一、什么是SSH?
简单说,SSH是一种网络协议,用于计算机之间的加密登录
如果一个用户从本地计算机,使用SSH协议登录另一台远程计算机,我们就认为,这种登录是安全的,即使被中途截获,密码也不会泄露。
最早的时候,互联网通信都是明文通信,一旦被截获,内容就暴露无疑。SSH协议,将登录信息全部加密,成为互联网安全的一个基本解决方
案,迅速在全世界获得推广,目前已经成为Linux系统的标准配置。
需要指出的是,SSH只是一种协议,存在多种实现,本文针对的实现是OpenSSH,它是自由软件,应用非常广泛。
此外,本文只讨论SSH在Linux Shell中的用法。如果要在Windows系统中使用SSH,会用到另一种软件PuTTY。
二、最基本的用法
SSH主要用于远程登录。假定你要以用户名user,登录远程主机host,只要一条简单命令就可以了。
sshuser@host如果本地用户名与远程用户名一致,登录时可以省略用户名SSH的默认端口是22,也就是说,你的登录请求会送进远程主机的22端口。使用p参数,可以修改这个端口。
ssh -p 2222 user@host
上面这条命令表示,ssh直接连接远程主机的2222端口。
三,口令登录
如果你是第一次远程登录别的主机,系统会提示你输入口令,如果密码正确,就可以登录了。
当远程主机的公钥被接受以后,它就会被保存在文件
HOME/.ssh/knownhosts之中。下次再连接这台主机,系统就会认出它的公钥已经保存在本地了,从而跳过警告部分,直接提示输入密码。每个SSH用户都有自己的knownhosts文件,此外系统也有一个这样的文件,通常是/etc/ssh/sshknownhosts,保存一些对所有用户都可信赖的远程主机的公钥。远程主机将用户的公钥,保存在登录后的用户主目录的
HOME/.ssh/authorized_keys文件中
四,公钥登录
使用密码登录,每次都必须输入密码,非常麻烦。好在SSH还提供了公钥登录,可以省去输入密码的步骤。
所谓”公钥登录”,原理很简单,就是用户将自己的公钥储存在远程主机上。登录的时候,远程主机会向用户发送一段随机字符串,用户用自己的私钥加密后,再发回来。远程主机用事先储存的公钥进行解密,如果成功,就证明用户是可信的,直接允许登录shell,不再要求密码。
这种方法要求用户必须提供自己的公钥。如果没有现成的,可以直接用ssh-keygen生成一个
如果你想再连接另外一台机器不输入口令不用再重新生成了,直接复制私钥就行,这样以后非常方便你管理众多的机器,实现自动化,但是也很危险,一但黑客控制了你的机器就能进入任何一台机器,所以你一定要保护好你的私钥
如果你的私钥被黑客盗取了,你不想让他连到任何一台机器上,你可以重新生成一个新的密钥对并且给秘钥对加密
但是如果你不想输私钥密码,这个时候你可以使用代理,让代理程序帮你输入密码
五,SSH 端口转发
SSH 端口转发格式
-L bind_address:port:host:hostport
-R bind_address:port:host:hostport
-D bind_address:port
1.本地端口转发
假定hostA是本地主机,hostB是远程主机。由于种种原因,这两台主机之间无法连通。但是,另外还有一台hostC,可以同时连通前面两台主机。因此,很自然的想法就是,通过hostC,将hostA连上hostB。
我们在hostA执行下面的命令:
ssh−Nf−L2121:host2:21host3命令中的L参数一共接受三个值,分别是”本地端口:目标主机:目标主机端口”,它们之间用冒号分隔。这条命令的意思,就是指定SSH绑定本地端口2121,然后指定hostC将所有的数据,转发到目标主机hostB的21端口(假定hostB运行FTP,默认端口为2这样一来,我们只要连接hostA的2121端口,就等于连上了hostB的21端口)。−N告诉SSH客户端,这个连接不需要执行任何命令。仅仅做端口转发−f告诉SSH客户端在后台运行−L做本地映射端口,被冒号分割的三个部分含义分别是:需要使用的本地端口号,需要访问的目标机器IP地址,需要访问的目标机器端口最后一个参数是我们用来建立隧道的中间机器的IP地址
ftp localhost:2121
“本地端口转发”使得hostA和hostC之间仿佛形成一个数据传输的秘密隧道,因此又被称为”SSH隧道”。
2.远程端口转发
既然”本地端口转发”是指绑定本地端口的转发,那么”远程端口转发”(remote forwarding)当然是指绑定远程端口的转发。
还是接着看上面那个例子,hostA与hostB之间无法连通,必须借助hostC转发。但是,特殊情况出现了,hostC是一台内网机器,它可以 连接外网的hostA,但是反过来就不行,外网的hostA连不上内网的hostC。这时,”本地端口转发”就不能用了,怎么办?
解决办法是,既然hostC可以连hostA,那么就从hostC上建立与hostA的SSH连接,然后在hostA上使用这条连接就可以了。
我们在hostC执行下面的命令:
ssh−R2121:hostB:21hostAR参数也是接受三个值,分别是”远程主机端口:目标主机:目标主机端口”。这条命令的意思,就是让hostA监听它自己的2121端口,然后将所有数据经由hostC,转发到hostB的21端口。由于对于hostC来说,hostA是远程主机,所以这种情况就被称为”远程端口绑定”。绑定之后,我们在hostA就可以连接hostB了:
ftp localhost:2121
这里必须指出,”远程端口转发”的前提条件是,hostA和hostC两台主机都有sshD和ssh客户端。
3.动态端口转发
这会使本地主机监听端口port,一旦与该端口建立连接,经过该端口的数据会被转发到安全通道发送到远程主机。远程主机的sshd会根据数据包的应用层协议(如HTTP)自动建立对应的连接。
动态端口转发只需要指定代理服务器是谁,不指定目标
前面的本地转发和远程转发都需要指定一个固定的端口,这里动态转发就不需要指定端口,那么什么样的应用会没有这个端口号呢?比如说用浏览器进行 Web 浏览,比如说 MSN 等等。
当我们在一个不安全的 WiFi 环境下上网,用 SSH 动态转发来保护我们的网页浏览及 MSN 信息无疑是十分必要的。让我们先来看一下动态转发的命令格式:
ssh−D例如:
ssh -D 7001
我们选择了 7001 作为本地的端口号,其实在这里 SSH 是创建了一个 SOCKS 代理服务,我们可以直接使用 localhost:7001 来作为正常的 SOCKS 代理来使用,直接在浏览器或 MSN 上设置即可。在 SSH Client 端无法访问的网站现在也都可以正常浏览。而这里需要值得注意的是,此时 SSH 所包护的范围只包括从浏览器端(SSH Client 端)到 SSH Server 端的连接,并不包含从 SSH Server 端 到目标网站的连接
至此,我们已经完成了本地端口转发,远程端口转发和动态转发,总的思路是通过将 TCP 连接转发到 SSH 通道上以解决数据加密以及突破防火墙的种种限制。对一些已知端口号的应用,例如 Telnet/LDAP/SMTP,我们可以使用本地端口转发或者远程端口转发来达到目的。动态端口转发则可以实现 SOCKS 代理从而加密以及突破防火墙对 Web 浏览的限制。