算法工程师必备（背）基础知识——SSH篇（一）

快撑死的鱼

于 2023-11-28 23:40:28 发布

阅读量1.2k

点赞数 18

文章标签： ssh 运维

本文链接：https://blog.csdn.net/qq_38334677/article/details/134636418

版权

1. SSH基础和概念介绍

SSH（Secure Shell）是一种网络协议，用于在不安全的网络中安全地进行远程登录和其他网络服务。它为网络服务提供了一种安全的通道，特别是在不安全的网络环境中。以下是SSH的一些基本概念和特点：

加密：SSH使用公钥加密来确保两台计算机之间的通信安全。这意味着即使数据被拦截，也无法被未经授权的第三方读取。
身份验证：SSH支持多种身份验证机制。最常见的是使用密码和基于密钥的身份验证。基于密钥的身份验证被认为比传统密码更安全。
端口转发：SSH允许通过所谓的SSH隧道将网络端口从一个网络节点转发到另一个。这可以用于安全地传输未加密的网络服务或绕过防火墙限制。
SSH密钥：SSH密钥是一对公钥和私钥，用于在SSH会话中进行身份验证。私钥应保密，而公钥可以安全地分享。
SSH客户端和服务器：SSH客户端是启动SSH连接的软件，而SSH服务器则是接受这些连接的软件。常见的SSH客户端包括PuTTY、OpenSSH等。
安全性：相比于其前身Telnet，SSH的一个主要优势在于其安全性。所有通过SSH传输的数据都经过加密，这有助于防止窃听和会话劫持。
应用场景：SSH广泛用于安全地访问远程计算机、管理服务器、传输文件（例如使用SCP或SFTP）以及在不安全的网络中安全地运行命令。

SSH的这些特性使其成为在不安全网络中安全管理系统和进行数据传输的理想工具。

2. 创建和管理SSH密钥

创建和管理SSH密钥是确保SSH连接安全的关键步骤。这个过程涉及生成一对密钥（公钥和私钥）、安全地存储它们，以及在需要的地方配置它们。以下是创建和管理SSH密钥的基本步骤：

创建SSH密钥对

生成密钥对：使用SSH密钥生成工具（如ssh-keygen）创建一对新的密钥。这通常在用户的本地计算机上完成。
```
ssh-keygen -t rsa -b 4096
```
这里，-t rsa指定了使用RSA算法，-b 4096指定了密钥长度。更长的密钥通常更安全。
保存密钥：在生成密钥时，系统会要求你指定存储密钥的位置和为私钥设置密码。选择一个安全的存储位置，并且建议为私钥设置一个强密码。

管理SSH密钥

私钥保护：不要与任何人共享你的私钥。它应该只存储在你信任的设备上，并且如果可能，使用密码保护。
公钥部署：将公钥复制到所有你需要远程访问的服务器上。在服务器上，公钥通常存储在~/.ssh/authorized_keys文件中。
```
ssh-copy-id user@hostname
```
这个命令可以帮助你自动完成这个过程。
访问控制：确保只有信任的用户才能访问含有公钥的服务器。
定期更新密钥：像其他安全措施一样，定期更换密钥可以提高安全性。
备份密钥：对密钥进行安全备份，以防原始密钥丢失或损坏。

使用SSH密钥进行连接

连接服务器：使用SSH客户端并指定你的私钥来连接到服务器。
```
ssh -i /path/to/private/key user@hostname
```
代理转发：如果你使用多个SSH密钥或者需要通过多个系统进行跳转，可以使用SSH代理来管理和转发你的密钥。

安全建议

不要在不信任的设备上生成或存储SSH密钥。
避免在不安全的网络上发送私钥。
使用强密码保护你的私钥。
定期检查服务器上的authorized_keys文件，确保没有未经授权的公钥。

