OpenSSH

最新推荐文章于 2024-09-28 15:39:20 发布
最新推荐文章于 2024-09-28 15:39:20 发布
阅读量230 收藏
点赞数 1
分类专栏： Linux 文章标签： ssh linux 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_49530779/article/details/120453636
版权

OpenSSH

1.使用 SSH 访问远程命令行

1.1 OpenSSH 简介

OpenSSH这一术语指系统中使用的Secure Shell软件的软件实施。用于在远程系统上安全运行shell。如果您在可提供ssh服务的远程Linux系统中拥有用户帐户，则ssh是通常用来远程登录到该系统的命令。ssh命令也可用于在远程系统中运行命令。

常见的远程登录工具有：

  • telnet
  • ssh
  • dropbear
telnet      //远程登录协议，23/TCP
    认证明文
    数据传输明文

ssh         //Secure SHell，应用层协议，22/TCP
    通信过程及认证过程是加密的，主机认证
    用户认证过程加密
    数据传输过程加密
    
dropbear    //嵌入式系统专用的SSH服务器端和客户端工具

1.2 SSH 认证方式

openssh有两种认证方式，分别是：

  • 基于口令认证
  • 基于密钥认证

1.3 openSSH 的工作模式

openSSH是基于C/S架构工作的。

服务器端    //sshd，配置文件在/etc/ssh/sshd_config
客户端     //ssh，配置文件在/etc/ssh/ssh_config
    ssh-keygen      //密钥生成器
    ssh-copy-id     //将公钥传输至远程服务器
    scp             //跨主机安全复制工具

1.4 Secure Shell 示例

//以当前用户身份创建远程交互式shell，然后在结束时使用exit命令返回到之前的shell
[root@localhost ~]# ssh 192.168.8.129
root@192.168.8.129's password: 
Activate the web console with: systemctl enable --now cockpit.socket

This system is not registered to Red Hat Insights. See https://cloud.redhat.com/
To register this system, run: insights-client --register

Last login: Fri Sep 24 14:09:05 2021 from 192.168.8.129
[root@localhost ~]# exit
注销
Connection to 192.168.8.129 closed.
[root@localhost ~]# 

//以其他用户身份上连接到远程`shell`
[root@localhost ~]# ssh roo@192.168.8.129
roo@192.168.8.129's password: 
Activate the web console with: systemctl enable --now cockpit.socket

This system is not registered to Red Hat Insights. See https://cloud.redhat.com/
To register this system, run: insights-client --register

Last login: Fri Sep 24 14:17:05 2021 from 192.168.8.1
[roo@localhost ~]$ exit
注销
Connection to 192.168.8.129 closed.

1.5 SSH 主机密钥

ssh通过公钥加密的方式保持通信安全。当某一ssh客户端连接到ssh服务器时，在该客户端登录之前，服务器会向其发送公钥副本。这可用于为通信渠道设置安全加密，并可验证客户端的服务器。

当用户第一次使用ssh连接到特定服务器时，ssh命令可在用户的~/.ssh/known_hosts文件中存储该服务器的公钥。在此之后每当用户进行连接时，客户端都会通过对比~/.ssh/known_hosts文件中的服务器条目和服务器发送的公钥，确保从服务器获得相同的公钥。如果公钥不匹配，客户端会假定网络通信已遭劫持或服务器已被入侵，并且中断连接。

这意味着，如果服务器的公钥发生更改（由于硬盘出现故障导致公钥丢失，或者出于某些正当理由替换公钥），用户则需要更新其~/.ssh/known_hosts文件并删除旧的条目才能够进行登录。

//主机ID存储在本地客户端系统上的 ~/.ssh/known_hosts 中
[root@localhost ~]# cat ~/.ssh/known_hosts 
192.168.8.129 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBBUQdQpmUS21ER1YxnSFs9aqwiHi/76pLd9qdV8GW3JdTCm2mc1vZ7D6pHnUv7cYqdUTfX2CUgbnbUrfadHcb8Y=
[root@localhost ~]# 

//主机密钥存储在SSH服务器上的 /etc/ssh/ssh_host_key* 中
[root@localhost ~]# ls /etc/ssh/*key*
/etc/ssh/ssh_host_ecdsa_key      /etc/ssh/ssh_host_ed25519_key      /etc/ssh/ssh_host_rsa_key
/etc/ssh/ssh_host_ecdsa_key.pub  /etc/ssh/ssh_host_ed25519_key.pub  /etc/ssh/ssh_host_rsa_key.pub
[root@localhost ~]#

2. 配置基于 SSH 密钥的身份验证

用户可通过使用公钥身份验证进行ssh登录身份验证。ssh允许用户使用私钥-公钥方案进行身份验证。这意味着将生成私钥和公钥这两个密钥。私钥文件用作身份验证凭据，像密码一样，必须妥善保管。公钥复制到用户希望登录的系统，用于验证私钥。公钥并不需要保密。拥有公钥的ssh服务器可以发布仅持有您私钥的系统才可解答的问题。因此，可以根据所持有的密钥进行验证。如此一来，就不必在每次访问系统时键入密码，但安全性仍能得到保证。
使用ssh-keygen命令生成密码。将会生成私钥~/.ssh/id_rsa和公钥~/.ssh/id_rsa.pub。
注意：

