day17-远程管理SSH服务

最新推荐文章于 2024-04-25 22:30:19 发布
最新推荐文章于 2024-04-25 22:30:19 发布
阅读量136 收藏
点赞数
分类专栏： # linux 文章标签： linux 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kuangzeng/article/details/118551833
版权

远程管理SSH服务

一、搭建SSH服务

1、关闭防火墙与SELinux

# 关闭firewalld防火墙
# 临时关闭
systemctl stop firewalld
# 关闭开机自启动
systemctl disable firewalld

# 关闭selinux
# 临时关闭
setenforce 0
# 修改配置文件  永久关闭
vim /etc/selinux/config
SELINUX=disabled

2、配置yum源

在这里插入图片描述

JumpServer配置外网YUM源 => 阿里云

# mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup
# wget -O /etc/yum.repos.d/CentOS-Base.repo https://mirrors.aliyun.com/repo/Centos-7.repo
# yum clean all
# yum makecache

RealServer配置本地YUM源 => 把光盘镜像作为仓库（自建YUM仓库）

① 挂载光盘

# mkdir /mnt/cdrom
# mount -o ro /dev/sr0 /mnt/cdrom

# chmod +x /etc/rc.local
# echo 'mount -o ro /dev/sr0 /mnt/cdrom' >> /etc/rc.local

② 编写local.repo文件

# cd /etc/yum.repos.d
# vim local.repo
[local]
name=local yum
baseurl=file:///mnt/cdrom
enabled=1
gpgcheck=0

3、openssh软件的安装

SSH服务底层的软件名称叫做openssh，open开源，ssh就是ssh服务。openssh属于C/S架构软件，其拥有客户端与服务器端。

客户端：ssh

服务端：openssh-server

安装步骤：

# yum install openssh -y

检查openssh是否安装成功

# rpm -qa |grep openssh
或
# yum list installed |grep openssh

获取openssh生成的文件列表

# rpm -ql openssh-server

# 配置文件
/etc/ssh/sshd_config					    =>      ssh服务的主配置文件
/etc/sysconfig/sshd
# 服务管理脚本
/usr/lib/systemd/system/sshd.service		=>      systemctl start sshd
# 文件共享服务 提供文件上传下载的服务
/usr/libexec/openssh/sftp-server
# 二进制文件程序文件
/usr/sbin/sshd
# 公钥生成工具
/usr/sbin/sshd-keygen
# man手册
/usr/share/man/man5/sshd_config.5.gz
/usr/share/man/man8/sftp-server.8.gz
/usr/share/man/man8/sshd.8.gz

# rpm -ql openssh-clients

# 客户端配置文件
/etc/ssh/ssh_config
# 远程copy命令 服务器间进行文件传输
/usr/bin/scp
# sftp客户端  上传下载文件操作
/usr/bin/sftp
/usr/bin/slogin
/usr/bin/ssh
/usr/bin/ssh-add
/usr/bin/ssh-agent
/usr/bin/ssh-copy-id
/usr/bin/ssh-keyscan
# 客户端man手册
/usr/share/man/man1/scp.1.gz
/usr/share/man/man1/sftp.1.gz
/usr/share/man/man1/slogin.1.gz
/usr/share/man/man1/ssh-add.1.gz
/usr/share/man/man1/ssh-agent.1.gz
/usr/share/man/man1/ssh-copy-id.1.gz
/usr/share/man/man1/ssh-keyscan.1.gz
/usr/share/man/man1/ssh.1.gz
/usr/share/man/man5/ssh_config.5.gz
/usr/share/man/man8/ssh-pkcs11-helper.8.gz

4、查看并修改ssh服务端的配置文件

# man 5 sshd_config

RealServer：禁止root账号远程登录

# man 5 sshd_config
PermitRootLogin	=> yes or no，默认为yes 代表允许通过root账号远程登录此服务器

# vim /etc/ssh/sshd_config
38行 PermitRootLogin no

5、sshd服务管理

# systemctl restart sshd	=>   重启
# systemctl status sshd		=> 	 状态
# systemctl stop sshd		=>   停止
# systemctl start sshd		=>   启动

