ssh原理与应用

一、什么是SSH？
简单说，SSH是一种网络协议，用于计算机之间的加密登录
如果一个用户从本地计算机，使用SSH协议登录另一台远程计算机，我们就认为，这种登录是安全的，即使被中途截获，密码也不会泄露。
最早的时候，互联网通信都是明文通信，一旦被截获，内容就暴露无疑。SSH协议，将登录信息全部加密，成为互联网安全的一个基本解决方
案，迅速在全世界获得推广，目前已经成为Linux系统的标准配置。
需要指出的是，SSH只是一种协议，存在多种实现，本文针对的实现是OpenSSH，它是自由软件，应用非常广泛。
此外，本文只讨论SSH在Linux Shell中的用法。如果要在Windows系统中使用SSH，会用到另一种软件PuTTY。
二、最基本的用法
SSH主要用于远程登录。假定你要以用户名user，登录远程主机host，只要一条简单命令就可以了。
　　$ssh user@host 如果本地用户名与远程用户名一致，登录时可以省略用户名 SSH的默认端口是22，也就是说，你的登录请求会送进远程主机的22端口。使用p参数，可以修改这个端口。$ ssh -p 2222 user@host
上面这条命令表示，ssh直接连接远程主机的2222端口。
三，口令登录
如果你是第一次远程登录别的主机，系统会提示你输入口令，如果密码正确，就可以登录了。
当远程主机的公钥被接受以后，它就会被保存在文件$HOME/.ssh/known_hosts之中。下次再连接这台主机，系统就会认出它的公钥已经保存在本地了，从而跳过警告部分，直接提示输入密码。 每个SSH用户都有自己的known_hosts文件，此外系统也有一个这样的文件，通常是/etc/ssh/ssh_known_hosts，保存一些对所有用户都可信赖的远程主机的公钥。 远程主机将用户的公钥，保存在登录后的用户主目录的$HOME/.ssh/authorized_keys文件中
四，公钥登录
使用密码登录，每次都必须输入密码，非常麻烦。好在SSH还提供了公钥登录，可以省去输入密码的步骤。
所谓”公钥登录”，原理很简单，就是用户将自己的公钥储存在远程主机上。登录的时候，远程主机会向用户发送一段随机字符串，用户用自己的私钥加密后，再发回来。远程主机用事先储存的公钥进行解密，如果成功，就证明用户是可信的，直接允许登录shell，不再要求密码。
这种方法要求用户必须提供自己的公钥。如果没有现成的，可以直接用ssh-keygen生成一个
如果你想再连接另外一台机器不输入口令不用再重新生成了，直接复制私钥就行，这样以后非常方便你管理众多的机器，实现自动化，但是也很危险，一但黑客控制了你的机器就能进入任何一台机器，所以你一定要保护好你的私钥

如果你的私钥被黑客盗取了，你不想让他连到任何一台机器上，你可以重新生成一个新的密钥对并且给秘钥对加密

但是如果你不想输私钥密码，这个时候你可以使用代理，让代理程序帮你输入密码
五，SSH 端口转发
SSH 端口转发格式
-L bind_address:port:host:hostport
-R bind_address:port:host:hostport
-D bind_address:port

1.本地端口转发
假定hostA是本地主机，hostB是远程主机。由于种种原因，这两台主机之间无法连通。但是，另外还有一台hostC，可以同时连通前面两台主机。因此，很自然的想法就是，通过hostC，将hostA连上hostB。
我们在hostA执行下面的命令：$ssh -Nf -L 2121:host2:21 host3 命令中的L参数一共接受三个值，分别是”本地端口:目标主机:目标主机端口”，它们之间用冒号分隔。这条命令的意思，就是指定SSH绑定本地端口 2121，然后指定hostC将所有的数据，转发到目标主机hostB的21端口（假定hostB运行FTP，默认端口为2 这样一来，我们只要连接hostA的2121端口，就等于连上了hostB的21端口)。 -N 告诉SSH客户端，这个连接不需要执行任何命令。仅仅做端口转发 -f 告诉SSH客户端在后台运行 -L 做本地映射端口，被冒号分割的三个部分含义分别是:需要使用的本地端口号,需要访问的目标机器IP地址,需要访问的目标机器端口 最后一个参数是我们用来建立隧道的中间机器的IP地址$ ftp localhost:2121
“本地端口转发”使得hostA和hostC之间仿佛形成一个数据传输的秘密隧道，因此又被称为”SSH隧道”。

2.远程端口转发
既然”本地端口转发”是指绑定本地端口的转发，那么”远程端口转发”（remote forwarding）当然是指绑定远程端口的转发。
还是接着看上面那个例子，hostA与hostB之间无法连通，必须借助hostC转发。但是，特殊情况出现了，hostC是一台内网机器，它可以 连接外网的hostA，但是反过来就不行，外网的hostA连不上内网的hostC。这时，”本地端口转发”就不能用了，怎么办？
解决办法是，既然hostC可以连hostA，那么就从hostC上建立与hostA的SSH连接，然后在hostA上使用这条连接就可以了。
我们在hostC执行下面的命令：
　　$ssh -R 2121:hostB:21 hostA R参数也是接受三个值，分别是”远程主机端口:目标主机:目标主机端口”。这条命令的意思，就是让hostA监听它自己的2121端口，然后将所有 数据经由hostC，转发到hostB的21端口。由于对于hostC来说，hostA是远程主机，所以这种情况就被称为”远程端口绑定”。 绑定之后，我们在hostA就可以连接hostB了：$ ftp localhost:2121
这里必须指出，”远程端口转发”的前提条件是，hostA和hostC两台主机都有sshD和ssh客户端。

3.动态端口转发
这会使本地主机监听端口port，一旦与该端口建立连接，经过该端口的数据会被转发到安全通道发送到远程主机。远程主机的sshd会根据数据包的应用层协议（如HTTP）自动建立对应的连接。
动态端口转发只需要指定代理服务器是谁，不指定目标
前面的本地转发和远程转发都需要指定一个固定的端口，这里动态转发就不需要指定端口，那么什么样的应用会没有这个端口号呢？比如说用浏览器进行 Web 浏览，比如说 MSN 等等。
当我们在一个不安全的 WiFi 环境下上网，用 SSH 动态转发来保护我们的网页浏览及 MSN 信息无疑是十分必要的。让我们先来看一下动态转发的命令格式：
$ssh -D 例如：$ ssh -D 7001
我们选择了 7001 作为本地的端口号，其实在这里 SSH 是创建了一个 SOCKS 代理服务，我们可以直接使用 localhost:7001 来作为正常的 SOCKS 代理来使用，直接在浏览器或 MSN 上设置即可。在 SSH Client 端无法访问的网站现在也都可以正常浏览。而这里需要值得注意的是，此时 SSH 所包护的范围只包括从浏览器端（SSH Client 端）到 SSH Server 端的连接，并不包含从 SSH Server 端 到目标网站的连接
至此，我们已经完成了本地端口转发，远程端口转发和动态转发，总的思路是通过将 TCP 连接转发到 SSH 通道上以解决数据加密以及突破防火墙的种种限制。对一些已知端口号的应用，例如 Telnet/LDAP/SMTP，我们可以使用本地端口转发或者远程端口转发来达到目的。动态端口转发则可以实现 SOCKS 代理从而加密以及突破防火墙对 Web 浏览的限制。