远程访问及控制

目录

前言

一、SSH远程管理

    1、SSH (Secure Shell)协议

     2、SSH客户端和服务端

     3、SSH端口、配置文件

二、配置OpenSSH服务端

     1、服务监听选项

     2、用户登录控制

     3、登录验证方式

三、使用SSH客户端程序

     1、ssh远程登录

     2、scp远程复制

     3、sftp安全FTP

四、构建密钥对验证的SSH体系

五、TCP Wrappers 访问控制

     1、TCP Wrappers概述

     2、TCP Wrappers的访问策略

     3、实例

总结

---

前言

       目前大多数企业服务器是通过远程登录的方式来进行管理的。当需要从一个工作站管理数以百计的服务器主机时，远程维护的方式将更占优势。

一、SSH远程管理

    1、SSH (Secure Shell)协议

       是一种安全通道协议，主要用来实现字符界面的远程登录、远程复制等功能。

       对通信数据进行了加密处理，其中包括用户登录时输入的用户口令，建立在应用层和传输层            基础上的安全协议，用于远程管理。

     2、SSH客户端和服务端

        SSH客户端：Putty、Xshell、CRT、Mobaxterm

        SSH服务端:OpenssH

        OpensSH是实现SSH协议的开源软件项目，适用于各种UNIX、 Linux操作系统。Centos 7系

统默认已安装openssh相关软件包，并将sshd 服务添加为开机自启动。执行"systemctl start

sshd"命令即可启动sshd服务。查看服务状态执行“systemctl status sshd”命令。查看服务是否自启

动执行“systemctl is-enabled sshd”命令。

       ssh服务端主要包括两个服务功能：ssh远程链接和sftp服务

      作用：SSHD服务使用SSH协议可以用来进行远程控制，或在计算机之间传送文件。相比较之

前用Telnet方式来传输文件要安全很多，因为Telnet使用明文传输，SSH是加密传输，利用ssh协议

可以有效防止:远程管理过程中的信息泄露问题，透过SSH可以对所有传输的数据进行加密，也能

够防止DNS欺骗和IP欺骗。

     3、SSH端口、配置文件

       sshd 服务默认使用的是TCP的22端口，安全协议版本sshv2，出来2之外还有1(有漏洞)

      sshd服务的默认配置文件是/etc/ ssh/ sshd_config

      ssh_config和sshd_config都是ssh服务器的配置文件，二者区别在于前者是针对客户端的配置

文件，后者则是针对服务-的配置文件。

二、配置OpenSSH服务端

     服务名称：sshd

     服务端主程序：/usr/sbin/sshd

     服务端配置文件：/etc/ssh/

     1、服务监听选项

        sshd服务使用的默认端口号为22，必要时建议修改此端口号，并指定监听服务的具体IP地址，以提高在网络中的隐蔽性。除此之外，SSH协议的版本选用V2比V1的安全性更好，禁用DNS反向解析可以提高服务器的响应速度。

[root@localhost ~]# vim /etc/ssh/sshd_config

      2、用户登录控制

         sshd服务默认允许root用户登录，当在Internet中使用时这是非常不安全的。普遍的做法是：先以普通用户远程登入，进入安全Shell环境后，根据实际需要使用su命令切换为root用户。

         关于sshd服务的用户登录控制，通常应禁止root用户或密码为空的用户登录。另外，可以限制登录验证的时间（默认为2分钟）及最大重试次数，若超过限制后任未能登录则断开连接。

[root@localhost ~]# vim /etc/ssh/sshd_config

        当希望只允许或禁止某些用户登录时，可以使用AllowUsers或DenyUsers配置，两者用法相似（注意不要同时使用）。例如，若只允许jerry和admin用户登录，且其中admin用户仅能够从IP地址为61.23.24.25的主机远程登录，可以参考一下操作。