# systemctl enable sshd		=>	 开机自启动
# systemctl disable sshd	=> 	 开机不自启

# ps -ef |grep sshd			=>	 进程
或
# netstat -tnlp |grep sshd	=> 	 端口
或
# ss -naltp |grep sshd

二、SSH服务任务解决方案

1、创建用户并授权

JumpServer跳板机创建用户并授权

第一步：创建用户与用户组（html前端组，tom与jerry）

# 创建html前端组
# groupadd html

# 创建组内用户tom与jerry
# useradd -g html tom
# useradd -g html jerry

第二步：为用户添加密码

# echo 123456 |passwd --stdin tom
# echo 123456 |passwd --stdin jerry

第三步：为开发人员创建数据目录并且设置相应的权限

① 创建用户的数据目录：

# mkdir -p /code/html		=>    前端组
# ll -d /code/html
drwxr-xr-x. 2 root root 6 May 24 10:36 /code/html

② 更改目录的文件所属组（更改为html，代表html组内成员可以对这个目录进行管理）

# chgrp -R html /code/html
drwxr-xr-x. 2 root html 6 May 24 10:36 /code/html
# chmod -R g+w /code/html
drwxrwxr-x. 2 root html 6 May 24 10:36 /code/html

③ 添加粘滞位权限，防止误删除操作

# chmod 1770 /code/html
drwxrwx--T. 2 root html 6 May 24 10:36 /code/html

2、测试用户权限

测试用户权限是否设置成功，可以结合第1步一起完成

3、禁用root登录

RealServer服务器端：

# vim /etc/ssh/sshd_config
PermitRootLogin no

4、更改SSH默认端口

RealServer服务器端：

# vim /etc/ssh/sshd_config
17行 Port 3712

5、重启SSH服务

# systemctl restart sshd
或
# systemctl reload sshd

restart与reload的本质区别：

① restart其实相当于stop然后在start

② reload不停止现有业务，只是重新加载sshd对应的配置文件

6、在RealServer创建一个code账号

# useradd code
# echo 123456 |passwd --stdin code

测试：在JumpServer远程连接RealServer

# ssh -p 3721 code@11.1.1.100

7、SSH客户端不验证指纹

第一次连接远程服务器时：

The authenticity of host '11.1.1.100 (11.1.1.100)' can't be established.
ECDSA key fingerprint is SHA256:Y/cQNWWkX15o2MsJ5HOQBI2m8S33qIA+x3zys8J4pOY.
ECDSA key fingerprint is MD5:76:61:86:8b:d5:ee:bf:9c:60:e6:12:fa:f6:f0:74:36.
Are you sure you want to continue connecting (yes/no)?yes
Warning: Permanently added '11.1.1.100' (ECDSA) to the list of known hosts.

