02架构 14 跳板机

最新推荐文章于 2024-05-27 09:22:35 发布

睡神之首

最新推荐文章于 2024-05-27 09:22:35 发布

阅读量104

点赞数

分类专栏： Linux # Linux 基础文章标签：架构 ssh linux

本文链接：https://blog.csdn.net/mcywww/article/details/121651493

版权

Linux 同时被 2 个专栏收录

37 篇文章 0 订阅

订阅专栏

Linux 基础

22 篇文章 0 订阅

订阅专栏

该博客详细介绍了如何对跳板机m01进行安全配置，包括启动并配置防火墙、修改SSH连接端口、禁止root登录和密码登录，以及通过生成密钥对并分发到其他服务器来实现无密码登录。同时，还展示了如何关闭部分机器的外网访问，并通过跳板机连接所有机器。此外，还提到了使用防火墙实现内部上网的IP转换设置。

摘要由CSDN通过智能技术生成

跳板机m01安全配置

1.启动防火墙
[root@m01 ~]# systemctl start firewalld
[root@m01 ~]# systemctl enable firewalld

2.配置防火墙
[root@m01 ~]# systemctl stop NetworkManager
[root@m01 ~]# firewall-cmd --remove-interface=eth1 
success
[root@m01 ~]# firewall-cmd --permanent --remove-service={ssh,dhcpv6-client}
success
[root@m01 ~]# firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=10.0.0.1/32 service name=ssh accept'
success
[root@m01 ~]# vim /usr/lib/firewalld/services/ssh.xml
<port protocol="tcp" port="2020"/>
#重载防火墙配置
[root@m01 ~]# firewall-cmd --reload

3.修改连接跳板机端口，禁止root登录，禁止使用密码登陆
[root@m01 ~]# vim /etc/ssh/sshd_config
 17 Port 2020
 38 PermitRootLogin no
 63 PasswordAuthentication no
[root@m01 ~]# systemctl restart sshd

4.xshell生成密钥对，并将公钥放于管理机普通用户下
[root@m01 ~]# useradd lhd
[root@m01 ~]# su lhd
[lhd@m01 root]$ cd
[lhd@m01 ~]$ mkdir .ssh
[lhd@m01 ~]$ vim .ssh/authorized_keys
ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAIEAs9Oazu4cBtsNkfzbAqU6qLf67JOjKakVurbBJJBSpgyUsdUT5dReimXxzcnoQzC3zqQ4T5rLBxRWcu0j3x+JOrb7RXSLKI43VrYLVtPucvo5+6TGEitKKFm3F0gOCiXfH3PE/YNODrfvXDHSocza2DjFPWsLCSImR12q736hDes= rsa 1024-010720
[lhd@m01 ~]$ chmod 700 .ssh/
[lhd@m01 ~]$ chmod 600 .ssh/authorized_keys

使用跳板机管理所有机器

#1.生成密钥对，将公钥发送给所有服务器
[lhd@m01 ~]$ su -
Password: 
Last login: Tue Jan  7 16:42:31 CST 2020 from 10.0.0.1 on pts/0
[root@m01 ~]# ssh-keygen 
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:nm45DrdRcidakKmFVYM6hqygb7waMNdJA0UHIIlMSWg root@m01
The key's randomart image is:
+---[RSA 2048]----+
|B++++.. .oo      |
|+E . . o.o .     |
|.  .o...=        |
|.  ooo+o .       |
|+...o...S = .    |
|oo.    . B o     |
|.o    . *.       |
| .+    ++o       |
|.o..   o+.       |
+----[SHA256]-----+

#手动推送公钥
[root@m01 ~]# echo '172.16.1.'{4,5,6,7,8,9,31,41,51,71}|xargs -n1 sshpass -p 1 ssh-copy-id -o StrictHostKeyChecking=no

#用脚本推送公钥到所有主机
[root@m01 ~]# vim ssh-keygen.sh
#!/bin/bash
#免交互分发公钥
for ip in 7 8 9 31 41 51 71
do
sshpass -p 1 ssh-copy-id -o StrictHostKeyChecking=no "root@172.16.1.$ip"
done

#推送公钥时不用输入yes确认
ssh-copy-id -o StrictHostKeyChecking=no
#推送公钥时不用输入密码,1就是密码
sshpass -p 1
[root@m01 ~]# yum install sshpass
[root@m01 ~]# sh ssh.sh

#2.关闭除m01/lb01/lb02以外的所有机器的外网
[root@web01 ~]# ifdown eth0
...  ...

#3.使用m01连接所有的机器
[lhd@m01 ~]$ su -
Password: 
Last login: Tue Jan  7 17:08:54 CST 2020 on pts/1
[root@m01 ~]# ssh 172.16.1.7
Last login: Tue Jan  7 17:20:41 2020 from 10.0.0.1
[root@web01 ~]# 

#4.给所有机器创建用户
[root@m01 ~]# groupadd www -g 666
[root@m01 ~]# useradd www -u 666 -g 666

使用防火墙实现内部上网

#1.m01开启ip转换
[root@m01 ~]# firewall-cmd --add-masquerade 
[root@m01 ~]# firewall-cmd --add-masquerade --permanent

#2.修改其他没有外网的机器网关和DNS
[root@web01 ~]# vim /etc/resolv.conf 
nameserver 223.5.5.5
[root@web01 ~]# vim /etc/sysconfig/network-scripts/ifcfg-eth1
GATEWAY=172.16.1.61
[root@web01 ~]# systemctl restart network
#重启网卡会恢复关闭的eth0