马哥教育第七周作业

1、创建私有CA并进行证书申请。

#创建CA(签证机构)相关的目录存放私钥以及证书等
[root@centos8 ~]# mkdir -p /etc/pki/CA/{certs,crl,newcerts,private}
[root@centos8 ~]# tree /etc/pki/CA
/etc/pki/CA
├── certs
├── crl
├── newcerts
└── private

#创建存放证书索引数据文件和证书序号文件
[root@centos8 ~]# touch /etc/pki/CA/index.txt
[root@centos8 ~]# echo 0F > /etc/pki/CA/serial
[root@centos8 ~]# cd /etc/pki/CA
[root@centos8 CA]# tree
.
├── certs
├── crl
├── index.txt
├── newcerts
├── private
└── serial

4 directories, 2 files

#创建CA(签证机构)的私钥
[root@centos8 CA]# pwd
/etc/pki/CA
[root@centos8 CA]# (umask 066;openssl genrsa -out private/prikey.pem 2048)
Generating RSA private key, 2048 bit long modulus (2 primes)
..............+++++
..............................................+++++
e is 65537 (0x010001)
[root@centos8 CA]# tree
.
├── certs
├── crl
├── index.txt
├── newcerts
├── private
│   └── prikey.pem
└── serial

4 directories, 3 files
注意：存放私钥的路径：/etc/pki/CA/private/prikey.pem

#给CA(签证机构)颁发自签名证书（自签名证书）
[root@centos8 CA]# openssl req -new -x509 -key private/prikey.pem -days 3650 -out /
cacert.pem(cacert.pem自签名的证书)
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:anhui
Locality Name (eg, city) [Default City]:hefei
Organization Name (eg, company) [Default Company Ltd]:zs
Organizational Unit Name (eg, section) []:IT
Common Name (eg, your name or your server's hostname) []:ca.zs.com     
Email Address []:admin@zs.com


注意：Country Name (2 letter code) [XX]:CN
     tate or Province Name (full name) []:anhui
     Organization Name (eg, company) [Default Company Ltd]用户申请的证书文件这三处必须一样
 #
 [root@centos8 CA]# tree
.
├── cacert.pem
├── certs
├── crl
├── index.txt
├── newcerts
├── private
│   └── prikey.pem
└── serial

#存放用户私钥的文件夹
[root@centos8 ~]# mkdir  /data/pki
[root@centos8 ~]# tree /data
/data
└── pki
#给用户申请私钥
[root@centos8 ~]# (umask 066;openssl genrsa -out /data/pki/pri1.key 2048)
Generating RSA private key, 2048 bit long modulus (2 primes)
......+++++
.....................+++++
e is 65537 (0x010001)
[root@centos8 ~]# tree /data
/data
└── pki
    └── pri1.key

1 directory, 1 file
#申请证书文件
[root@centos8 ~]# openssl req -new -key /data/pki/pri1.key -out /data/pki/client.csr
(/data/pki/client.csr就是客户端申请的证书文件)
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:anhui
Locality Name (eg, city) [Default City]:liuan
Organization Name (eg, company) [Default Company Ltd]:zs
Organizational Unit Name (eg, section) []:sale
Common Name (eg, your name or your server's hostname) []:zs.org
Email Address []:admin@zs.org

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
[root@centos8 ~]# tree /data
/data
└── pki
    ├── client.csr
    └── pri1.key

1 directory, 2 files
注意：申请证书文件后查看是否有client.csr文件生成，若有就申请成功，若无就没有申请成功

#CA颁发给客户的证书
[root@centos8 ~]#openssl ca -in /data/pki/client.csr -out /etc/pki/CA/certs/client.crt -days 1000
注意：如果CA给客户端颁发证书出现报错提示说私钥文件夹不存在，此时把/etc/pki/tls/openssl.cnf配置文件里面的私钥文件夹的名字改成创建私钥的文件即可(默认的文件cakey.pem)