如果我们不想验证指纹，可以通过更改SSH客户端的配置文件

JumpServer：

# vim /etc/ssh/ssh_config
35行 StrictHostKeyChecking no

8、用专业工具pwgen生成用户密码

在实际生产环境中，其用户密码一定不要手工设置，建议使用专业的密码生成工具如pwgen。

① 安装随机密码生成工具pwgen

② 使用pwgen工具生成随机密码

③ 给账号code设置密码

第一步：创建code开发者账号

# useradd code

第二步：配置EPEL源，安装pwgen工具

# wget -O /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo
# yum clean all
# yum makecache

第三步：安装pwgen密码生成工具

# yum install pwgen -y

第四步：使用pwgen生成随机密码

# pwgen -cnBs1 10 1

扩展：pwgen密码生成器的使用

# pwgen --help
# 用法: pwgen 选项参数 长度 生成个数
Usage: pwgen [ OPTIONS ] [ pw_length ] [ num_pw ]

# 密码中至少包含一个大写字母
-c or –capitalize

# 密码中不包含大写字母
-A or –no-capitalize

# 密码中至少包含一个数字
-n or –numerals

# 密码中不包含数字
-0 or –no-numerals

# 密码中至少包含一个特殊符号
-y or –symbols

# 生成完全随机密码
-s or –secure

# 密码中不包含歧义字符（例如1,l,O,0）
-B or –ambiguous

# 使用SHA1 hash给定的文件作为一个随机种子
-H or –sha1=path/to/file[#seed]

# 在列中打印生成的密码
-C

# 不要在列中打印生成的密码，即一行一个密码
-1

# 不要使用任何元音，以避免偶然的脏话
-v or –no-vowels

三、SSH服务补充

1、scp命令

主要功能：用于Linux系统与Linux系统之间进行文件的传输（上传、下载）

上传：

# scp [选项] 本地文件路径 远程用户名@远程服务器的IP地址:远程文件存储路径
-r : 递归上传，主要针对文件夹
-P : 更换了SSH服务的默认端口必须使用-P选项

下载：

# scp [选项] 远程用户名@远程服务器的IP地址:远程文件路径 本地文件存储路径
-r : 递归上传，主要针对文件夹
-P : 更换了SSH服务的默认端口必须使用-P选项

2、踢出用户

# 查看当前在线用户
w
# 踢出某个账号
pkill -kill -t pts/1

四、SSH免密登录解决方案

1、为什么需要免密登录

在这里插入图片描述

2、SSH认证原理（基于用户名密码+基于密钥对）

① 回顾基于用户名密码的认证方式

在这里插入图片描述

② 基于密钥对（公钥与私钥）的认证方式 => 免密登录

在这里插入图片描述

A主机 => JumpServer，B主机 => RealServer

第一步：在A主机（JumpServer）生成一个密钥对（公钥和私钥）

第二步：把A主机的公钥通过网络拷贝到B主机（RealServer）上，然后把其内容追加到B主机的~/.ssh/authorized_keys

第三步：由A主机（JumpServer）向B主机（RealServer）发起登录请求，然后直接在B主机上进行公钥比对（判断A主机的公钥是否已经存储在B主机的authorized_keys文件中），如果存在且正确，则生成一个随机的字符串（如itcast），然后使用A主机的公钥对其加密得到加密的后字符串（如dXdh,34njasz!z.）

第四步：通过网络，由B主机讲刚才生成的加密后的字符串传输给主机A，主机A接收到加密后的字符串以后，使用自己本地存储的私钥进行解密操作（得到itcast）

第五步：把解密得到的itcast发送到B主机，然后验证与刚才生成的字符串是否一致，如果一致，返回登录成功。反之，则返回登录失败。

到此免密登录全部完成！

3、SSH免密登录的具体实现

SSH免密的实现思路一共分为三个步骤（三步走）

第一步：在A主机针对某个账号（tom或jerry）生成公钥与私钥

第二步：使用某些方法把公钥发送到B主机中，然后追加到authorized_keys文件中

第三步：测试是否实现免密登录

☆ 方法一：比较常用(tom)

① 在A主机针对某个账号生成公钥与私钥

# ssh-keygen

在这里插入图片描述

注：如果不想一路确认，可以在ssh-keygen -P “”，直接生成公私钥

② 使用ssh-copy-id把公钥文件中的内容传输到服务器端的~/.ssh/authorized_keys文件中

# ssh-copy-id -p 3712 code@11.1.1.100
code@11.1.1.100's password:123456

③ 在JumpServer客户端测试免密登录是否成功

# ssh -p 3721 code@11.1.1.100

☆ 方法二：集群常用(jerry)