遵循这些步骤和最佳实践可以帮助你安全地创建和管理SSH密钥，从而保护你的SSH会话免受未经授权的访问。

3. SSH远程登录和命令执行

SSH（Secure Shell）提供了一种安全的方式来远程登录到服务器和在远程服务器上执行命令。以下是SSH远程登录和命令执行的基本步骤：

远程登录

使用SSH客户端：首先，确保你的计算机上安装了SSH客户端。大多数Unix和Linux系统自带SSH客户端，而Windows用户可能需要安装如PuTTY或Windows 10的OpenSSH客户端等工具。
连接到服务器：通过SSH连接到远程服务器通常涉及以下命令：
```
ssh username@hostname
```
其中username是你在远程服务器上的用户名，hostname是服务器的主机名或IP地址。
身份验证：连接时，你可能需要输入密码或者使用SSH密钥进行身份验证。
开始会话：一旦认证通过，你将在远程服务器上开始一个命令行会话。

执行命令

在远程会话中执行命令：在远程服务器上，你可以执行任何命令行操作，就像你在本地终端上操作一样。
一次性命令：如果只需要在服务器上执行单个命令，可以在ssh命令中直接指定。例如：
```
ssh username@hostname command
```
这里，command是你想在服务器上执行的命令。
文件传输：使用SSH，你还可以安全地传输文件。SCP（Secure Copy）和SFTP（SSH File Transfer Protocol）是常用的基于SSH的文件传输工具。

高级用法

端口转发：SSH允许端口转发，这意味着你可以安全地将本地端口转发到远程服务器或将远程端口转发到本地。
SSH密钥和代理：为了避免每次连接时都输入密码，可以设置SSH密钥身份验证。使用SSH代理，可以更方便地管理多个密钥。
SSH配置文件：对于频繁连接的服务器，可以在~/.ssh/config文件中配置SSH连接的详细信息，以简化连接过程。

安全注意事项

始终保持你的SSH客户端和服务器软件更新到最新版本。
使用强密码或密钥身份验证。
定期检查并维护服务器的authorized_keys文件，确保没有不需要的公钥。
考虑使用防火墙和/或SSH限制访问策略，如基于IP的访问控制。

通过这些步骤，你可以安全高效地使用SSH进行远程登录和命令执行，这对于服务器管理和远程工作都是非常重要的功能。

4. SSH端口转发和隧道

SSH端口转发是SSH的一个强大功能，它允许你通过安全的SSH连接将TCP端口从一个位置转发到另一个位置。这通常被称为"隧道"，因为它创建了一个安全的通道来传输数据。端口转发可以用于多种目的，如安全地访问内网服务、数据库和更多。以下是SSH端口转发的几种主要类型：

本地端口转发（Local Port Forwarding）

用途：安全地访问远程网络上的服务。

命令格式：

ssh -L [本地IP:]本地端口:远程IP:远程端口 用户名@SSH服务器

示例：将本地端口8080转发到远程服务器192.168.1.100上的端口80。
```
ssh -L 8080:192.168.1.100:80 user@sshserver
```
工作原理：这会将从本地机器上指定的端口发出的所有数据发送到SSH服务器，然后从那里转发到指定的远程端口。

远程端口转发（Remote Port Forwarding）

用途：允许远程用户访问位于你本地机器上的服务。

命令格式：

ssh -R [远程IP:]远程端口:本地IP:本地端口 用户名@SSH服务器

示例：将SSH服务器上的端口9090转发到本地机器上的端口3000。
```
ssh -R 9090:localhost:3000 user@sshserver
```
工作原理：这会将从SSH服务器上指定的端口发出的所有数据发送到连接的客户端机器，然后从那里转发到指定的本地端口。

动态端口转发（Dynamic Port Forwarding）

用途：创建一个SOCKS代理服务器，用于动态转发通过它的流量。

命令格式：

ssh -D 本地端口 用户名@SSH服务器

示例：在本地机器上设置一个SOCKS代理服务器，监听端口1080。
```
ssh -D 1080 user@sshserver
```
工作原理：这会创建一个监听在指定本地端口的SOCKS代理，你可以在浏览器或其他支持SOCKS的应用程序中配置该代理。

安全和使用注意事项

权限：远程端口转发通常需要在SSH服务器上具有更高的权限或特定配置。
防火墙和路由器设置：确保任何防火墙或路由器设置不会阻止你想要转发的端口。
安全性：使用端口转发时，要确保加密通道的两端都是安全的，以防止数据泄露。
应用场景：端口转发可以用于安全地管理数据库、Web服务，甚至可以帮助绕过网络限制。

