置,直接回车使用默认位置

Created directory '/ home/admin/ .ssh '. #生成的私钥、公钥文件默认存放在宿主目录中的隐藏目录.ssh/下

Enter passphrase (empty for no passphrase): #设置私钥的密码

Enter same passphrase again: #确认密码

ls -1 ~/.ssh/id ecdsa* #id_ecdsa是私钥文件，权限默认为600;
id_ecdsa.pub是公钥文件，用来提供给sSH服务器

4.2 将公钥文件上传至服务器

方法一：
scp ~/.ssh/id_ecdsa.pub root@192.168.111.15
方法二：
cd ~/.ssh/
ssh-copy-id -i id_ecdsa.pub root@192.168.111.15

4.3 在服务器中导入公钥文件

cd ~/.ssh/
cat /opt/id_rsa.pub >> ~/.ssh/authorized_keys 从定向输出到authorized_keys文件
cat ~/.ssh/authorized_keys

4.4 在客户端使用密钥对验证

ssh root@192.168.111.15
Enter passphrase for key '/root/.ssh/id_rsa': 输入私钥的密码

4.5 在客户机设置 ssh 代理功能，实现免交互登录

ssh-agent bash
ssh-add
Enter passphrase for /root/.ssh/id_rsa: 输入私钥的密码
ssh root@192.168.111.15

五、TCP Wrappers 访问控制

在Linux系统中，许多网络服务针对客户端提供了访问控制机制，如Samba、BIND、HTTPD、OpenSSH 等TCP wrappers将TCP服务程序"包裹"起来，代为监听TCP服务程序的端口，增加了一个安全检测过程，外来的连接请求必须先通过这层安全检测，获得许可后才能访问真正的服务程序

5.1 TCP wrappers (TCP封套)

将TCP服务程序“包裹”起来，代为监听TCP服务程序的端口，增加了一个安全检测过程，外来的连接请求必须先通过这层安全检测，获得许可后才能访问真正的服务程序。

大多数Linux 发行版，TCP Wrappers 是默认提供的功能。

rpm -q tcp_ wrappers 查看软件是否安装

5.2 TCP Wrappers 保护机制的实现方式

1. 直接使用tcpd程序对其他服务程序进行保护，需要运行tcpd程序。

2. 由其他网络服务程序调用libwrap.so.*链接库，不需要运行tcpd程序。此方式的应用更加广泛,也更有效率。

使用 ldd 命令可以查看程序的libwrap.so.*链接库

ldd $ (which ssh)

5.3 TCP Wrappers 的访问策略

TCPWrappers机制的保护对象为各种网络服务程序，针对访问服务的客户端地址进行访问控制。
对应的两个策略文件为/etc/hosts.allow 和/etc/hosts .deny, 分别用来设置允许和拒绝的策略。

语法格式:

<服务程序列表>:<客户端地址列表>

5.3.1 服务程序列表

ALL:代表所有的服务。

单个服务程序:如“vsftpd"。

多个服务程序组成的列表:如"vsftpd,sshd" 。

5.3.2 客户端地址列表

ALL:代表任何客户端地址。

LOCAL:代表本机地址。

多个地址以过号分隔

允许使用通配符"*和"?”，前者代表任意长度字符，后者仅代表一个字符

网段地址，如"192.168.80.”或者192.168.80.0/255.255.255.0

区域地址，如". benet.com"L西benet.com域中的所有主机。

5.4 TCP Wrappers 机制的基本原则

首先检查/etc/hosts.allow文件，如果找到相匹配的策略，则允许访问: .

否则继续检查/etc/hosts. deny文件，如果找到相匹配的策略，则拒绝访问;

如果检查.上述两个文件都找不到相匹配的策略，则允许访问。

案例：

六、总结

1.SsH是一种网络协议，主要用于客户端与远程主机的安全链接和交互。

2. 配置OpenSSH 服务端：监听选项，用户登录控制和登录验证方式

3.使用SSH 客户端程序：ssh ，scp，sftp，Xshell

4.构建密钥对验证的SSH 体系的步骤

公钥登录的流程如下:

1.客户端在自己本地生成一对公钥密钥文件，然后将公钥存储在远程主机上

2.客户端登录时,远程主机会随机生成一串字符串发送给客户端

3.客户端用自己的密钥将收到的字符串加密，并返回给远程主机

4.远程主机利用公钥解密收到的加密字符串，如果解密成功并且与发送的一致则直接免密登录

5. TCP Wrappers 访问控制