[root@localhost ~]# vim /etc/ssh/sshd_config

     3、登录验证方式

        sshd服务支持两种验证方式——密码验证、密钥对验证，可以设置只使用其中一个，也可以两种方式都启用。

        3-1、密码验证

              以服务器中本地系统用户的登录名称、密码进行验证。这种方式使用最为简便，但从客户机角度来看，正在连接的服务器有可能被假冒；从服务器角度来看，当遭遇密码穷举（暴力破解）攻击时防御能力比较弱。

        3-1、密钥对验证

              要求提供相匹配的密钥信息才能通过验证。通常先在客户机中创建一对密钥文件（公钥、私钥），然后将公钥文件放到服务器中的指定位置。远程登录时，系统将使用公钥、私钥进行加密/解密关联验证，大大增强了远程管理的安全性。

              关于公钥和私钥，它们的关系如下：公钥和私钥是成对生成的，这两个密钥互不相同，可以互相加密和解密；不能根据一个密钥来推算出另一个密钥；公钥对外公开，私钥只有私钥的持有人才知道。如果用公钥对数据进行加密，只有用相对应的私钥才能解密；如果用私钥对数据进行加密，那么只有用对应的公钥才能解密。

               如果要想连接到带有公钥的SSH服务器，客户端ssH软件就会向SSH服务器发出请求，请求用联机的用户密钥进行安全验证。SSH服务器收到请求之后，会先在该SSH服务器上连接的用户的家目录下寻找事先放上去的对应用户的公用密钥，然后把它和连接的客户端发送过来的公用密钥进行比较。如果两个密钥一致，SSH服务器就用公钥加密"质询"( challenge)并把它发送给SSH客户端。

               当密码验证、密钥对验证都启用时，服务器将优先使用密钥对验证。对于安全性要求较高的服务器，建议将密码验证方式禁用，只允许启用密钥对验证方式；若没有特殊要求，则两种方式都可启用。

[root@localhost ~]# vim /etc/ssh/sshd_config

               其中，公钥库文件用来保存各客户机上传的公钥文本，以便与客户机本地的私钥文件进行匹配。

三、使用SSH客户端程序

     1、ssh远程登录

        通过ssh命令可以远程登录sshd服务，为用户提供一个安全的Shell环境，以便对服务器进行管理和维护。使用时应指定登录用户、目标主机地址作为参数。

      1-1、登录方法一
            ssh  [远程主机用户名]@[远程服务器主机名或IP地址]  (-p)  port（端口号）
            当在Linux主机上远程连接另一台Linux主机时，如当前所登录的用户是 root 的话，当连接另一台主机时也是用root用户登录时，可以直接使用ssh IP，端口默认即可，如果端口不是默认的情况下，需要使用-p 指定端口。

[root@localhost ~]# ssh root@192.168.10.13
The authenticity of host '192.168.10.13 (192.168.10.13)' can't be established.
ECDSA key fingerprint is SHA256:VQ4mQB5OjnVldXcRhNTRH6t6Zc9WlL/1Y+rzv1IFq/o.
ECDSA key fingerprint is MD5:1c:88:c8:48:0a:0e:fc:04:a9:e4:cd:8d:5c:94:d1:7e.
Are you sure you want to continue connecting (yes/no)? yes   

注:第一次登录服务器时系统没有保存远程主机的信息，为了确认该主机身份会提示用户是否继续连接，输入yes后登录，这时系统会将远程服务器信息写入用户主目录下$HONE/.ssh/known_hosts文件中，下次再进行登录时因为保存有该主机信息就不会再提示了

[root@localhost ~]# ssh jerry@192.168.10.13 -p 2345
jerry@192.163.10.13's password:                     输入密码

      1-2、登录方法二
            ssh  -l   [远程主机用户名]   [远程服务器主机名或IP地址]  （ -p）   port（端口号）    -l ：指定登录名称。-p：指定登录端口（当服务端的端口非默认时，需要使用-p 指定端口进行登录)

