远程访问及控制

最新推荐文章于 2023-06-05 09:38:22 发布

屑妖梦只想摸鱼鱼

最新推荐文章于 2023-06-05 09:38:22 发布

阅读量594

点赞数

本文链接：https://blog.csdn.net/frostleaf_/article/details/120009165

版权

一、SSH远程管理

1、SSH (Secure Shell)协议

一、SSH远程管理

1、SSH (Secure Shell)协议

是一种安全通道协议，主要用来实现字符界面的远程登录、远程复制等功能。通过对通信数据进行加密处理，其中包括用户登录时输入的用户口令，是建立在应用层和传输层基础上的安全协议，用于远程管理。

2、SSH客户端和服务端

SSH客户端：Putty、Xshell、CRT、Mobaxterm

SSH服务端:OpenssH

OpensSH是实现SSH协议的开源软件项目，适用于各种UNIX、 Linux操作系统。Centos 7系

统默认已安装openssh相关软件包，并将sshd 服务添加为开机自启动。执行"systemctl start

sshd"命令即可启动sshd服务。查看服务状态执行“systemctl status sshd”命令。查看服务是否自启

动执行“systemctl is-enabled sshd”命令。

ssh服务端主要包括两个服务功能：ssh远程链接和sftp服务

作用：SSHD服务使用SSH协议可以用来进行远程控制，或在计算机之间传送文件。相比较之

前用Telnet方式来传输文件要安全很多，因为Telnet使用明文传输，SSH是加密传输，利用ssh协议

可以有效防止:远程管理过程中的信息泄露问题，透过SSH可以对所有传输的数据进行加密，也能

够防止DNS欺骗和IP欺骗。

3、SSH端口、配置文件

sshd 服务默认使用的是TCP的22端口，安全协议版本sshv2，出来2之外还有1(有漏洞)

sshd服务的默认配置文件是/etc/ ssh/ sshd_config

ssh_config和sshd_config都是ssh服务器的配置文件，二者区别在于前者是针对客户端的配置

文件，后者则是针对服务-的配置文件。

二、配置OpenSSH服务端

1、服务监听选项

sshd服务使用的默认端口号为22，必要时建议修改此端口号，并指定监听服务的具体IP地址，以提高在网络中的隐蔽性。除此之外，SSH协议的版本选用V2比V1的安全性更好，禁用DNS反向解析可以提高服务器的响应速度。

#Port 22
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress::

2、用户登录控制
sshd服务默认允许root用户登录，当在Internet中使用时这是非常不安全的。普遍的做法是：先以普通用户远程登入，进入安全Shell环境后，根据实际需要使用su命令切换为root用户。

关于sshd服务的用户登录控制，通常应禁止root用户或密码为空的用户登录。另外，可以限制登录验证的时间（默认为2分钟）及最大重试次数，若超过限制后任未能登录则断开连接。
当希望只允许或禁止某些用户登录时，可以使用AllowUsers或DenyUsers配置，两者用法相似（注意不要同时使用）。例如，若只允许jerry和admin用户登录，且其中admin用户仅能够从IP地址为61.23.24.25的主机远程登录。

3、登录验证方式

sshd服务支持两种验证方式——密码验证、密钥对验证，可以设置只使用其中一个，也可以两种方式都启用。

3-1、密码验证

以服务器中本地系统用户的登录名称、密码进行验证。这种方式使用最为简便，但从客户机角度来看，正在连接的服务器有可能被假冒；从服务器角度来看，当遭遇密码穷举（暴力破解）攻击时防御能力比较弱。

3-3、密钥对验证

要求提供相匹配的密钥信息才能通过验证。通常先在客户机中创建一对密钥文件（公钥、私钥），然后将公钥文件放到服务器中的指定位置。远程登录时，系统将使用公钥、私钥进行加密/解密关联验证，大大增强了远程管理的安全性。

关于公钥和私钥，它们的关系如下：公钥和私钥是成对生成的，这两个密钥互不相同，可以互相加密和解密；不能根据一个密钥来推算出另一个密钥；公钥对外公开，私钥只有私钥的持有人才知道。如果用公钥对数据进行加密，只有用相对应的私钥才能解密；如果用私钥对数据进行加密，那么只有用对应的公钥才能解密。

如果要想连接到带有公钥的SSH服务器，客户端ssH软件就会向SSH服务器发出请求，请求用联机的用户密钥进行安全验证。SSH服务器收到请求之后，会先在该SSH服务器上连接的用户的家目录下寻找事先放上去的对应用户的公用密钥，然后把它和连接的客户端发送过来的公用密钥进行比较。如果两个密钥一致，SSH服务器就用公钥加密"质询"( challenge)并把它发送给SSH客户端。

