Linux 实现密钥免密登录

环境：CentOS 7

一、创建密钥

1. 登录Linux进入/root/.ssh/目录下
2. 没有生成密钥的目录如下
3. 
4. 执行ssh-keygen -t rsa 创建密钥，一直回车即可，红框是输入密码，因为是免密所以直接回车略过；执行完之后会在/root/.ssh/下生成两个文件id_rsa、id_rsa.pub分别为私钥和公钥，id_rsa保存好不要丢失！id_rsa保存好不要丢失！id_rsa保存好不要丢失！重要的事说三遍。如果对密钥长度有限制的话可以执行ssh-keygen -t rsa -b 4096
5. 

二、创建信任

1. 把生成的公钥文件id_rsa.pub下载、上传到目标服务器上，也可以直接通过命令ssh-copy-id -i /root/.ssh/id_rsa.pub root@192.168.1.1传过去，不过命令默认端口是22
2. 登录目标服务器，相同的目录/root/.ssh/下查看有没有authorized_keys文件，没有的话需要创建一个，命令是               touch authorized_keys ，创建后授权600 ，把公钥文件id_rsa.pub追加到authorized_keys文件中，命令是                        cat 192.168.1.1.pub >> authorized_keys，注意是双箭头>>单箭头会覆盖文件中的内容。
3. 

三、免密登录

1. ssh root@192.168.1.55  //这种是使用自己的公钥登录目标服务器

    

2. 使用公钥登录，需要把本地生成的公钥添加到目标服务器的 authorized_keys 文件中

3. 使用目标服务器的私钥登录，需要两步

   第一步：在目标服务器上生成密钥对，把目标服务器自己的公钥添加到目标服务器自己的 authorized_keys 信任文件中

   第二步：把目标服务器的私钥拷贝到你本地的服务器

    

   # 这里的 id_rsa 私钥文件是目标服务器的私钥文件
   ssh -i id_rsa root@192.168.1.55

    

四、免密登录普通用户

1. 流程大致一样，root用户是在/root/.ssh/目录下；普通用户是在/home/用户/.ssh/目录下，没有的话需要手动创建

2. mkdir /home/demo/.ssh  //创建文件夹，授权700
   touch /home/demo/.ssh/authorized_keys   //创建文件，授权600
   cat /home/demo/.ssh/id_rsa.pub >> /home/demo/.ssh/authorized_keys   //追加公钥

    

3. 基于密钥认证的配置

         

vi /etc/ssh/sshd_config  

PasswordAuthentication no //禁止使用基于口令认证的方式登陆

PubkeyAuthentication yes //允许使用基于密钥认证的方式登陆

/etc/init.d/sshd reload

五、网上找到的一些资料

    1、普通用户切换到root权限且无需输入密码，在root模式下进行以下操作

visudo  //最后一行加入
Cmnd_Alias SU = /bin/su
oper ALL = (root)  NOPASSWD: SU

     2、./ssh目录下的一些文件说明

~/.ssh/identity
             该用户默认的 RSA1 身份认证私钥(SSH-1)。此文件的权限应当至少限制为"600"。
             生成密钥的时候可以指定采用密语来加密该私钥(3DES)。
             ssh(1) 将在登录的时候读取这个文件。
     ~/.ssh/identity.pub
             该用户默认的 RSA1 身份认证公钥(SSH-1)。此文件无需保密。
             此文件的内容应该添加到所有 RSA1 目标主机的 ~/.ssh/authorized_keys 文件中。
     ~/.ssh/id_dsa
             该用户默认的 DSA 身份认证私钥(SSH-2)。此文件的权限应当至少限制为"600"。
             生成密钥的时候可以指定采用密语来加密该私钥(3DES)。
             ssh(1) 将在登录的时候读取这个文件。
     ~/.ssh/id_dsa.pub
             该用户默认的 DSA 身份认证公钥(SSH-2)。此文件无需保密。
             此文件的内容应该添加到所有 DSA 目标主机的 ~/.ssh/authorized_keys 文件中。
     ~/.ssh/id_rsa
             该用户默认的 RSA 身份认证私钥(SSH-2)。此文件的权限应当至少限制为"600"。
             生成密钥的时候可以指定采用密语来加密该私钥(3DES)。
             ssh(1) 将在登录的时候读取这个文件。
     ~/.ssh/id_rsa.pub
             该用户默认的 RSA 身份认证公钥(SSH-2)。此文件无需保密。
             此文件的内容应该添加到所有 RSA 目标主机的 ~/.ssh/authorized_keys 文件中。
     /etc/ssh/moduli
             包含用于 DH-GEX 的 Diffie-Hellman groups 。文件的格式在 moduli(5) 手册页中描述。