[root@localhost ~]# ssh -l root 192.168.10.13
The authenticity of host '192.168.10.13 (192.168.10.13)' can't be established.
ECDSA key fingerprint is SHA256:VQ4mQB5OjnVldXcRhNTRH6t6Zc9WlL/1Y+rzv1IFq/o.
ECDSA key fingerprint is MD5:1c:88:c8:48:0a:0e:fc:04:a9:e4:cd:8d:5c:94:d1:7e.
Are you sure you want to continue connecting (yes/no)? yes

[root@localhost ~]# ssh -l root 192.168.10.13 -P 2345

     2、scp远程复制

        安全性复制。scp是secure copy的简写，用于在Linux下进行远程拷贝文件的命令，而且scp传输是加密的。使用scp命令时，必须指定复制源、目标，还应指定目标主机地址、登录用户、执行后提示验证口令。

        2-1、###本地文件复制到服务器

scp sheng root@192.168.100.141 ：/opt

        2- 2、####复制服务器的文件到本地（下行复制）

  scp -r root@192.168.100.141:/opt/test/ ./

        2-3、####本地目录复制到服务器（上行复制，即上传）

scp -r 1234/ root@192.168.100.141 : /opt

     3、sftp安全FTP

        sftp是stcure File Transfer Protocol的缩写，安全文件传送协议。可以为传输文件提供一种安全的网络的加密方法。sftp 与ftp有着几乎一样的语法和功能。SFTP 为 SSH的其中一部分，其实在sSH软件包中，已经包含了一个叫作SFTP(Secure File Transfer Protocol)的安全文件信息传输子系统，SFT本身没有单独的守护进程，它必须使用sshd守护进程（端口号默认是22)来完成相应的连接和答复操作。
        所以，使用SFTP是非常安全的。但是，由于这种传输方式使用了加密/解密技术，所以传输效率比普通的FT要低得多，如果您对网络安全性要求更高时，可以使用SFTP代替FTP。

sftp root@192.168.10,13
root@192.168.10.13's password:
Connected to 192.168.10.13.
sftp> ls
sftp> get  文件名 (指定目录）     #下载文件（指定目录）
sftp> get -r 目录 (指定目录）     #下载目录（指定目录）
sftp> put  文件名 (指定目录）     #上传文件 (指定目录）
sftp> exit                      #退出

四、构建密钥对验证的SSH体系

     在客户端创建密钥对

        通过ssh-keygen.工.具为当前用户创建密钥对文件。可用的加密算法为RSA、ECDSA或nsA等（ ssh- keygen命令的"-t"选项用于指定算法类型)。

1.在客户端创建密钥对
useradd admin
echo "123123" |passwd --stdin admin
su - admin
ssh-keygen -t ecdsa
  Generating public/private ecdsa key pair.
  Enter file in which to save the key (/home/admin/.ssh/id_ecdsa): #指定私钥位置，直接回 
                                                                      车使用默认位置
  created directory '/home/admin/.ssh '.   #生成的私钥、公钥文件默认存放在宿主目录中的隐藏 
                                            目录.ssh/下
  Enter passphrase (empty for no passphrase):  #设置私钥的密码
  Enter same passphrase again:   #确认输入
ls -lh ~/.ssh/id_ecdsa*    #确认生成的密钥文件   id_ecdsa是私钥文件，权限默认为600，必须妥善 
                            保管，不能泄露; id_ecdsa.pub是公钥文件，用来提供给ssH服务器"



2.将公钥文件.上传至服务器
scp ~/.ssh/id_ecdsa.pub root@192.168.80.10:/opt 
或
#此方法可直接在服务器的/home/zhangsan/.ssh/目录中导入公钥文本
cd ~/.ssh/
ssh-copy-id -i id_ecdsa.pub zhangsan@192.168.80.10