2、总结ssh常用参数、用法

1、连接到远程主机：
命令格式 ：
ssh name@remoteserver 或者
ssh remoteserver -l name
说明：以上两种方式都可以远程登录到远程主机，server代表远程主机，name为登录远程主机的用户名。
2、连接到远程主机指定的端口：
命令格式：
ssh name@remoteserver -p 2222 或者
ssh remoteserver -l name -p 2222
说明：p 参数指定端口号，通常在路由里做端口映射时，我们不会把22端口直接映射出去，而是转换成其他端口号，这时就需要使用-p端口号命令格式。
3、通过远程主机1跳到远程主机2：
命令格式：
ssh -t remoteserver1 ssh remoteserver2
说明：当远程主机remoteserver2无法直接到达时，可以使用-t参数，然后由remoteserver1跳转到remoteserver2。在此过程中要先输入remoteserver1的密码，然后再输入remoteserver2的密码，然后就可以操作remoteserver2了。
4、通过SSH运行远程shell命令：
命令格式：
ssh -l name remoteserver ‘command’
说明：连接到远程主机，并执行远程主机的command命令。例如：查看远程主机的内存使用情况。
$ ssh -l root 192.168.1.100 svmon -G
5、修改SSH监听端口：
默认情况下，SSH监听连接端口22，攻击者使用端口扫描软件就可以看到主机是否运行有SSH服务，将SSH端口修改为大于1024的端口是一个明智的选择，因为大多数端口扫描软件（包括nmap）默认情况都不扫描高位端口。打开/etc/ssh/sshd_config文件并查找下面这样的行：
Port 22
去掉该行前面的# 号，然后修改端口号并重新启动SSH服务：
$ /etc/init.d/ssh restart
6、仅允许SSH协议版本2：
有两个SSH协议版本，仅使用SSH协议版本2会更安全，SSH协议版本1有安全问题，包括中间人攻击（man-in-the-middle）和注入（insertion）攻击。编辑/etc/ssh/sshd_config文件并查找下面这样的行：
# Protocol 2，1
修改为
Protocol 2
7、禁止root用户登录：
通常情况下，不采用直接用root用户登录到远程主机，由于root用户拥有超级权限，这样会带来安全隐患，所以，一般我们用普通用户登录，当需要管理远程主机时，再切换到root用户下。打开/etc/ssh/sshd_config文件并查找下面这样的行：
#PermitRootLogin yes
将#号去掉，然后将yes修改成no，重启ssh服务，这样就可以禁止root用户登录。
8、设置登录时提示信息
首先编辑一个文件，如bannertest.txt，文件内容自行定义。然后打开/etc/ssh/sshd_config文件并查找下面这样的行：
#Banner /some/path
将#号去掉，然后将bannertest.txt文件的全路径替换/some/path，然后保存，重启ssh服务。当客户端登录时，就会看到bannertest.txt文件中的提示信息。
9、进行端口映射：
假如公司内网有台web服务器，但是只对内不对外，这样，外网就无法访问，可以用ssh进行端口映射来实现外网访问内网的web服务器。假如web服务器名为webserver，webserver可以用ssh访问到远端主机remoteserver，登录到webserver，然后用下面命令进行映射
命令格式：
ssh -R 3000:localhost:80 remoteserver
执行完成后，在remoteserver机器上，执行netstat -an | grep 3000，查看有没有开通3000端口。并执行以下命令观察是否可以打开webserver上的网页
$ w3m http://127.0.0.1:3000
如果能打开界面，说明映射成功.但是，这只限于本机访问web服务器，即只能remoteserver机器访问webserver。因为3000端口绑定的是remoteserver机器的127.0.0.1端口。可以编辑remoteserver机器上的/etc/ssh/sshd_config文件并添加如下内容：
添加 GatewayPorts yes 内容，把监听端口3000绑定到 0.0.0.0 地址上，这样外部的所有机器都能访问到这个监听端口，然后保存退出。并重启ssh服务。完成后其它机器就可以在浏览器中输入 http://remoteserver:3000来访问webserver了。

3、总结sshd服务常用参数。（科学上网的方法不要往博客写，访问量超过一万，博客会被封。）

服务器端的配置文件: /etc/ssh/sshd_config

常用参数：

Port                                                                         #端口号

ListenAddress ipLoginGraceTime 2m            #宽限期

PermitRootLogin yes                                          #默认ubuntu不允许root远程ssh登录

StrictModes yes                                                   #检查.ssh/文件的所有者，权限等

MaxAuthTries   6     

MaxSessions  10                                                   #同一个连接最大会话

PubkeyAuthentication yes                                 #基于key验证

PermitEmptyPasswords no                               #空密码连接

PasswordAuthentication yes                             #基于用户名和密码连接

GatewayPorts no

ClientAliveInterval 10                                        #单位:秒

ClientAliveCountMax 3                                     #默认3

UseDNS yes                                                         #提高速度可改为no

GSSAPIAuthentication yes                              #提高速度可改为no

MaxStartups                                                       #未认证连接最大值，默认值10

Banner /path/file

#以下可以限制可登录用户的办法：

AllowUsers user1 user2 user3

DenyUsers

AllowGroups

ssh服务的最佳实践

建议使用非默认端口

禁止使用protocol version 1

限制可登录用户

设定空闲会话超时时长

利用防火墙设置ssh访问策略仅监听特定的IP地址

基于口令认证时，使用强密码策略，比如：tr -dc A-Za-z0-9_ < /dev/urandom | head -c 12|

xargs

使用基于密钥的认证

禁止使用空密码

禁止root用户直接登录

限制ssh的访问频度和并发在线数

经常分析日志