Linux SSH免密通信 - “ssh-keygen”的基本用法；配置ssh 无需密码即可登录远程服务器

最新推荐文章于 2024-09-11 14:34:14 发布

ac.char

最新推荐文章于 2024-09-11 14:34:14 发布

阅读量8.5k

点赞数 3

分类专栏：系统运维文章标签： linux 服务器 ssh

原文链接：https://jingyan.baidu.com/article/5d6edee21d7b97d8eadeecb7.html

版权

系统运维专栏收录该内容

41 篇文章 2 订阅

订阅专栏

Linux SSH免密通信 - “ssh-keygen”的基本用法

Linux SSH免密通信 - “ssh-keygen”的基本用法
1 什么是SSH
2 配置SSH免密登录
3 扩展说明
4 常见问题及解决
其他
配置ssh 无需密码即可登录远程服务器

Linux SSH免密通信 - “ssh-keygen”的基本用法

1 什么是SSH

引用百度百科的说明:

SSH 为 Secure Shell的缩写，由 IETF 的网络小组（Network Working Group）所制定；它是建立在应用层基础上的安全协议。

SSH 是目前较可靠，专为远程登录会话和其他网络服务提供安全性的协议。利用 SSH 协议可以有效防止远程管理过程中的信息泄露问题。

SSH最初是UNIX系统上的一个程序，后来又迅速扩展到其他操作平台。
为了在不同平台/网络主机之间的通信安全, 很多时候我们都要通过ssh进行认证. ssh认证方式主要有2种:

 ① 基于口令的安全认证: 每次登录的时候都要输入用户名和密码, 由于要在网络上传输密码, 可能存在中间人攻击的风险;



② 基于密钥的安全认证: 配置完成后就可以实现免密登录, 这种方式更加安全 —— 不需要在网络上传递口令, 只需要传输一次公钥. 常见的git的ssh方式就是通过公钥进行认证的.

2 配置SSH免密登录

说明: 这里演示所用的服务器操作系统是Cent OS 7. 我们的目标是:

A服务器(172.16.22.131) 能免密登录 B服务器 (172.16.22.132).

注意: ssh连接是单向的, A能免密登录B, 并不能同时实现B能免密登录A.

2.1 安装必需的软件

在操作之前, 先确保所需要的软件已经正常安装.

这里我们需要安装ssh-keygen和ssh-copy-id, 安装方式如下:

#安装ssh-keygen, 需要确保服务器可以联网. 博主这里已经安装完成, 所以没有做任何事.

[root@localhost ~]# yum install -y ssh-keygen

Loaded plugins: fastestmirror, langpacks

base | 3.6 kB 00:00:00

epel | 3.6 kB 00:00:00

extras | 2.9 kB 00:00:00

updates | 2.9 kB 00:00:00

Loading mirror speeds from cached hostfile No package ssh-keygen available.

Error: Nothing to do

#安装ssh-copy-id

[root@localhost ~]# yum install -y ssh-copy-id

Loaded plugins: fastestmirror, langpacks Loading mirror speeds from cached hostfile No package ssh-copy-id available.

Error: Nothing to do

2.2 ssh-keygen创建公钥-私钥对

(1) 在指定目录下生成rsa密钥, 并指定注释为“shoufeng”, 实现示例:

[root@localhost ~]# ssh-keygen -t rsa -f ~/.ssh/id_rsa -C “shoufeng”# ~密钥类型 ~密钥文件路径及名称 ~ 备注信息

Generating public/private rsa key pair.

Enter passphrase (empty for no passphrase): # 输入密码, 若不输入则直接回车

Enter same passphrase again: # 再次确认密码, 若不输入则直接回车

Your identification has been saved in /root/.ssh/id_rsa.

Your public key has been saved in /root/.ssh/id_rsa.pub.

The key fingerprint is: 9a:e3:94:b9:69:c8:e9:68:4b:dc:fa:43:25:7f:53:f1 shoufeng The key’s randomart image is:

±-[ RSA 2048]----+ | | | . | | o | | . . . E | | + S. | | . … .=o | | oo.oB. . | | …o=o.+ | | .++oo+ | ±----------------+

注意: 密钥的文件名称必须是id_xxx, 这里的xxx就是-t参数指定的密钥类型. 比如密钥类型是rsa, 那么密钥文件名就必须是id_rsa.

