ssh服务

关于ssh

ssh的定义

SSH（Secure Shell）是一种安全通道协议，是基于传输层的协议，主要用来实现字符界面的远程登录、远程复制等功能。SSH协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入的用户口令。提供了服务器认证，保密性及完整性。此外它有时还提供压缩功能。

因此SSH协议具有很好的安全性。

SSH客户端<--------------网络---------------->SSH服务端

ssh的优点

数据传输是加密的，可以防止信息泄漏

数据传输是压缩的，可以提高传输速度

登录方式

默认端口号（22）登录

通过虚拟机2登录虚拟机1

ssh 用户名@虚拟机1IP地址

修改端口号登录

ssh -p 端口号 用户名@ip地址

修改虚拟机1的配置文件，将端口号改为10022

[root@qzz ~]# vim /etc/ssh/sshd_config

去虚拟机2登录虚拟机1

黑白名单

允许所有账户登录dxl。

cxk只允许192.168.146.40登录。

拒绝所有用户登录qzz

scp（远程复制）

在192.168.146.20虚拟机里面创建一个文件，并且复制到192.168.146.30里面去

scp 用户名@ip地址：/所要复制的文件的路径/所要存放的路径（默认端口号）

scp -P 端口号 用户名@ip地址：/所要复制的文件的路径/所要存放的路径（指定端口号）

scp -rP 端口号 用户名@ip地址：/所要复制的目录的路径/所要存放的路径（指定端口号复制路径）

[root@localhost ~]# scp -P 10022 root@192.168.146.20:/opt/123 /opt

sftp（远程上传和下载）

sftp -P 端口号 用户名@ip地址

支持登录的验证方式

1.密码验证

对服务器中本地系统用户的登录名称、密码进行验证。简便，但可能会被暴力破解，暴力破解可看之前博客有详细描述系统弱口令检测

2.密钥对验证

要求提供相匹配的密钥信息才能通过验证。通常先在客户端中创建一对密钥文件（公钥、私钥），

然后将公钥文件放到服务器中的指定位置。远程登录时，系统将使用公钥、私钥进行加密/解密关联验证。

能增强安全性，且可以免交互登录。

当密码验证、密钥对验证都启用时，服务器将优先使用密钥对验证。可根据实际情况设置验证方式。

密钥对

进配置文件修改

[root@qzz opt]# vim /etc/ssh/sshd_config

在客户端创建密钥对

通过ssh-keygen工具为当前用户创建密钥对文件。可用的加密算法为RSA、ECDSA或DSA等（ssh-keygen命令的“-t”选项用于指定算法类型）。

[root@qzz ~]# ssh-keygen -t ecdsa //-t指定密钥的算法类型

已生成密钥文件

将1的密钥对传给2

[root@qzz .ssh]# ssh-copy-id -i id_ecdsa.pub root@192.168.146.30

2里面已传输成功

此时1连2的时候，只需要输入密钥对的密码，即可登录

免密登录

[root@qzz ~]# ssh-agent bash
[root@qzz ~]# ssh-add

此时在登录的时候，也不用输入密码，也不用输入密钥对

TCP Wrappers

1.直接使用tcpd程序对其他服务程序进行保护，需要运行tcpd程序。

2.由其他网络服务程序调用libwrap.so.* 链接库，不需要运行tcpd 程序。此方式的应用更加广泛，也更有效率。

3.使用ldd命令可以查看程序的libwrap.so. *链接库

4.ldd $ (which ssh)

语法格式：<服务程序列表>: <客户端地址列表>

（1）服务程序列表 服务程序列表可分为以下几类。

ALL：代表所有的服务。

单个服务程序：如“vsftpd”。

多个服务程序组成的列表：如“vsftpd,sshd”。

首先检查 /etc/hosts.allow 文件，如果找到相匹配的策略，则允许访问； 否则继续检查/etc/hosts.deny

文件，如果找到相匹配的策略，则拒绝访问； 如果检查上述两个文件都找不到相匹配的策略， 则允许访问

“允许所有，拒绝个别”

只需在/etc/hosts.deny文件中添加相应的拒绝策略

“允许个别，拒绝所有"

除了在/etc/hosts.allow中添加允许策略之外，还需要在/etc/hosts

deny文件中设置"ALL:ALL"的拒绝策略。

在10里面添加，此时40虚拟机登录不上

[root@qzz ~]# vim /etc/hosts.deny

此时已经登录不上了

[root@qzz ~]# vim /etc/hosts.allow