① 生成公钥与私钥

# ssh-keygen

② 把id_rsa.pub文件，scp到RealServer服务器端

# scp -P 3721 ~/.ssh/id_rsa.pub code@11.1.1.100:/home/code/

③ 在RealServer服务器端，把id_rsa.pub文件中的内容追加到~/.ssh/authorized_keys文件中

# cd ~
# cat id_rsa.pub >> ~/.ssh/authorized_keys

注意事项：以上配置也比较简单，但是实际应用时要注意文件的权限

RealServer：
~/.ssh : 700
~/.ssh/authorized_keys : 600

④ 测试免密是否成功

# ssh -p 3721 code@11.1.1.100

① 生成公钥与私钥

# ssh-keygen

② 把id_rsa.pub文件，scp到RealServer服务器端

# scp -P 3721 ~/.ssh/id_rsa.pub code@11.1.1.100:/home/code/

③ 在RealServer服务器端，把id_rsa.pub文件中的内容追加到~/.ssh/authorized_keys文件中

# cd ~
# cat id_rsa.pub >> ~/.ssh/authorized_keys

注意事项：以上配置也比较简单，但是实际应用时要注意文件的权限

RealServer：
~/.ssh : 700
~/.ssh/authorized_keys : 600

④ 测试免密是否成功

# ssh -p 3721 code@11.1.1.100
爪蛙毁一生
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
SSH远程管理服务
executive
09-10 1308
文章目录ssh基本概述SSH与telnet安装telnet服务并运行使用wireshark检测vmnet8网卡上telnet的流量使用wireshark检测vmnet8网卡上telnet的流量telnet无法使用root用户登录linux 系统，需要创建普通用户使用普通用户进行telnet登录搜索wireshark 包含telnet相关流量分析ssh流量SSH相关命令ssh远程登录服务器命令示例s...
Day-09-ssh服务管理远程主机
淡然若水
09-08 437
使用ssh服务管理远程主机 9.1 配置网络服务 9.1.1 配置网络参数 配置网卡信息 [root@Smoking ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens32 TYPE=Ethernet PROXY_METHOD=none BROWSER_ONLY=no BOOTPROTO=dhcp DEFROUTE=yes ...
远程管理服务ssh
sb_com的博客
06-11 296
实验环境:centos7.6,2G内存,50G硬盘大小,虚拟机服务端ip:172.16.1.61 客户端ip:172.16.1.7,172.16.1.741,172.16.1.41 SSh服务连接工作原理 1)客户端主动向服务端发起连接请求 2)服务端接收到信息后,将自己的公钥(/etc/ssh/ssh_host_ed25519_key.pub)发送给客户端 3)客户端会提示你是否(yes/no)连接,当输入yes后 4)客户端将服务端发过来的公钥进行存储,放在/root/.ssh/known_hosts
开源 5k star 的定时任务管理系统，我爱了！
Kuls
01-23 5305
大家好，我是K哥。最近K哥的交流群里有读者分享了一款非常不错的定时任务管理系统。K哥也去玩了一下，真的非常不错。可能有些小伙伴还不知道有啥用，其实很简单，可以举个简单的小例子。例如我们想要...
linux中创建的一个web应用怎么给他添加上用户名密码,linux 账户管理命令 useradd、groupadd使用方法...
weixin_42520239的博客
04-29 539
内容提要：1. 掌握用户的 增/删/改 命令2. 掌握组的 增/删/改 命令组管理1)groupaddgroupadd 用于添加组账号。格式如下：groupadd [-g GID] GROUP其中：GROUP：是要添加的组名-g：用于指定 GID，默认为使用当前最大的 GID 加1举例： 添加一个新组 leader# groupadd leader# grep leader /etc/groupl...
linux的防火墙和ssh连接
菜鸟-传奇
05-10 1309
Centos 7 的防火墙和ssh连接 Centos 7 firewall ： 1、firewalld的基本使用 启动： systemctl start firewalld 关闭： systemctl stop firewalld 查看状态： systemctl status firewalld 开机禁用 ： systemctl disable firewalld 开机启用 ...
Day 22 SSH远程管理服务
最新发布
xlv133922的博客
04-25 1349