(2) ssh-keygen常用参数说明:

-t: 密钥类型, 可以选择 dsa | ecdsa | ed25519 | rsa;

-f: 密钥目录位置, 默认为当前用户home路径下的.ssh隐藏目录, 也就是~/.ssh/, 同时默认密钥文件名以id_rsa开头. 如果是root用户, 则在/root/.ssh/id_rsa, 若为其他用户, 则在/home/username/.ssh/id_rsa;

-C: 指定此密钥的备注信息, 需要配置多个免密登录时, 建议携带;

-N: 指定此密钥对的密码, 如果指定此参数, 则命令执行过程中就不会出现交互确认密码的信息了.

举例说明: 同时指定目录位置、密码、注释信息, 就不需要输入回车键即可完成创建:

ssh-keygen -t rsa -f ~/.ssh/id_rsa -N shoufeng -C shoufeng

(3) 前往~/.ssh/目录下查看生成的文件:

#生成的文件以test_rsa开头, test_rsa是私钥, test_rsa.pub是公钥:

[root@localhost .ssh]# ls

test_rsa test_rsa.pub

#通过cat命令查看公钥文件:

[root@localhost .ssh]# cat id_rsa.pub

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC2JpLMqgeg9jB9ZztOCw0WMS8hdVpFxthqG1vOQTOji/cp0+8RUZl3P6NtzqfHbs0iTcY0ypIJGgx4eXyipfLvilV2bSxRINCVV73VnydVYl5gLHsrgOx+372Wovlanq7Mxq06qAONjuRD0c64xqdJFKb1OvS/nyKaOr9D8yq/FxfwKqK7TzJM0cVBAG7+YR8lc9tJTCypmNXNngiSlipzjBcnfT+5VtcFSENfuJd60dmZDzrQTxGFSS2J34CuczTQSsItmYF3DyhqmrXL+cJ2vjZWVZRU6IY7BpqJFWwfYY9m8KaL0PZ+JJuaU7ESVBXf6HJcQhYPp2bTUyff+vdV shoufeng

#可以看到最后有一个注释内容shoufeng

2.3 ssh-copy-id把A的公钥发送给B

默认用法是: ssh-copy-id root@172.16.22.132, ssh-copy-id命令连接远程服务器时的默认端口是22, 当然可以指定文件、远程主机的IP、用户和端口:

#指定要拷贝的本地文件、远程主机的IP+用户名+端口号:

[root@localhost .ssh]# ssh-copy-id -i ~/.ssh/id_rsa.pub -p 22 root@172.16.22.132

/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed

/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed – if you are prompted now it is to install the new keys

root@172.16.22.132’s password: # 输入密码后, 将拷贝公钥

Number of key(s) added: 1

Now try logging into the machine, with: “ssh -p ‘22’ ‘root@172.16.22.132’” and check to make sure that only the key(s) you wanted were added.

2.4 在A服务器上免密登录B服务器

[root@localhost .ssh]# ssh root@172.16.22.132

Last login: Fri Jun 14 08:46:04 2019 from 192.168.34.16 # 登录成功😄

3 扩展说明

3.1 其他方式发送公钥文件

上述2.3步骤是通过ssh-copy-id工具发送公钥文件的, 当然我们也可以通过其他方式实现:

(1) 将A的公钥文件发给B:

通过scp命令将A服务器的公钥文件发送到B服务器的用户目录下, 因为还没有配置成功免密登录, 所以期间需要输入B服务器对应用户的密码:

[root@localhost .ssh]# scp id_rsa.pub root@172.16.22.132:

/root/.ssh root@172.16.22.132’s password:

id_rsa.pub 100% 390 0.4KB/s 00:00

(2) 在B上创建authorized_keys文件:

[root@localhost .ssh]# cd /root/.ssh/

[root@localhost .ssh]# lsid_rsa.pub# 通过A服务器的公钥生成"authorized_keys"文件:

