openssh服务

最新推荐文章于 2023-05-21 00:39:18 发布
最新推荐文章于 2023-05-21 00:39:18 发布
阅读量239 收藏 1
点赞数 2
分类专栏： 服务 文章标签： Linux运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41652038/article/details/88948732
版权

openssh服务

文章目录

1. 使用 SSH 访问远程命令行

1.1 OpenSSH 简介

OpenSSH 是 SSH （Secure SHell） 协议的免费开源实现。SSH协议族可以用来进行远程控制， 或在计算机之间传送文件。而实现此功能的传统方式，如telnet(终端仿真协议)、 rcp ftp、 rlogin、rsh都是极为不安全的，并且会使用明文传送密码。OpenSSH提供了服务端后台程序和客户端工具，用来加密远程控件和文件传输过程中的数据，并由此来代替原来的类似服务。

常见的远程登录工具有：

telnet      //远程登录协议，23/TCP
    认证明文
    数据传输明文

ssh         //Secure SHell，应用层协议，22/TCP
    通信过程及认证过程是加密的，主机认证
    用户认证过程加密
    数据传输过程加密
    
dropbear    //嵌入式系统专用的SSH服务器端和客户端工具

1.2 SSH 版本

OpenSSH 支持 SSH 协议的版本 1.3、1.5、和 2。自从 OpenSSH 的版本2.9以来，默认的协议是版本2，该协议默认使用 RSA 钥匙。

1.3 SSH 认证方式

SSH登录方式主要分为两种：

  1. 用户名密码验证方式
  2. 基于密钥的登录方式

1.4 openSSH 的工作模式

openSSH是基于C/S架构工作的。

    服务器端    //sshd，配置文件在/etc/ssh/sshd_config
    客户端     //ssh，配置文件在/etc/ssh/ssh_config
        ssh-keygen      //密钥生成器
        ssh-copy-id     //将公钥传输至远程服务器
        scp             //跨主机安全复制工具

1.4 Secure Shell 示例

 	// 以当前用户身份创建远程交互式shell
[root@wyz ~]# ssh 192.168.234.22
The authenticity of host '192.168.234.22 (192.168.234.22)' can't be established.
ECDSA key fingerprint is SHA256:vP8gUnfn0QD4z743XkBHDh3XH6sllfn3cYhT3cHXM7w.
ECDSA key fingerprint is MD5:f2:02:fb:f7:8d:02:47:6f:dd:49:fe:d4:6e:26:bd:3a.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.234.22' (ECDSA) to the list of known hosts.
root@192.168.234.22's password: 
Last login: Mon Apr  1 14:15:44 2019 from 192.168.234.1
[root@localhost ~]# 
[root@localhost ~]# exit
logout
Connection to 192.168.234.22 closed.
[root@wyz ~]# 
  
   //以其他用户身份（remoteuser）在选定主机（remotehost）上连接到远程`shell`
[root@wyz ~]# ssh wyz@192.168.234.22
wyz@192.168.234.22's password: 
[wyz@localhost ~]$ whoami
wyz
[wyz@localhost ~]$ exit
logout
Connection to 192.168.234.22 closed.
[root@wyz ~]# 

//以远程用户身份（remoteuser）在远程主机（remotehost）上通过将输出返回到本地显示器的方式来执行单一命令

1.5 SSH 主机密钥

ssh通过公钥加密的方式保持通信安全。当某一ssh客户端连接到ssh服务器时，在该客户端登录之前，服务器会向其发送公钥副本。这可用于为通信渠道设置安全加密，并可验证客户端的服务器。

当用户第一次使用ssh连接到特定服务器时，ssh命令可在用户的/.ssh/known_hosts文件中存储该服务器的公钥。在此之后每当用户进行连接时，客户端都会通过对比/.ssh/known_hosts文件中的服务器条目和服务器发送的公钥，确保从服务器获得相同的公钥。如果公钥不匹配，客户端会假定网络通信已遭劫持或服务器已被入侵，并且中断连接。