     3、ssh-keygen可用的参数选项：

     -a trials
             在使用 -T 对 DH-GEX 候选素数进行安全筛选时需要执行的基本测试数量。

     -B      显示指定的公钥/私钥文件的 bubblebabble 摘要。

     -b bits
             指定密钥长度。对于RSA密钥，最小要求768位，默认是2048位。DSA密钥必须恰好是1024位(FIPS 186-2 标准的要求)。

     -C comment
             提供一个新注释

     -c      要求修改私钥和公钥文件中的注释。本选项只支持 RSA1 密钥。
             程序将提示输入私钥文件名、密语(如果存在)、新注释。

     -D reader
             下载存储在智能卡 reader 里的 RSA 公钥。

     -e      读取OpenSSH的私钥或公钥文件，并以 RFC 4716 SSH 公钥文件格式在 stdout 上显示出来。
             该选项能够为多种商业版本的 SSH 输出密钥。

     -F hostname
             在 known_hosts 文件中搜索指定的 hostname ，并列出所有的匹配项。
             这个选项主要用于查找散列过的主机名/ip地址，还可以和 -H 选项联用打印找到的公钥的散列值。

     -f filename
             指定密钥文件名。

     -G output_file
             为 DH-GEX 产生候选素数。这些素数必须在使用之前使用 -T 选项进行安全筛选。

     -g      在使用 -r 打印指纹资源记录的时候使用通用的 DNS 格式。

     -H      对 known_hosts 文件进行散列计算。这将把文件中的所有主机名/ip地址替换为相应的散列值。
             原来文件的内容将会添加一个".old"后缀后保存。这些散列值只能被 ssh 和 sshd 使用。
             这个选项不会修改已经经过散列的主机名/ip地址，因此可以在部分公钥已经散列过的文件上安全使用。

     -i      读取未加密的SSH-2兼容的私钥/公钥文件，然后在 stdout 显示OpenSSH兼容的私钥/公钥。
             该选项主要用于从多种商业版本的SSH中导入密钥。

     -l      显示公钥文件的指纹数据。它也支持 RSA1 的私钥。
             对于RSA和DSA密钥，将会寻找对应的公钥文件，然后显示其指纹数据。

     -M memory
             指定在生成 DH-GEXS 候选素数的时候最大内存用量(MB)。

     -N new_passphrase
             提供一个新的密语。

     -P passphrase
             提供(旧)密语。

     -p      要求改变某私钥文件的密语而不重建私钥。程序将提示输入私钥文件名、原来的密语、以及两次输入新密语。

     -q      安静模式。用于在 /etc/rc 中创建新密钥的时候。

     -R hostname
             从 known_hosts 文件中删除所有属于 hostname 的密钥。
             这个选项主要用于删除经过散列的主机(参见 -H 选项)的密钥。

     -r hostname
             打印名为 hostname 的公钥文件的 SSHFP 指纹资源记录。

     -S start
             指定在生成 DH-GEX 候选模数时的起始点(16进制)。

     -T output_file
             测试 Diffie-Hellman group exchange 候选素数(由 -G 选项生成)的安全性。

     -t type
             指定要创建的密钥类型。可以使用："rsa1"(SSH-1) "rsa"(SSH-2) "dsa"(SSH-2)

     -U reader
             把现存的RSA私钥上传到智能卡 reader

     -v      详细模式。ssh-keygen 将会输出处理过程的详细调试信息。常用于调试模数的产生过程。
             重复使用多个 -v 选项将会增加信息的详细程度(最大3次)。

     -W generator
             指定在为 DH-GEX 测试候选模数时想要使用的 generator

     -y      读取OpenSSH专有格式的公钥文件，并将OpenSSH公钥显示在 stdout 上。