当密码验证、密钥对验证都启用时，服务器将优先使用密钥对验证。对于安全性要求较高的服务器，建议将密码验证方式禁用，只允许启用密钥对验证方式；若没有特殊要求，则两种方式都可启用。

三、使用SSH客户端程序

1、ssh远程登录

通过ssh命令可以远程登录sshd服务，为用户提供一个安全的Shell环境，以便对服务器进行管理和维护。使用时应指定登录用户、目标主机地址作为参数。

1-1、登录方法一

ssh [远程主机用户名]@[远程服务器主机名或IP地址] (-p) port（端口号）
当在Linux主机上远程连接另一台Linux主机时，如当前所登录的用户是 root 的话，当连接另一台主机时也是用root用户登录时，可以直接使用ssh IP，端口默认即可，如果端口不是默认的情况下，需要使用-p 指定端口。
注:第一次登录服务器时系统没有保存远程主机的信息，为了确认该主机身份会提示用户是否继续连接，输入yes后登录，这时系统会将远程服务器信息写入用户主目录下的$HONE/.ssh/known_hosts文件中，下次再进行登录时因为保存有该主机信息就不会再提示了

1-2、登录方法二

ssh -l [远程主机用户名] [远程服务器主机名或IP地址] （ -p） port（端口号） -l ：指定登录名称。-p：指定登录端口（当服务端的端口非默认时，需要使用-p 指定端口进行登录)

2、scp远程复制

安全性复制。scp是secure copy的简写，用于在Linux下进行远程拷贝文件的命令，而且scp传输是加密的。使用scp命令时，必须指定复制源、目标，还应指定目标主机地址、登录用户、执行后提示验证口令。

3、sftp安全FTP

sftp是stcure File Transfer Protocol的缩写，安全文件传送协议。可以为传输文件提供一种安全的网络的加密方法。sftp 与ftp有着几乎一样的语法和功能。SFTP 为 SSH的其中一部分，其实在sSH软件包中，已经包含了一个叫作SFTP(Secure File Transfer Protocol)的安全文件信息传输子系统，SFT本身没有单独的守护进程，它必须使用sshd守护进程（端口号默认是22)来完成相应的连接和答复操作。
所以，使用SFTP是非常安全的。但是，由于这种传输方式使用了加密/解密技术，所以传输效率比普通的FT要低得多，如果您对网络安全性要求更高时，可以使用SFTP代替FTP。

四、构建密钥对验证的SSH体系

在客户端创建密钥对

通过ssh-keygen.工.具为当前用户创建密钥对文件。可用的加密算法为RSA、ECDSA或nsA等（ ssh- keygen命令的"-t"选项用于指定算法类型)。

1.在客户端创建密钥对
useradd admin
echo "123123" |passwd --stdin admin
su - admin
ssh-keygen -t ecdsa
  Generating public/private ecdsa key pair.
  Enter file in which to save the key (/home/admin/.ssh/id_ecdsa): #指定私钥位置，直接回 
                                                                      车使用默认位置
  created directory '/home/admin/.ssh '.   #生成的私钥、公钥文件默认存放在宿主目录中的隐藏 
                                            目录.ssh/下
  Enter passphrase (empty for no passphrase):  #设置私钥的密码
  Enter same passphrase again:   #确认输入
ls -lh ~/.ssh/id_ecdsa*    #确认生成的密钥文件   id_ecdsa是私钥文件，权限默认为600，必须妥善 
                            保管，不能泄露; id_ecdsa.pub是公钥文件，用来提供给ssH服务器"
2.将公钥文件.上传至服务器
scp ~/.ssh/id_ecdsa.pub root@192.168.80.10:/opt 
或
#此方法可直接在服务器的/home/zhangsan/.ssh/目录中导入公钥文本
cd ~/.ssh/
ssh-copy-id -i id_ecdsa.pub zhangsan@192.168.80.10
3．在服务器中导入公钥文本
mkdir -p /home/zhangsan/.ssh/
cat /opt/id_ecdsa.pub >> /home/zhangsan/.ssh/authorized_keys   #目标用户的公钥数据库位于 
 ~/.ssh目录，默认文件名是authorized.keys。通过重定向将公钥文本内容追加到目标用户的公钥数据库。
cat /home/zhangsan/.ssh/authorized_keys
ls -l /home/zhangsan/.ssh/authorized_keys  #查看权限，确保登录的是目标用户或root用户，同组 
     或其他用户对该文件不能有写入权限，否则可能无法成功使用密钥对验证。
4.在客户端使用密钥对验证
ssh zhangsan@192.168.80.10
Enter passphrase for key '/home/admin/.ssh/id_ecdsa':   #输入私钥的密码
5.在客户机设置ssh代理功能，实现免交互登录;
ssh-agent bash
ssh-add .
Enter passphrase for /home/admin/.ssh/id_ecdsa :#输入私钥的密码
ssh zhangsan@192.168.80.10