SSH端口转发提供了一种灵活而强大的方式来安全地管理网络流量，特别是在需要安全通信或绕过网络限制的场景中。

5. 使用SSH进行文件传输（SCP和SFTP）

使用SSH进行文件传输是一种安全的方法，主要通过SCP（Secure Copy Protocol）和SFTP（SSH File Transfer Protocol）实现。这两种方法都利用SSH的安全特性来加密传输的数据，从而保护文件在网络中的传输安全。

SCP（Secure Copy Protocol）

用途：SCP用于在本地和远程系统之间快速复制文件和目录。

命令格式：

从本地复制到远程：

scp [本地文件路径] [用户名]@[远程主机]:[远程文件路径]

从远程复制到本地：

scp [用户名]@[远程主机]:[远程文件路径] [本地文件路径]

示例：

将本地文件example.txt复制到远程服务器：

scp example.txt user@remotehost:/path/to/destination

从远程服务器复制文件到本地：

scp user@remotehost:/path/to/file.txt /local/destination

优点：简单快速，适合小文件和单个文件的传输。

SFTP（SSH File Transfer Protocol）

用途：SFTP是一个更复杂的文件传输协议，提供了交互式的文件操作功能，如浏览、上传、下载和删除远程文件。
使用方式：
- 输入SFTP命令连接到远程服务器：
```
sftp [用户名]@[远程主机]
```
- 一旦连接，你可以使用命令如ls、get、put、rm等来操作文件。
示例：
- 连接到远程服务器：
```
sftp user@remotehost
```
- 在SFTP会话中，下载和上传文件：
  - 下载：get remoteFile.txt
  - 上传：put localFile.txt
优点：提供了更多控制和灵活性，适合大量文件的传输和远程文件管理。

安全和使用注意事项

加密：SCP和SFTP都使用SSH提供的安全加密来保护数据传输过程中的隐私和完整性。
身份验证：与SSH连接一样，SCP和SFTP通常需要用户身份验证，通常是密码或SSH密钥。
性能：对于大型文件或大量文件传输，SFTP可能比SCP更高效。
兼容性：大多数SSH客户端都支持SCP和SFTP，包括Linux、macOS和Windows系统。

总的来说，SCP适用于快速的单文件传输，而SFTP则提供了更完整的文件管理功能，是远程处理大量文件的理想选择。通过SSH进行文件传输不仅方便，而且由于其加密特性，也非常安全。

7. SSH配置文件详解

SSH配置文件是一个非常有用的工具，它允许用户为SSH客户端设置多种默认选项，简化了SSH连接过程。这个配置文件通常位于用户的主目录下的.ssh/config文件中。以下是SSH配置文件中常见的一些配置项的详解：

基本配置项

Host：指定一个别名，用于代表一个或多个远程服务器。这使得你不必每次都输入完整的主机名或IP地址。
```
Host server_alias
    HostName server.example.com
```
HostName：指定要连接的实际主机名或IP地址。
```
HostName 192.168.1.1
```
User：指定默认登录的用户名。
```
User your_username
```
Port：指定SSH连接使用的端口。
```
Port 22
```
IdentityFile：指定用于登录的私钥文件路径。
```
IdentityFile ~/.ssh/id_rsa
```
IdentitiesOnly：指示SSH仅使用配置文件中指定的密钥，忽略其他密钥。
```
IdentitiesOnly yes
```

高级配置项

ServerAliveInterval：设置客户端向服务器发送心跳消息的时间间隔，以秒为单位。这有助于保持连接活跃，避免超时断开。
```
ServerAliveInterval 60
```
ForwardAgent：是否转发本地SSH代理到远程主机。这在链式SSH连接时非常有用。
```
ForwardAgent yes
```
ForwardX11：启用X11转发，允许远程图形界面程序的窗口显示在本地机器上。
```
ForwardX11 yes
```
ProxyJump（或-J选项）：简化跳板机（跳转服务器）的使用。可以直接通过一个或多个中间服务器连接到目标服务器。
```
ProxyJump jumpserver
```
Compression：启用数据压缩，有助于提高在低速网络上的传输速度。
```
Compression yes
```
ControlMaster和ControlPath：用于设置多路复用，允许多个SSH会话共享单个网络连接，提高后续连接的速度。
```
ControlMaster auto
ControlPath /tmp/ssh_mux_%h_%p_%r
```