生成密钥时，系统将提供指定密码的选项，在访问私钥时必须提供该密码。如果私钥被偷，除颁发者之外的其他任何人很难使用该私钥，因为已使用密码对其进行保护。这样，在攻击者破解并使用私钥前，会有足够的时间生成新的密钥对并删除所有涉及旧密钥的内容。

生成ssh密钥后，密钥将默认存储在家目录下的.ssh/目录中。私钥和公钥的权限就分别为600和644。.ssh目录权限必须是700。

在可以使用基于密钥的身份验证前，需要将公钥复制到目标系统上。可以使用ssh-copy-id完成这一操作

[root@localhost ~]# ssh-copy-id remoteuser@remotehost

通过ssh-copy-id将密钥复制到另一系统时，它默认复制~/.ssh/id_rsa.pub文件

//SSH密钥演示
//使用 ssh-keygen 创建公钥-私钥对，注意是在客户端上操作服务端
[root@localhost ~]# ls .ssh/
known_hosts
[root@localhost ~]# 
[root@localhost ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):    //回车
Enter passphrase (empty for no passphrase):    //回车
Enter same passphrase again:    //回车
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:r7W+GRm+iENQiRK+5EJLVEqWSwib2oVXSqvEGXnlDJk root@localhost.localdomain
The key's randomart image is:
+---[RSA 3072]----+
|++=+o=o.         |
|=B+=EBo          |
|++Oo=.o          |
|+*.=.            |
|o.=  .  S .      |
| .    .  o o     |
|     .    *      |
|      .. + =     |
|      ..o.*.     |
+----[SHA256]-----+

//使用 ssh-copy-id 将公钥复制到远程系统上的正确位置
[root@localhost ~]# ls .ssh/
id_rsa  id_rsa.pub  known_hosts
[root@localhost ~]# ssh-copy-id root@192.168.8.130
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
The authenticity of host '192.168.8.130 (192.168.8.130)' can't be established.
ECDSA key fingerprint is SHA256:NnjR3bU+A025xWLGs+c20YgVhNG3IBRGLKdDdMrW/Zw.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@192.168.8.130's password: 

Number of key(s) added: 1   //输入密码

Now try logging into the machine, with:   "ssh 'root@192.168.8.130'"
and check to make sure that only the key(s) you wanted were added.

[root@localhost ~]# 

//使用 ssh 命令无命令登录远程主机
[root@localhost ~]# ssh root@192.168.8.130
Activate the web console with: systemctl enable --now cockpit.socket

This system is not registered to Red Hat Insights. See https://cloud.redhat.com/
To register this system, run: insights-client --register

Last login: Tue Sep 14 15:46:18 2021
[root@localhost ~]# 


//使用 scp 命令传送文件到远程主机
[root@localhost ~]# scp test.sh root@192.168.8.130:/opt
test.sh                                                                        100%    0     0.0KB/s   00:00    
[root@localhost ~]# 

[root@localhost ~]# ls /opt/   //去远程主机查看
test.sh
[root@localhost ~]# 

//使用scp命令从远程主机上下载文件到本地
[root@localhost ~]# scp root@192.168.8.130:/root/pyd.sh .
pyd.sh                                                                         100%    0     0.0KB/s   00:00    
[root@localhost ~]# ls
公共  模板  视频  图片  文档  下载  音乐  桌面  anaconda-ks.cfg  initial-setup-ks.cfg  pyd.sh  test.sh
[root@localhost ~]# 

//scp命令常用选项
    -r      //递归复制
    -p      //保持权限
    -P      //端口
    -q      //静默模式
    -a      //全部复制

3.自定义SSH服务配置

虽然OpenSSH服务器通常无需修改，但会提供其他安全措施，可以在配置文件/etc/ssh/sshd_config中修改OpenSSH服务器的各个方面。

PermitRootLogin {yes|no}    //是否允许root用户远程登录系统
PermitRootLogin without-password    //仅允许root用户基于密钥方式远程登录
PasswordAuthentication {yes|no}     //是否启用密码身份验证，默认开启

4.SSH安全注意事项

  • 密码应该经常换且足够复杂
[root@localhost ~]# tr -dc A-Za-z0-9_ < /dev/urandom | head -c 30 |xargs   //生成30位的密码
bZxmxnbxTPGYzOW6Brqt8uJJd1dFto

