2_2Linux的远程登陆服务

一、实验环境配置

实验环境配置
保证干净的实验环境，重新配置nodea与nodeb的ip。并删除不必要的文件。（因为之前设置的系统可能由其他文件）
设置nodea主机

同样设置nodeb主机
同样设置nodeb主机

二、基本知识

1、主流企业架构

有cs模式和bs模式
C/S模式就是指客户端/服务器模式，是计算机软件协同工作的一种模式。比如：微信。
 
由于Web浏览器的兴起，B/S模式逐步取代了C/S模式，被更广泛的应用，比如：百度。
 
比如：ssh就是客户端，sshd就是服务端。

2.Openssh的功能

(1)sshd服务的用途
作用：可以实现通过网络在远程主机上开启安全shell的操作
Secure SHell ===>ssh ##客户端
Secure SHell ===>sshd ##服务端
(2)安装包
openssh-server

sshd用来控制所有ssh的程序，是服务端，它的安装包就是openssh-server
由于openssh-server是我们系统当中的一个基础的安装包，在安装系统时已经安装好了。
如果想远程链接一台主机，必须保证该主机中有openssh-server的安装包

该服务的守护进程是sshd:

守护进程，也就是通常说的Daemon进程，是Linux中的后台服务进程。它是一个生存期较长的进程，通常独立于控制终端并且周期性地执行某种任务或等待处理某些发生的事件。如果想让某个进程不因为用户或终端或其他地变化 而受到影响，那么就必须把这个进程变成一个守护进程。

(3)主配置文件

/etc/ssh/sshd_config
在主配置文件最终，设定sshd这个守护进程如何对ssh进行控制

（4）默认端口 22

访问同样的ip看到的东西不一样，比如使用ssh远程链接100这台主机和在73主机上使用浏览器i输入172.25.254.100看到的东西不一样。
IP上有某一个接口，说明该程序在运行，没有说明该程序没有运行。
端口号可以改变，但一般情况使用默认。
使用如下指令查看端口号：

[root@westoslinux100 ~]# netstat -antuple

如果对后面的参数不清楚，可以使用man netstat查看
（5）客户端指令
ssh

三、ssh远程连接出现问题的解决方案

1.基础知识

可以看到100中的公钥，和200收到的一样

2.解决问题

四、ssh常用参数

-l	指定登陆用户
-i	#指定私钥
-X#开启图形
-f	后台运行
-o	指定连接参数如：# ssh -l root@172.25.254.x -o "StrictHostKeyChecking=no"首次连接不需要输入yes
-t	指定连接跳板：ssh -l root 172.25.254.1 -t ssh -l root 172.25.254.105

五、sshd key认证

上图反映了，ssh开启的远程连接服务会方便用户使用，但是权限越大，安全指数越低，比如我关掉ssh服务，那知道真机密码的的人还可以通过密码登陆真机，也就是说用ssh去登陆维护的服务器时，不安全
解决方案

1.认证类型

1.对称加密
加密和解密是同一串字符
容易泄漏
可暴力破解
容易遗忘
 
2.非对称加密
加密用公钥,解密用私钥
不会被盗用
攻击者无法通过无密钥方式登陆服务器

2.生成非对称加密密钥

（1）方法1：

（2）方法二：
内容和方法一一致，但是使用非交互的方法

3.对服务器加密

做完上述步骤，相当于在商店买了一把锁和钥匙，但是还没有给对应的门上上锁
 
使用下图的步骤，用指定锁对指定用户及主机上锁

其实authorized_keys就是id_rsa文件的复制，上锁的过程就是将id_rsa文件复制到.ssh/目录下的过程

2.测试

每次都要指定密钥登陆麻烦，可以把密钥放到200这台服务端的/root/.ssh/目录下。
系统会自动时别这个文件

六、sshd安全优化参数详解

[root@westoslinux100 ~]# vim /etc/ssh/sshd_config
修改配置文件

1. port 2222  设定端口为2222

使用ssh远程连接服务时，默认端口就是22
当我们关闭200的sshd服务时，使用100连接200会有如下显示

改变端口号：
编写如下文件，将"port 22" 注释打开，改为 “port 2222”
实验完成后，将端口号注释掉重启sshd服务，使用默认端口号，开启火墙服务

2. PasswordAuthentication 是否开启原始密码认证方式

能不能当远程客户端通过ssh连接主机时，只存在非对称加密，直接取消调输入密码的功能。这样保证远程连接我主机的人，只能是我发送了密钥的人，这样安全性会大大提高。

3.PermitRootLogin #是否禁止超级用户登陆

此选项关闭后，任何用户无法以超级用户的身份登陆服务端，其他用户身份不受影响。

4.用户的黑白名单

1.黑名单（DenyUser ）
在/etc/ssh/sshd_config文件下设定DenyUser


如果在黑名单中添加多个用户，可以查询 man 5 sshd_config,里面指出不同用户之间用空格
 
2.用户白名单