这意味着，如果服务器的公钥发生更改（由于硬盘出现故障导致公钥丢失，或者出于某些正当理由替换公钥），用户则需要更新其~/.ssh/known_hosts文件并删除旧的条目才能够进行登录。

    //主机ID存储在本地客户端系统上的 ~/.ssh/known_hosts 中
[root@wyz ~]# cat .ssh/known_hosts 
192.168.234.22 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBE/kWcb/hu2wnVdm3Hy9yyu3zsmW3php2Zp7F3oGj2371IsDK0lX5iC
HUaH7/i5vqrbY6IOSHQuleZwWHShh/A=
[root@wyz ~]# 
    
    //主机密钥存储在SSH服务器上的 /etc/ssh/ssh_host_key* 中
[root@wyz ~]# ls /etc/ssh/*key*
/etc/ssh/ssh_host_ecdsa_key      /etc/ssh/ssh_host_ed25519_key      /etc/ssh/ssh_host_rsa_key
/etc/ssh/ssh_host_ecdsa_key.pub  /etc/ssh/ssh_host_ed25519_key.pub  /etc/ssh/ssh_host_rsa_key.pub
[root@wyz ~]#

2. 配置基于 SSH 密钥的身份验证

用户可通过使用公钥身份验证进行ssh登录身份验证。ssh允许用户使用私钥-公钥方案进行身份验证。这意味着将生成私钥和公钥这两个密钥。私钥文件用作身份验证凭据，像密码一样，必须妥善保管。公钥复制到用户希望登录的系统，用于验证私钥。公钥并不需要保密。拥有公钥的ssh服务器可以发布仅持有您私钥的系统才可解答的问题。因此，可以根据所持有的密钥进行验证。如此一来，就不必在每次访问系统时键入密码，但安全性仍能得到保证。

使用ssh-keygen命令生成密码。将会生成私钥/.ssh/id_rsa和公钥/.ssh/id_rsa.pub。

注意：

生成密钥时，系统将提供指定密码的选项，在访问私钥时必须提供该密码。如果私钥被偷，除颁发者之外的其他任何人很难使用该私钥，因为已使用密码对其进行保护。这样，在攻击者破解并使用私钥前，会有足够的时间生成新的密钥对并删除所有涉及旧密钥的内容。

  • 生成ssh密钥后，密钥将默认存储在家目录下的.ssh/目录中。私钥和公钥的权限就分别为600和644。.ssh目录权限必须是700。

在可以使用基于密钥的身份验证前，需要将公钥复制到目标系统上。可以使用ssh-copy-id完成这一操作

//语法  ： ssh-copy-id  remoteuser@remotehos

通过ssh-copy-id将密钥复制到另一系统时，它默认复制~/.ssh/id_rsa.pub文件

ssh-keygen -t rsa //指定秘钥的算法

[root@wyz ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:4J4MEZdSvdHctxF3YF8hhQiI6sU1Am3FNkwIcBZS4uM root@wyz
The key's randomart image is:
+---[RSA 2048]----+
| +oB*.X=.+....*==|
|. = .O.Oo o..o+oo|
| o  =.= oo   . o.|
|. .. = ..     .  |
| E. o . S        |
|   . + .         |
|      +          |
|                 |
|                 |
+----[SHA256]-----+
[root@wyz ~]# 
[root@wyz ~]# ls .ssh/
id_rsa  id_rsa.pub  known_hosts
[root@wyz ~]# 

	// 通过`ssh-copy-id`将密钥复制到另一系统时，它默认复制`~/.ssh/id_rsa.pub`文件
[root@wyz ~]# ssh-copy-id root@192.168.234.22
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@192.168.234.22's password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'root@192.168.234.22'"
and check to make sure that only the key(s) you wanted were added.
	// 会在目标主机的 ~/.ssh/目录下生成authorized_keys文件
[root@wyz1 ~]# ls .ssh/
authorized_keys
[root@wyz1 ~]# 