[root@localhost .ssh]# cat id_rsa.pub >> authorized_keys

[root@localhost .ssh]# cat authorized_keys ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC2JpLMqgeg9jB9ZztOCw0WMS8hdVpFxthqG1vOQTOji/cp0+8RUZl3P6NtzqfHbs0iTcY0ypIJGgx4eXyipfLvilV2bSxRINCVV73VnydVYl5gLHsrgOx+372Wovlanq7Mxq06qAONjuRD0c64xqdJFKb1OvS/nyKaOr9D8yq/FxfwKqK7TzJM0cVBAG7+YR8lc9tJTCypmNXNngiSlipzjBcnfT+5VtcFSENfuJd60dmZDzrQTxGFSS2J34CuczTQSsItmYF3DyhqmrXL+cJ2vjZWVZRU6IY7BpqJFWwfYY9m8KaL0PZ+JJuaU7ESVBXf6HJcQhYPp2bTUyff+vdV shoufeng

注意: 上述重定向时使用>>进行追加, 不要用>, 那会清空原有内容.

3.2 文件权限

为了让私钥文件和公钥文件能够在认证中起作用, 需要确保权限的正确性:

① 对于.ssh目录以及其内部的公钥、私钥文件, 当前用户至少要有执行权限, 其他用户最多只能有执行权限.

② 不要图省事设置成777权限: 太大的权限不安全, 而且数字签名也不支持这种权限策略.

③ 对普通用户, 建议设置成600权限: chmod 600 authorized_keys id_rsa id_rsa.pub;

④ 对root用户, 建议设置成644权限: chmod 644 authorized_keys id_rsa id_rsa.pub.

3.3 文件的编辑和查看

在Liunx环境下, 如果要查看、复制私钥、公钥, 以及authorized_keys等文件, 不要使用vim等编辑器打开, 因为它会产生不必要的回车;

应该通过cat、more、less等查看命令把内容打印到终端上, 再作查看、复制等操作.

4 常见问题及解决

(1) 问题描述:

通过ssh-copy-id命令拷贝公钥文件之后, 尝试免密登录另一台服务器时发生错误:

(2) 问题原因:

提示信息说明密钥文件不受保护, 具体是说这里的密钥文件权限是0644, 而数字签名机制要求密钥文件不能被其他用户访问(读取), 所以该密钥文件被强制忽略处理了.

(3) 问题解决:

只要修改该密钥文件的权限即可:

chmod 600 /root/.ssh/id_rsa

这里/root/.ssh/id_rsa就是warning里给出的密钥文件名.

其他

要生成SSH密钥对而不提示您输入密码短语，可以执行以下操作：

$ ssh-keygen -f id_rsa -t rsa -N ''

配置ssh 无需密码即可登录远程服务器

在平时工作或者开发自己的项目时，经常需要登录部署了项目代码的服务器来做一些调试，配置等相关的操作，像sftp、rsync之类的工具也是基于ssh通道来工作的。但是经常输密码登录服务器又会让人觉得很烦，本文就来简单讲一下如何配置ssh让我们在Mac或者Linux终端中无需密码即可登录远程服务器。

用ssh命令来远程登录服务器如：

ssh kevinyan@145.xx.xx.152
用kevinyan这个用户通过ssh 连接145.xx.xx.152 这台服务器。
但是这样输入总是需要输入kevinyan这个用户的密码才能登录服务器，如果想不输入密码即可连接服务器，需要先将客户端的rsa公钥放入服务器用户家目录下的.ssh/authorized_keys文件中。

生成SSH KEY

ssh-keygen -t rsa -c ‘example@qq.com’
-t rsa 表示生成rsa方式加密的公钥 -c后是注释可不填,然后一路回车，就会在客户端电脑用户家目录的.ssh目录下生成id_rsa(私钥)和id_rsa.pub(公钥)。

将id_rsa.pub里的内容粘贴进服务器/home/kevinyan/.ssh/authorized_keys文件中，如果是第一次配置需要新建authorized_keys文件（如果authorized_keys里已有其他客户端的公钥,那么把你的公钥追加进去即可）
如果客户端使用的是LINUX系统那么步骤2也可以用ssh-copy-id命令来完成复制公钥到远程主机上的操作

ssh-copy-id -i ~/.ssh/id_rsa.pub kevinyan@10.xx.xxx.152
现在在终端里只需要输入 ssh user@host 就能登录上远端的服务器了。
这里有两点需要注意

服务端的authorized_keys文件的权限必须是600。
ssh-keygen命令重复执行会覆盖之前生成的密钥文件(会询问是否覆盖), 所以只生成一次
以后连接其他服务器都用这个公钥文件就行。