3．在服务器中导入公钥文本
mkdir -p /home/zhangsan/.ssh/
cat /opt/id_ecdsa.pub >> /home/zhangsan/.ssh/authorized_keys   #目标用户的公钥数据库位于 
 ~/.ssh目录，默认文件名是authorized.keys。通过重定向将公钥文本内容追加到目标用户的公钥数据库。
cat /home/zhangsan/.ssh/authorized_keys
ls -l /home/zhangsan/.ssh/authorized_keys  #查看权限，确保登录的是目标用户或root用户，同组 
     或其他用户对该文件不能有写入权限，否则可能无法成功使用密钥对验证。


4.在客户端使用密钥对验证
ssh zhangsan@192.168.80.10
Enter passphrase for key '/home/admin/.ssh/id_ecdsa':   #输入私钥的密码



5.在客户机设置ssh代理功能，实现免交互登录;
ssh-agent bash
ssh-add .
Enter passphrase for /home/admin/.ssh/id_ecdsa :#输入私钥的密码
ssh zhangsan@192.168.80.10

五、TCP Wrappers 访问控制

     1、TCP Wrappers概述

    在Linux系统中，许多网络服务针对客户端提供了访问控制机制，如Samba、BIND、HTTPD、

OpensSH等。TCP Wrappers 将TCP服务程序"包裹”起来，代为监听TCP服务程序的端口，增加了

一个安全检测过程，外来的连接请求必须先通过这层安全检测，获得许可后才能访问真正的服务程序。

rpm -q tcp_wrappers   #一般系统会默认安装

    TCP wrappers保护机制的两种实现方式：
    1.直接使用tcpd程序对其他服务程序进行保护，需要运行tcpd程序。
    2.由其他网络服务程序调用libwrap.so.*链接库，不需要运行tcpd 程序。此方式的应用更加          广泛，也更有效率。
    使用ldd命令可以查看程序的libwrap.so.*链接库,绝对路径

常用参数	说明
-v	详细信息模式，打印所有相关信息
-u	打印未使用的直接依赖
-d	执行重定位和报告任何丢失的对象
-r	执行数据对象和函数的重定位，并且报告任何丢失的对象和函数
--help	显示帮助信息

例：ldd /usr/sbin/sshd | grep “libwrap”

      2、TCP Wrappers的访问策略

         对应的两个策略文件为/etc/hosts.allow 和 /etc/hosts.deny，分别用来设置允许和拒绝的策略

         2-1、策略的配置格式

               <服务程序列表>:<客户端地址列表>

                2-1-1、服务程序列表

                         服务程序列表可分为以下几类：

                           ALL:代表所有的服务。

                           单个服务程序:如"vsftpd"。

                           多个服务程序组成的列表:如"vsftpd, sshd”。

                 2-1-2、 客户端地址列表：

                             ALL:代表任何客户端地址。

                             LOCAL:代表本机地址。

                            多个地址以逗号分隔。

                            允许使用通配符"*"和"?"，前者代表任意长度字符，后者仅代表一个字符

                            网络段地址，如"192.168.80.”或者192.168.80.0/255.255.255.0

                            区域地址，如".benet.com"匹配benet.com域中的所有主机。

         2-2、访问控制的基本原则
               首先检查/etc/hosts.allow文件，如果找到相匹配的策略，则允许访问;

                否则继续检查/etc/hosts.deny文件，如果找到相匹配的策略，则拒绝访问;

                如果检查上述两个文件都找不到相匹配的策略，则允许访问

                 "允许所有，拒绝个别”只需在/etc/hosts.deny文件中添加相应的拒绝策略“允许个别，拒绝                   所有"除了在/etc/hosts.allow中添加允许策略之外，还需要在/etc/hosts.deny文件中设                           置"ALL:ALL"的拒绝策略。

     3、实例

        若只希望从IP地址为12.0.0.1的主机或者位于192.168.80.0/24网段的主机访问sshd服务，其他地址被拒绝。

vim /etc/hosts.allow
sshd: 12.0.0.1,192.168.80.*

vim /etc/hosts.deny
sshd:ALL

总结

       SSH远程管理和TCP Wrappers访问控制都对通信双方的数据传输提供了更好的安全保障。