	//使用 ssh 命令无远程主机密码登录远程主机
[root@wyz ~]# ssh root@192.168.234.22
Last login: Mon Apr  1 15:07:32 2019 from 192.168.234.11
[root@localhost ~]# 

//使用 scp 命令传送文件到远程主机
//语法：scp [选项] <上传文件的绝对路径> <remoteuser@remotehos：存放在哪个目录下>
//scp命令常用选项
    -r      //递归复制  常用选项，用来上传和下载目录
    -p      //保持权限
    -P      //端口
    -q      //静默模式
    -a      //全部复制

[root@wyz ~]# mkdir wyz
[root@wyz ~]# touch wyz/{a,b,c,d}
[root@wyz ~]# ls wyz/
a  b  c  d
[root@wyz ~]# scp -r /root/wyz/ root@192.168.234.22:/root/
a                                                                                  100%    0     0.0KB/s   00:00    
b                                                                                  100%    0     0.0KB/s   00:00    
c                                                                                  100%    0     0.0KB/s   00:00    
d                                                                                  100%    0     0.0KB/s   00:00    
[root@wyz ~]#

//目标主机
[root@wyz1 ~]# ls
anaconda-ks.cfg  initial-setup-ks.cfg  wyz
[root@wyz1 ~]# ls wyz/
a  b  c  d
[root@wyz1 ~]# 

//从目标主机下载文件是将顺序颠倒，将要下载的文件或目录放在前面
//语法：scp [选项]  <remoteuser@remotehos：目标文件的绝对路径> <存放文件的绝对路径>

3. 自定义 SSH 服务配置

虽然OpenSSH服务器通常无需修改，但会提供其他安全措施，可以在配置文件/etc/ssh/sshd_config中修改OpenSSH服务器的各个方面

PermitRootLogin {yes|no}    //是否允许root用户远程登录系统
PermitRootLogin without-password    //仅允许root用户基于密钥方式远程登录
PasswordAuthentication {yes|no}     //是否启用密码身份验证，默认开启

4. SSH 安全注意事项

  • 密码应该经常换且足够复杂
[root@wyz ~]# openssl rand 30 -base64
N+JQ4G9PgZArnr2+08rRmIgQZNN1K9IAe9iSvjM3
[root@wyz ~]#
  • 使用非默认端口
  • 限制登录客户端地址
  • 仅监听特定的IP地址
  • 禁止管理员直接登录
  • 仅允许有限制用户登录
    • AllowUsers
    • AllowGroups
  • 使用基于密钥的认证
  • 禁止使用空密码
  • 禁止使用SSHv1版本
  • 设定空闲会话超时时长
  • 利用防火墙设置ssh访问策略
  • 限制ssh的访问频度和并发在线数
  • 做好日志的备份，经常分析（集中于某台服务器）

示例

1.说明密钥认证的过程

1.会话密钥(session key)生成
客户端请求连接服务器，服务器将 ’服务器公钥’ 发送给客户端。
服务器生成会话ID(session id)，设为 p，发送给客户端。
客户端生成会话密钥(session key)，设为 q，并计算 r = p xor q。
客户端将 r 用 ‘服务器公钥’ 进行加密，结果发送给服务器。
服务器用 ‘服务器密钥’ 进行解密，获得 r。
服务器进行 r xor p 的运算，获得 q。
至此服务器和客户端都知道了会话密钥q，以后的传输都将被 q 加密。

2.认证
服务器生成随机数 x，并用 ‘客户端公钥’ 加密后生成结果 S(x)，发送给客户端
客户端使用 ‘客户端密钥’ 解密 S(x) 得到 x
客户端计算 q + x 的 md5 值 n(q+x)，q为上一步得到的会话密钥
服务器计算 q + x 的 md5 值 m(q+x)
客户端将 n(q+x) 发送给服务器
服务器比较 m(q+x) 和 n(q+x)，两者相同则认证成功