使用示例

假设你有两台服务器，你可以在配置文件中这样设置：

Host server1
    HostName server1.example.com
    User user1
    IdentityFile ~/.ssh/id_rsa_server1

Host server2
    HostName server2.example.com
    User user2
    Port 2222
    IdentityFile ~/.ssh/id_rsa_server2

这样配置后，你可以简单地通过命令ssh server1或ssh server2来连接对应的服务器，无需记住详细的主机名、端口或用户名。

通过合理使用SSH配置文件，可以大幅提高工作效率，尤其是对于经常需要连接多个不同配置的SSH服务器的用户来说尤其有用。

7. SSH身份验证方法

SSH（Secure Shell）提供了多种身份验证方法，以确保只有授权用户才能访问远程系统。这些身份验证方法从简单的密码验证到更复杂和安全的密钥对和多因素认证等。以下是SSH身份验证的几种常见方法：

1. 密码认证

描述：最基本的身份验证方法，要求用户在尝试登录时输入密码。
安全性：相对较低，因为密码可能被猜测、窃取或通过暴力破解得到。
用途：适用于安全性要求不高的环境，或作为其他认证方法的备用选项。

2. 基于密钥的认证

描述：使用一对公钥和私钥进行认证。用户生成一对密钥，并将公钥存储在远程服务器上。登录时，SSH使用私钥进行认证。
安全性：比密码认证高得多，因为密钥通常更长且更难以破解。
用途：广泛用于自动化脚本和高安全性环境，如服务器管理。

3. 主机基础认证

描述：在这种方法中，客户端和服务器之间会共享一个密钥，服务器用它来验证客户端身份。
安全性：取决于主机密钥的管理和保护。
用途：用于机器间的自动化过程，例如自动部署和备份。

4. 双因素认证（2FA）

描述：结合两种不同的认证方法，例如密钥和一次性密码。
安全性：非常高，因为即使其中一个因素被破解，还有另一个因素提供保护。
用途：用于对安全性要求极高的环境。

5. Kerberos认证

描述：使用Kerberos协议进行身份验证。Kerberos是一种网络认证协议，使用票证（ticket）来认证用户身份。
安全性：高，因为它提供了强大的票证基认证机制。
用途：常见于大型企业和教育机构中。

6. GSSAPI认证

描述：GSSAPI（通用安全服务应用程序编程接口）是一种框架，它支持各种安全机制，包括Kerberos。
安全性：取决于实现的具体安全机制。
用途：适用于需要灵活安全服务的复杂环境。

安全建议

密钥管理：保护你的私钥，不要将它们泄露给未经授权的人员。
密码强度：如果使用密码认证，确保密码强度高，避免使用容易猜到的密码。
定期更新：定期更换密钥和密码，尤其是在任何安全事件后。

选择哪种身份验证方法取决于特定的安全需求、便利性和环境。在高安全环境中，建议使用基于密钥的认证结合2FA，以确保最高级别的安全性。

9. 使用SSH代理和跳板机

SSH代理和跳板机（也称为跳转服务器）是SSH连接中的两个高级功能，它们在处理复杂的网络结构或增强安全性时非常有用。

SSH代理（SSH Agent）

SSH代理是一种辅助程序，用于存储私钥和管理身份验证请求。

使用SSH代理的好处：

密钥管理：代理可以安全地存储你的私钥，这样你就不需要每次都手动输入密钥的密码。
安全性：通过减少对私钥文件的直接访问，提高了安全性。
方便性：代理可以自动处理身份验证过程，简化了SSH连接。

如何使用SSH代理：

启动SSH代理：在Unix或Linux系统上，通常可以使用以下命令：
```
eval $(ssh-agent)
```
添加密钥到代理：使用ssh-add命令将私钥添加到SSH代理中：
```
ssh-add ~/.ssh/id_rsa
```
SSH连接：连接时，SSH客户端会自动使用代理提供的密钥。