[root@localhost ~]# openssl rand  -base64 20   生成20位随机密码
X3CXVjY9wmuuQx1HrD8hX4G81PA=
  • 使用非默认端口
  • 限制登录客户端地址
  • 仅监听特定的IP地址
  • 禁止管理员直接登录
  • 仅允许有限制用户登录
    • AllowUsers
    • AllowGroups
  • 使用基于密钥的认证
  • 禁止使用空密码
  • 禁止使用SSHv1版本
  • 设定空闲会话超时时长
  • 利用防火墙设置ssh访问策略
  • 限制ssh的访问频度和并发在线数
  • 做好日志的备份，经常分析（集中于某台服务器）
彭宇栋
关注
专栏目录
3.1 openssh
Yusyang_的博客
10-22 722
openssh目录1. 使用 SSH 访问远程命令行1.1 OpenSSH 简介1.2 SSH 版本1.3 SSH 认证方式1.4 openSSH 的工作模式1.5 Secure Shell 示例1.6 SSH主机密钥2. 配置基于 SSH 密钥的身份验证2.1 密钥认证配置步骤2.1.1 官方配置步骤2.1.2 第三方配置步骤 1. 使用 SSH 访问远程命令行 1.1 OpenSSH 简介 O...
openssh服务
caojue0773的博客
07-02 658
使用 SSH 访问远程命令行1.1 OpenSSH 简介1.2 SSH 版本1.3 SSH 认证方式1.4 openSSH 的工作模式1.4 Secure Shell 示例1.5 SSH 主机密钥 配置基于 SSH 密钥的身份验证 自定义 SSH 服务配置 SSH 安全注意事项 1.1 OpenSSH 简介 OpenSSH这一术语指系统中使用的Secure Shell软件的软件实施。用于在远程...
OpenSSH for Windows搭建使用完全指南
weixin_35750747的博客
09-28 1750
本文还有配套的精品资源，点击获取 简介：OpenSSH for Windows是一份指南，介绍如何在Windows系统上安装和配置OpenSSH，实现安全的远程登录和文件传输功能。指南涵盖了从获取安装包、安装过程、服务启动管理、基本使用，到密钥对认证、安全优化等完整步骤。本指南旨在教授Windows用户如何利用OpenSSH提供的网络服务，以增强工作效率和数据传输安全性。 ...
openssh相关源码
09-12
OpenSSH是SSH协议的开源实现，它提供了多种服务，包括ssh客户端、ssh服务器、scp、sftp等。本篇文章将深入探讨OpenSSH的源码分析，以及如何使用提供的源码进行交叉编译以在开发板上搭建SSH服务器。 首先，我们来看...
OPENSSH7.4版本到openssh9.4版本合集
08-15
OpenSSH是Secure Shell (SSH) 的开源实现，用于在不安全的网络上提供加密的通信。这个合集包含了从OpenSSH 7.4到OpenSSH 9.4的多个版本，这代表了从2017年到最近的OpenSSH的发展历程。在这些版本中，我们可以看到...
OpenSSH9.5p1
11-12
OpenSSH 9.5p1 是一个安全的网络连接工具，用于在不同计算机之间建立加密的通信通道。它是OpenSSH项目的最新版本，旨在提供安全的远程登录和其他网络服务，如文件传输。OpenSSH是SSH（Secure SHell）协议的开源实现...
centos7 升级到openssh9.9的rpm包
最新发布
10-17
openssh9.9 是2024.9.20出的最新版ssh。因为客户扫描出一大堆centos7的漏洞，全是这个openssh的，好多补丁，所以索性升级到最新版。 使用方法： mkdir openssh9 mv openssh9.9.tar.gz openssh9 cd openssh9 tar ...
OpenSSH升级openssh-9.3p2程序包
01-15
OpenSSH是广泛使用的安全协议，用于在不同网络主机之间提供加密通信。它的最新版本openssh-9.3p2带来了多项改进和安全修复，对于任何依赖于SSH服务的系统来说，保持OpenSSH的更新至关重要。本文将深入探讨升级...
OpenSSH的安装和使用
05-17
实现远程命令 开启关闭远程客户端等
教程openssh中文版
07-23
opensshopensshopensshopensshopensshopensshopensshopensshopenssh
Openssh
weixin_65309423的博客
03-19 1163
OpenSSH这一术语指系统中使用的Secure Shell软件的软件实施，用于在远程系统上安全运行shell。
openssh
Zhangrl_的博客
10-23 802
openssh1. 使用 SSH 访问远程命令行1.1 OpenSSH 简介1.2 SSH 版本1.3 SSH 认证方式1.4 openSSH 的工作模式1.4 Secure Shell 示例1.5 SSH 主机密钥2. 配置基于 SSH 密钥的身份验证3. 自定义 SSH 服务配置4. SSH 安全注意事项5.密钥认证配置步骤：5.1生成密钥（客户端）5.2复制客户端的公钥到服务端5.3然后在服...
OpenSSH安全升级步骤详解
"本教程将指导你如何稳妥地升级OpenSSH，确保升级过程不会影响SSH服务的可用性，适合初学者按照步骤操作。" 在Linux系统中，OpenSSH是一个广泛使用的安全协议，用于远程登录和其他网络服务。它提供了加密通信，确保...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

彭宇栋

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值