2.手动配置密钥认证登录

[root@wyz ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:4J4MEZdSvdHctxF3YF8hhQiI6sU1Am3FNkwIcBZS4uM root@wyz
The key's randomart image is:
+---[RSA 2048]----+
| +oB*.X=.+....*==|
|. = .O.Oo o..o+oo|
| o  =.= oo   . o.|
|. .. = ..     .  |
| E. o . S        |
|   . + .         |
|      +          |
|                 |
|                 |
+----[SHA256]-----+
[root@wyz ~]# 
[root@wyz ~]# ls .ssh/
id_rsa  id_rsa.pub  known_hosts
[root@wyz ~]# 

[root@wyz ~]# ssh-copy-id root@192.168.234.22
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@192.168.234.22's password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'root@192.168.234.22'"
and check to make sure that only the key(s) you wanted were added.
	// 会在目标主机的 ~/.ssh/目录下生成authorized_keys文件
[root@wyz1 ~]# ls .ssh/
authorized_keys
[root@wyz1 ~]# 

	//使用 ssh 命令无远程主机密码登录远程主机
[root@wyz ~]# ssh root@192.168.234.22
Last login: Mon Apr  1 15:07:32 2019 from 192.168.234.11
[root@localhost ~]#
℡心安
关注
  • 2
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ubuntu 安装openssh服务器的教程详解
09-15
要启动OpenSSH服务，必须使用其完整路径，例如`/usr/local/sbin/sshd`。运行此命令以启动服务，并检查`systemctl status sshd`或`service ssh status`确认服务是否已启动。 5. **验证连接**： 使用SSH客户端，如...
OpenSSH服务器的20个最佳实践
07-02
OpenSSH 是 SSH 协议的开源实现。 OpenSSH 可进行远程登录、备份、通过 scp 或 sftp 进行远程文件传输等等。 SSH 最完美的确保两个网络...这里我们列出一些重要的事情，你需要作出调整来提高 OpenSSH 服务 器的安全性。
SSH无法登陆可能原因分析
dgj8300的专栏
03-31 1051
1.如果是root登陆的，需要开启   PermitRootLogin yes 经过尝试发现：如果不将StrictModes 设置为no ,登陆时总是提示被拒绝 其次就是 PermitEmptyPasswords no
OPENSSH服务器
hdyebd的博客
12-03 1999
一、理论概念 1.OPENSSH概念 OpenSSH是SSH（Secure Shell） 协议的免费开源实现。SSH协议族可以用来进行远程控制， 或在计算机之 间传送文件。而实现此功能的传统方式，如telnet、 rcp ftp、 rlogin、rsh都是极为不安全的，并且会使用明 文传送密码。OpenSSH提供了服务端后台程序和客户端工具，用来加密远程控制和文件传输过程中的数据， 并由此来代替原...
Linux系统SSH远程管理服务
ZHUZIH6的博客
12-13 2150
SSH远程管理服务介绍，命令scp与sftp，实验免密登录详细过程与ssh-agent的使用
Linux服务—openssh—学习笔记
qq_46965422的博客
03-17 3069
SSH 为 Secure Shell 的缩写，是建立在应用层基础上的安全协议。SSH是较为可靠的专为远程登录会话和其他网络服务提供安全性的协议。利用用 SSH 协议可以有效防止远程管理过程中的信息泄露问题。 OpenSSH 服务是 SSH 协议的免费开源实现，可以用来进行远程控制， 或在计算机之间传送文件。OpenSSH提供了服务端后台程序和客户端工具，用来加密远程控制和文件传输过程中的数据，并由此来代替原来的类似服务。 通过使用SSH，你可以把所有传输的数据进行加密，这样可以较好地抑制"中间人"这种攻