跳板机（Jump Host）

跳板机是一种用于中转SSH连接的服务器，特别是当目标系统不直接暴露在公共网络上时。

使用跳板机的好处：

安全性：减少了需要公开暴露的服务器数量，增加了网络的安全层。
便利性：允许从单一点访问多个网络或系统。

如何使用跳板机：

配置跳板机：在你的~/.ssh/config文件中配置跳板机：

Host jump-host
    HostName jump.example.com
    User jumpuser

Host target-host
    HostName target.example.com
    User targetuser
    ProxyJump jump-host

这里，jump-host是跳板机，而target-host是你实际想要连接的服务器。

连接：使用SSH命令直接连接到目标主机，SSH客户端将自动通过跳板机中转：
```
ssh target-host
```
这条命令将首先连接到jump-host，然后自动从那里跳转到target-host。

使用SSH代理和跳板机可以显著提高处理复杂网络和增强SSH会话安全性的能力。它们是网络管理员和高级用户常用的重要工具，特别是在涉及多级网络架构和严格的安全要求的场景中。

10. SSH会话保持和复用

SSH会话保持和复用是SSH连接的两个重要功能，它们可以显著提高在频繁使用SSH连接的环境中的效率和便利性。

SSH会话保持（Keepalive）

会话保持（或称心跳）功能用于保持SSH连接在长时间无活动时不被断开。

如何配置SSH会话保持：

在客户端配置：可以在~/.ssh/config文件中为特定主机或所有主机配置心跳间隔：
```
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 2
```
ServerAliveInterval设置心跳发送的时间间隔（以秒为单位），而ServerAliveCountMax设置在断开连接前发送心跳的最大次数。
在服务器端配置：服务器端的SSH配置文件（通常是/etc/ssh/sshd_config）也可以设置类似的参数来保持客户端连接：
```
ClientAliveInterval 60
ClientAliveCountMax 2
```
这里的参数作用类似于客户端的设置，但是从服务器的角度来看。

SSH会话复用（Multiplexing）

SSH会话复用允许多个SSH会话共享一个单一的TCP连接，减少了建立新会话所需的时间。

如何配置SSH会话复用：

在~/.ssh/config中配置：
```
Host *
    ControlMaster auto
    ControlPath ~/.ssh/sockets/%r@%h-%p
    ControlPersist 600
```
- ControlMaster auto：开启会话复用。
- ControlPath：指定存储控制文件的路径。
- ControlPersist：设置在最后一个会话关闭后，控制连接保持打开的时间（以秒为单位）。
建立第一个连接：第一次连接时，SSH会创建一个控制连接。之后的连接（在ControlPersist设置的时间内）将使用这个控制连接，而不是创建新的TCP连接。
后续连接：之后当你再次连接到同一主机时，连接将立即建立，因为它复用了已经存在的控制连接。

使用注意事项

安全性：虽然会话复用提供了便利，但需要注意，如果攻击者获得了对控制连接的访问权限，他们可能能够劫持新的SSH会话。
资源管理：确保ControlPath指定的目录存在并且可以被当前用户访问。控制连接的套接字文件将存储在这里。
调试：如果遇到连接问题，可以暂时关闭会话复用来确定问题是否与此功能相关。

通过合理配置会话保持和复用，SSH用户可以提高工作效率，特别是对于经常需要连接同一服务器的用户来说尤其有用。

快撑死的鱼

关注

18
点赞
踩
22

收藏

觉得还不错? 一键收藏
打赏
0
评论
算法工程师必备（背）基础知识——SSH篇（一）

SSH（Secure Shell）是一种网络协议，用于在不安全的网络中安全地进行远程登录和其他网络服务。它为网络服务提供了一种安全的通道，特别是在不安全的网络环境中。加密：SSH使用公钥加密来确保两台计算机之间的通信安全。这意味着即使数据被拦截，也无法被未经授权的第三方读取。身份验证：SSH支持多种身份验证机制。最常见的是使用密码和基于密钥的身份验证。基于密钥的身份验证被认为比传统密码更安全。端口转发：SSH允许通过所谓的SSH隧道将网络端口从一个网络节点转发到另一个。
复制链接

扫一扫