SSH远程登录解析（linux）

目录

一，什么是ssh？

二，SSH的两种登录方式剖析：

1，口令登录：

过程：

实际操作过程：

特别注意：

2，秘钥登录：

过程：

实际操作过程：

三，known_host、authorized_keys、config文件

1，known_host：

2，authorized_keys：

3，config：

---

一，什么是ssh？

简单说，SSH是一种网络协议，用于计算机之间的加密登录。

如果一个用户从本地计算机，使用SSH协议登录另一台远程计算机，我们就可以认为，这种登录是安全的，即使被中途截获，密码也不会泄露。

最早的时候，互联网通信都是明文通信，一旦被截获，内容就暴露无疑。1995年，芬兰学者Tatu Ylonen设计了SSH协议，将登录信息全部加密，成为互联网安全的一个基本解决方案，迅速在全世界获得推广，目前已经成为Linux系统的标准配置。

需要指出的是，SSH只是一种协议，存在多种实现，既有商业实现，也有开源实现。本文针对的实现是OpenSSH，它是自由软件，应用非常广泛。

 

二，SSH的两种登录方式剖析：

先上一张图，对ssh的登录方式有一个大致的了解：（都是第一次登录时的操作）

1，口令登录：

过程：

1. 客户端发送请求
2. 远程主机接收到用户的登录请求后，把自己的公钥发送给用户
3. 用户使用这个公钥，将密码加密后，发送给远程主机
4. 远程主机利用自己的私钥，解密登录密码，如果密码正确，就同意用户登录

实际操作过程：

客户端发送请求：

$ ssh username@host              (可以在config中配置，使用 ssh 别名，不需要用户名和主机ip)


$ ssh host    (如果本地用户名与远程用户名一致，登录时可以省略用户名)



$ ssh -p 2222 user@host

(SSH的默认端口是22，登录请求会送进远程主机的22端口，使用p参数，可以修改这个端口)

如果你是第一次登录对方主机，系统会出现下面的提示:

　$ ssh user@host

　　The authenticity of host 'host (12.18.429.21)' can't be established.

　　RSA key fingerprint is 98:2e:d7:e0:de:9f:ac:67:28:c2:42:2d:37:16:58:4d.

　　Are you sure you want to continue connecting (yes/no)?

这段话的意思是，无法确认host主机的真实性，只知道它的公钥指纹，问你还想继续连接吗？

(就是问你，确定接受远程主机的公钥吗？)

假定经过风险衡量以后，用户决定接受这个远程主机的公钥。

　　Are you sure you want to continue connecting (yes/no)? yes

系统会出现一句提示，表示host主机已经得到认可。

　Warning: Permanently added 'host,12.18.429.21' (RSA) to the list of known hosts.

然后，会要求输入密码。

　　Password: (enter password)

如果密码正确，就可以登录了。

特别注意：

当远程主机的公钥被接受以后，它就会被保存在文件$HOME/.ssh/known_hosts之中。下次再连接这台主机，系统就会认出它的公钥已经保存在本地了，从而跳过警告部分，直接提示输入密码。

每个SSH用户都有自己的known_hosts文件，此外系统也有一个这样的文件，通常是/etc/ssh/ssh_known_hosts，保存一些对所有用户都可信赖的远程主机的公钥。

 

风险: 如果攻击者插在用户与远程主机之间（比如在公共的wifi区域），用伪造的公钥，获取用户的登录密码。再用这个密码登录远程主机，那么SSH的安全机制就荡然无存了。这种风险就是著名的"中间人攻击"（Man-in-the-middle attack）。

 

2，秘钥登录：

使用密码登录，每次都必须输入密码，非常麻烦。好在SSH还提供了公钥登录，可以省去输入密码的步骤。

所谓"公钥登录"，原理很简单，就是用户将自己的公钥储存在远程主机上。登录的时候，远程主机会向用户发送一段随机字符串，用户用自己的私钥加密后，再发回来。远程主机用事先储存的公钥进行解密，如果成功，就证明用户是可信的，直接允许登录shell，不再要求密码。