OpenSSH概述
syp_net的博客
12-07 3327
OpenSSH概述
windows 7架设OpenSSH服务器实践
09-30
主要介绍了windows 7架设OpenSSH服务器实践,需要的朋友可以参考下
windows 下openssh服务安装包
08-25
完整的7.7版的openssh服务，支持Windows环境安装使用。
openssh相关源码
最新发布
09-12
包含了zlib-1.2.2.tar.gz，openssl-1.1.1k.tar.gz，openssh-8.5p1.tar.gz源码，用于交叉编译ssh服务器（openssh)，用于远程登陆开发板
openSSH(SSH服务)
05-08
里面有openSSH的安装文件，以及自己整理的安装步骤
windows上安装openSSH服务
热门推荐
慧写代码
05-26 8万+
在windows上cmd，然后ssh 主机用户@主机ip直接连到远程，很方便，如图 那么怎么配置呢？ 首先windows上需要安装openSSH 1,下载openSSH windows版（注：该版本是64位） 链接: https://pan.baidu.com/s/19V2W_e1Agl4GSouW6U3JAQ 提取码: xgjp 2，解压到C:\Program Files\Op...
openssh-server （sshd）
LULUBAO1997的博客
10-14 1219
一.openssh-server 是什么 功能：让远程主机可以通过网络访问sshd服务，开始一个安全shell 二.客户端连接方式 1.hostnamectl set-hostname 名字         ###更改主机名字 exit       ###退出 再进入完成更改 2.nm-connection-editor  ###进入网络配
在windows11上安装openssh服务端并修改端口号
gaoluhua的博客
02-24 5945
在windows11上安装openssh服务端并修改端口号
SSH服务完整版
weixin_46362974的博客
05-21 269
本质是运行在操作系统后台的一个或者多个程序它是可靠的、并发的、连续的、不间断的运行，随时可以接受请求交互式提供服务SSH是一种用于安全访问远程服务器的协议，一个远程管理工具。
openssh
Zhangrl_的博客
10-23 454
openssh1. 使用 SSH 访问远程命令行1.1 OpenSSH 简介1.2 SSH 版本1.3 SSH 认证方式1.4 openSSH 的工作模式1.4 Secure Shell 示例1.5 SSH 主机密钥2. 配置基于 SSH 密钥的身份验证3. 自定义 SSH 服务配置4. SSH 安全注意事项5.密钥认证配置步骤：5.1生成密钥（客户端）5.2复制客户端的公钥到服务端5.3然后在服...
8.openssh服务
weixin_42974824的博客
05-04 2149
openssh服务
搭建openssh服务器
磨镜台的博客
06-02 608
安装ssh服务器 sudo apt install openssh-server 配置ssh服务器 sudo vi /etc/ssh/ssh_config 账户密码登录：PasswordAuthentication yes 允许root账户登录：PermitRootLogin yes 重启ssh服务器：sudo service ssh restart ...
Linux安装openssh服务
06-08
好的，以下是在Linux上安装openssh服务的步骤： 1. 打开终端或SSH客户端，以root用户身份登录您的Linux服务器。 2. 输入以下命令来更新软件包列表： ``` sudo apt-get update ``` 3. 输入以下命令来安装openssh-server： ``` sudo apt-get install openssh-server ``` 4. 安装完成后，输入以下命令来启动openssh服务： ``` sudo systemctl start sshd ``` 5. 如果您希望在系统启动时自动启动openssh服务，则可以输入以下命令来启用它： ``` sudo systemctl enable sshd ``` 6. 确认openssh服务是否正在运行，可以输入以下命令： ``` sudo systemctl status sshd ``` 如果服务正在运行，您将看到“active (running)”的字样。 7. 现在您可以使用SSH客户端连接到您的Linux服务器了，只需输入您的服务器IP地址或域名和用户名及密码即可。 希望这些步骤对您有帮助。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值