场景
我们给自己的博客搭建一个站点,配置lnmp/lamp运行环境可以跑起来,差不多就完事了。但是当我们做的是一个中型或者大型项目,在它需要部署到生产服务器上线运营时,账户安全方面需要做些什么?
ssh
安装
apt-get install openssh-server
启动
/etc/init.d/ssh start
使用
ssh martist@192.168.123.3
//ssh远程连接服务器,需要输入用户密码
应用
主机名管理
一个中型甚至大型的的项目,往往需要对多台服务器进行管理,如生产服务器,测试服务器,管理服务器等等。因此需要对每一台服务器的主机名进行管理,通过修改各个服务器的/etc/hostname文件修改本地系统名,重启可以看到。
密钥ssh登录
linux或Mac下生成密钥的命令是 ssh-keygen -t rsa
默认生成路径在家目录的.ssh目录下。id_rsa 文件保存的是本机的私钥,id_rsa.pub文件保存的是公钥。
ifconfig命令查看服务器的IP地址,注意如果你是用的是阿里云ECS,此处查看到的是内网IP而非公网IP。
在被登录的服务器的家目录下的.ssh目录(如果不存在就创建一个)创建一个authorized_keys 文件,并将生成的公钥文件的内容放到里面,就可以在本地使用密钥登陆这台服务器了。
ssh martist@192.168.123.3
//此时不需要输入用户名密码
如果我们关闭密码登陆,转而使用ssh密钥登录,更可以确保服务安全(注意:关闭密码登陆前,一定要确保能够正常使用ssh密钥登陆)。
关闭密码登陆
找到/etc/ssh/sshd_config 修改PasswordAuthentication 属性 yes。
在第52行,yes改为no,禁用密码登陆(慎用)。
详细实战分析
线上:阿里云ECS云服务器 Ubuntu14.04lts
Manager服务器生成ssh密钥
ssh-keygen -t rsa //一路回车
生成的密钥保存在家目录下,进入.ssh目录下,
ls//查看文件
id_rsa id_rsa.pub know_hosts
Manager服务器上在 /etc/hosts 文件里加上重定向的名字,如测试服务器,DB服务器和Manager服务器分别起一个重定向名字便于管理多台web服务器。
修改本地定向网络ip(阿里云的内网ip)的文件
vi /etc/hosts
//写入 10.162.48.184 FWEB1
//每次在终端输入‘FWEB1’,就代表‘10.162.48.184’。
在mannager服务器上,试一下ssh登录web1服务器
ssh root@FWEB1
退出
exit
在mannager服务器上,试一下文件上传web1服务器
scp ./id_rsa.pub root@FWEB1:/root
现在还是需要输入密码,不过等一会把密钥加到web服务器上,再从manager登录web服务器,就不需要输入密码了。
在web1服务器,家目录下创建.ssh目录
ssh root@FWEB1 // 输入密码
mkdir ~/.ssh
在web1服务器,把id_rsa.pub传递到.ssh/目录下
cat id_rsa.pub >> .ssh/id_rsa.pub
此时,再从id_rsa.pub设置到web服务器(FWEB1)本地.
文件改名
mv id_rsa.pub authorized_keys
给执行权限
chmod 600 ./authorized_keys
退出ssh远程登录
exit
此时回到manager服务器
ssh root@FWEB1
//此时密码不用输就可以进入FWEB1
随便上传个文件,试试
scp know_hosts root@FWEB1:/tmp/
此后,在manager服务器向web服务器,scp传送东西,不需要再输入密码了。
原理:manager服务器私钥自己留着,把公钥给所有的web,DB,备份服务器,就可以便捷管理了。
关闭web服务器的密码登陆
找到/etc/ssh/sshd_config 修改PasswordAuthentication 属性 yes。在第52行,yes改为no,禁用密码登陆。
修改sshd_config文件中ssh端口,ssh端口默认为 22. 把端口号改为1000以上的数值。
默认:Port:22
改为:Port 1678
:wq //退出vi编辑器。
reboot //重启生效
ssh登录目的服务器命令
root@FWEB1
有点麻烦?可以创建自己的别名
vi ~/.bash_profile
//写入 alias fewb1='ssh root@FWEB1 -p 1678'
//(-p 为端口号)
好,:wq 保存退出。
使他生效
source .bash_profile
查看别名
alias
在manager服务器下,把某个文件夹下全部文件推送到web服务器。
scp -p 1678 ./* root@FWEB1:/tmp/
//(需要被传送文件的web服务器有这个文件夹)
把服务器其上的东西上传上去,是这样写, 把web服务器的东西下载到本地,只要把这俩目录倒过来,就可以了。
技巧:
cd ~
mkdir sh
vi pushcode.sh
//在这里写shell脚本
shell脚本的写法,开头‘#!’,后面是 shell可执行命令的位置。
#!/bin/sh
scp -p 1678 ./var/www.machuang.name/* root@FWEB1:/var/www/machuang.name
好!:wq 保存推出。
给执行权限
chmod 755 /root/sh/pushcode.sh
Ls查看下
ls /root/sh
此时看到pushcode.sh变成绿色,就对了。以后敲入这段命令,就可以完成上传代码的功能了。
/root/sh/pushcode.sh
就可以执行脚本内的命令了,此时再加一个别名。
cd ~
vi .bash_profile
//写入 alias pushcode='/root/sh/pushcode.sh'
//:wq 保存退出
好,使它生效,否则要重启才能生效。
source .bash_profile
上传代码:
pushcode
这样一个具备业务逻辑的ssh服务使用就展现在你面前了,单一的使用一个工具并不显得立体,多种linux软件和命令有机结合在一起才能迸发出更大的能量。