过程：

1. 用户先在本地生成一对秘钥，一个公钥，一个私钥，私钥可以设置口令
2. 登录前，用户会上传自己的公钥，到服务器的 .ssh/authorized_keys中，注意文件夹和文件的权限。
3. 客户端向服务器发出请求，请求用你的密匙进行安全验证；
4. 服务器收到请求之后，先在该服务器上寻找你的公钥，然后把它和你发送过来的公用密匙进行比较。如果两个密匙一致，服务器就用这个公钥加密一个随机字符串并把它发送给客户端；
5. 本地收到后，使用私钥进行解密，如果生成密钥时，加了密码，此时需要密码，然后将解密后的字符串发送给服务端；
6. 远程主机得到的解密字符串与最初发送的一致，就证明用户是可信的，直接允许登录shell，不再要求密码。

实际操作过程：

用户制作秘钥：

　$ ssh-keygen           使用默认设置


也可以自定义设置

$ ssh-keygen -b 1024 -t rsa -P '' -f ~/.ssh/id_rsa

-b：采用长度为1024字节的公钥/私钥对，最长4096字节，一般1024或2048,rsa方式最短不能小于768字节长度。
-t：指定生成密钥类型（rsa、dsa、ecdsa等）,默认为SSH-2 的rsa类型;
-P：指定passphrase，用于确保私钥的安全
-f：指定存放密钥的文件

运行上面的命令以后，系统会出现一系列提示，可以一路回车。

其中有一个问题是，要不要对私钥设置口令（passphrase），如果担心私钥的安全，这里可以设置一个。

如果使用的默认方式，运行结束以后，在$HOME/.ssh/目录下，会新生成两个文件：id_rsa.pub和id_rsa。前者是你的公钥，后者是你的私钥。

最关键的是要留意远程服务器上的文件和目录的权限问题

//~/.ssh 目录的必须是700权限
$ chmod 700 ~/.ssh 

// ~/.ssh/authorized_keys 必须是600权限，, 否则ssh服务器会拒绝用户登陆
$ chmod 600 ~/.ssh/authorized_keys

 

这时再输入下面的命令，将公钥传送到远程主机host上面：

方法一：（此种方式简单，不需追加改文件名，但不能指定端口号，默认以22端口）

$ ssh-copy-id user@host

方法二：

　$ ssh user@host 'mkdir -p .ssh && cat >> .ssh/authorized_keys' < ~/.ssh/id_rsa.pub

（远程主机将用户的公钥，保存在登录后的用户主目录的$HOME/.ssh/authorized_keys文件中。公钥就是一段字符串，只要把它追加在authorized_keys文件的末尾就行了。公钥登录的设置就完成了）

好了，从此你再登录，就不需要输入密码了。

如果还是不行，就打开远程主机的/etc/ssh/sshd_config这个文件，检查下面几行前面"#"注释是否取掉。

RSAAuthentication yes
　　PubkeyAuthentication yes
　　AuthorizedKeysFile .ssh/authorized_keys

当你完成全部设置，并以密钥方式登录成功后，再禁用密码登录：

PasswordAuthentication no

然后，重启远程主机的ssh服务。

 

service ssh restart

 

 

好了此后，你就可以不需要密码直接登录了

ssh  user@host

 

 

三，known_host、authorized_keys、config文件

 

1，known_host：

known_hosts, 首次登录远程主机时，用户确认后，保存远程主机发来的公钥

(公钥是固定的，不是随机改变的，因为是公钥，可公开)，之后用户登录就不再需要确认了。

2，authorized_keys：

authorized_keys, 远程主机$HOME/.ssh/authorized_keys中，保存登录用户的公钥。用于密钥登录（免密码登录）。公钥就是一段字符串，只要把它追加在authorized_keys文件的末尾就行了。

3，config：

ssh client有两个配置文件，/etc/ssh/ssh_config和~/.ssh/config，前者是对所有用户，后者是针对某个用户，不存在可以创建一个，两个文件的格式是一样的。

ssh默认使用~/.ssh/id_rsa这个密钥，想使用指定密钥的两种方法：

1，

ssh -i path/to/id_rsa username@server.com

 

2，可以在~/.ssh/config中配置IdentifyFile，同时也可以配置用户名、服务器地址

Host server1
        HostName server.com
        User username
        IdentifyFile path/to/id_rsa

 

使用 ssh server1。server1 就是个别名，可以任意取名，不取也可以

Host *github.com*
        User git
        IdentityFile ~/.ssh/id_rsa_github