sshd服务，系统自带，默认开机自启运行云/物理服务器的安全组和防火墙默认放行该端口软件包：openssh-server（服务端）；openssh-client（客户端）；：ssh指定端口登录，一般用于登录修改过端口号的服务器使用指定密钥文件登录：打开对方服务器下带有图形化界面的应用，X11。
day16-SSH远程管理服务
爪蛙毁一生的博客
07-06 181
SSH远程管理服务 一、SSH概述 ​ 熟悉Linux的人那肯定都对SSH不陌生。ssh是一种用于安全访问远程服务器的协议，远程管理工具。它之所以集万千宠爱为一身，就是因为它的安全性。那么它到底是怎么样来保证安全的呢？到底是如何工作的呢？ 1、加密算法（了解） ☆ 对称加密算法(DES) [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-fQApe9CI-1625554795735)(media/image-20200523093832693.png)] Jack想要
day03-菜品管理 day03-菜品管理
11-03
day03-菜品管理
day17--mysql单表1
08-08
day17--mysql单表1
day05-店铺营业状态设置
11-03
day05-店铺营业状态设置
day08-HTTP&Tomcat&Servlet
10-28
day08-HTTP&Tomcat&Servlet
day11-用户管理.pdf
04-28
day11-用户管理.pdf
day73-虚拟化技术(KVM)1
爪蛙毁一生的博客
09-07 551
虚拟化技术（KVM） 虚拟化 一、虚拟化技术概述 学习目标 能够了解虚拟化技术分类方法 能够了解虚拟化技术实现目的 能够了解虚拟化产品有哪些 能够了解QEMU功能 能够掌握KVM功能 能够掌握libvirt功能 1.虚拟化技术即是对资源的抽象 2.从资源提供角度分类 2.1 平台虚拟化 如果把X86平台的CPU，内存和外设做为资源，那对应的虚拟化技术就是平台虚拟化，在同一个X86平台上面，可以 虚拟多个X86平台，每个平台可以运行自己独立完整的操作系统。 例如：QEMU,KVM,
day74-虚拟化技术(KVM)2
爪蛙毁一生的博客
09-09 489
虚拟化技术（KVM） 一、KVM网络虚拟化技术 学习目标 能够了解半虚拟化驱动工作原理 能够下载半虚拟化驱动 能够查看主机是否支持半虚拟化驱动 能够安装半虚拟化驱动 能够通过virt-manager为虚拟机添加网卡 能够通过virsh命令为虚拟机添加网卡 能够添加四种虚拟网络交换机 1. 为什么使用半虚拟化驱动？ 虚拟化层完全模拟出来的网卡 全虚拟化网卡环境中，一个完整的数据包从虚拟机到物理机网卡的路径是: 通过驱动对操作系统进行了修改，即Virtio技术 半虚拟化网卡环境
day53-分布式存储之glusterfs
爪蛙毁一生的博客
08-14 452
任务背景 实现了远程的存储共享(NAS或SAN)后, 公司业务发展迅速, 存储空间还需要增大。使用NAS或SAN都不方便扩容，NAS可以增加新的挂载目录, SAN可以增加新的硬盘，但我们希望直接在原来挂载的业务目录上实现在线扩容，数据体量越来越大, 这个时候我们就可以考虑使用**分布式存储**了。 任务要求 1, 将远程多台服务器的空闲存储空间整合,组合成一个大存储给应用服务器(如apache,nginx,tomcat,mysql等)使用 2, 考虑高可用与负载均衡原则，并能实现在线扩容 任务拆解 1,
day10-Linux计划任务&进程检测与控制
爪蛙毁一生的博客
06-25 385
Linux计划任务以及进程检测与控制 一、Linux计划任务 1、计划任务权限 ☆ 黑名单 crontab是任何用户都可以创建的计划任务，但是超级管理员可以通过配置来设置某些用户不允许设置计划任务 。 提出问题：如果我们想限定某个用户（如itheima）使用计划任务，如何处理呢？ 答：可以使用计划任务的黑名单，黑名单文件路径 => /etc/cron.deny文件 案例：把普通账号itheima加入到cron.deny黑名单中，禁止其创建计划任务 第一步：切换到超级管理员root # su - roo
day08-Linux自有服务&软件包管理
爪蛙毁一生的博客
06-22 382
自有服务，即不需要用户独立去安装的软件的服务，而是当系统安装好之后就可以直接使用的服务（内置） 学习目标 1、了解systemctl命令用途 2、掌握使用systemctl开启，关闭，重启服务 3、了解常见自有服务ntpd,firewalld,crond的作用 4、掌握ntpdate时间同步原理与实现 5、掌握防火墙的相关操作（添加和删除简单规则，开启，关闭防火墙） 6、了解源码包和二进制包的区别 7、掌握rpm包的卸载、安装以及更新操作 8、了解计划任务的作用 9、掌握计划任务的编辑 一、自有服务概述 ​
day--和--day区别
04-18
"day--"和"day"是两种不同的操作符，它们在编程中有着不同的含义和用法。 1. "day--"是一个后缀自减操作符，用于将变量的值减1，并返回减1之前的值。例如，如果有一个变量day的值为5，执行day--操作后，day的值将...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

爪蛙毁一生

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值