1./etc/sshd_config文件的详细解释
# $OpenBSD: sshd_config,v 1.73 2005/12/06 22:38:28 reyk Exp $
# This is the sshd server system-wide configuration file. See
# sshd_config(5) for more information.
# This sshd was compiled with PATH=/usr/local/bin:/bin:/usr/bin
# The strategy used for options in the default sshd_config shipped with
# OpenSSH is to specify options with their default value where
# possible, but leave them commented. Uncommented options change a
# default value.
#Port 22 ##### 使用的端口,可以进行修改
#Protocol 2,1 ##### 使用的协议有1,2两个版本
Protocol 2 ##### 2比1要好
#AddressFamily any
#ListenAddress 0.0.0.0 ##### 设定监听的网卡,比如有2块网卡,设定相应网卡的IP即可
#ListenAddress ::
# HostKey for protocol version 1
#HostKey /etc/ssh/ssh_host_key #####V版本1私钥位置
# HostKeys for protocol version 2 #####版本2加密文件位置
#HostKey /etc/ssh/ssh_host_rsa_key #####版本2RSA私钥位置
#HostKey /etc/ssh/ssh_host_dsa_key #####版本3DSA私钥位置
# Lifetime and size of ephemeral version 1 server key
#KeyRegenerationInterval 1h #####版本1公钥的重建时间
#ServerKeyBits 768 #####Server key的长度 取默认值即可
# Logging
# obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH
SyslogFacility AUTHPRIV ##### 日志文件 默认在/var/log/secure
#LogLevel INFO ##### 登录 记录的等级
# Authentication:
#LoginGraceTime 2m
#PermitRootLogin yes ##### 是否允许root登录
#StrictModes yes ##### 当用户的host key修改后,服务端不接受连接(可以方式***)
#MaxAuthTries 6 #####最大的验证次数
#RSAAuthentication yes ##### 版本1是否使用纯正的RSA 验证?
#PubkeyAuthentication yes #####针对版本2,是否使用Public Key?
#AuthorizedKeysFile .ssh/authorized_keys #使用不需要密码登陆时,的一个文件。此文件名必须要记好。
# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
#RhostsRSAAuthentication no #####本机系统不使用.rhosts,.rhosts非常不安全,所有要设定为no。
# similar for protocol version 2
#HostbasedAuthentication no #####版本1使用.rhosts RAS进行加密
# Change to yes if you don't trust ~/.ssh/known_hosts for
# RhostsRSAAuthentication and HostbasedAuthentication
#IgnoreUserKnownHosts no #####时候忽略记录用户登录的信息
# Don't read the user's ~/.rhosts and ~/.shosts files
#IgnoreRhosts yes #####是否取消.rhosts认证,当然要yes
# To disable tunneled clear text passwords, change to no here!
#PasswordAuthentication yes #####密码是否要验证?
#PermitEmptyPasswords no ##### 是否允许空密码?
PasswordAuthentication yes
# Change to no to disable s/key passwords
#ChallengeResponseAuthentication yes
ChallengeResponseAuthentication no #####是否允许任何模式验证密码?我们会使用pam来帮我们验证,所以设置为 no。
# Kerberos options #####我们没有 Kerberos主机,所以不设置
#KerberosAuthentication no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosGetAFSToken no
# GSSAPI options
#GSSAPIAuthentication no
GSSAPIAuthentication yes
#GSSAPICleanupCredentials yes
GSSAPICleanupCredentials yes
# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication mechanism.
# Depending on your PAM configuration, this may bypass the setting of
# PasswordAuthentication, PermitEmptyPasswords, and
# "PermitRootLogin without-password". If you just want the PAM account and
# session checks to run without PAM authentication, then enable this but set
# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication mechanism.
# Depending on your PAM configuration, this may bypass the setting of
# PasswordAuthentication, PermitEmptyPasswords, and
# "PermitRootLogin without-password". If you just want the PAM account and
# session checks to run without PAM authentication, then enable this but set
# ChallengeResponseAuthentication=no
#UsePAM no
UsePAM yes
# Accept locale-related environment variables
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL
#AllowTcpForwarding yes
#GatewayPorts no
#X11Forwarding no
X11Forwarding yes
#X11DisplayOffset 10
#X11UseLocalhost yes
#PrintMotd yes #####是否显示上一次登录的时间,地点等。默认是yes。为了安全起见。要设置为no。查看的内容是/etc/motd
#PrintLastLog yes #####显示上一次登录信息
#TCPKeepAlive yes #####确保通信的双方都是保持连接的,任何一方失去连接将自动断开。
#UseLogin no
#UsePrivilegeSeparation yes #####用户的权限设置项目
#PermitUserEnvironment no
#Compression delayed
#ClientAliveInterval 0
#ClientAliveCountMax 3
#ShowPatchLevel no
#UseDNS yes
#PidFile /var/run/sshd.pid
#MaxStartups 10 #####允许的最大几个尚未登录界面
#PermitTunnel no
#DenyUsers dd #####设置不允许登录的账号
#DenyGroups XXX #####设置不允许登录的组
# no default banner path
#Banner /some/path
# override default of no subsystems
Subsystem sftp /usr/libexec/openssh/sftp-server #####sftp的位置
2.设置不需要登录密码的ssh
利用ssh-keygen -t rsa,产生公钥和私钥。产生的默认目录在家目录的.ssh目录下面。如果有A,B两个主机。B为服务端,在A上运行上述命令后,后在当前用户的.ssh目录下生成两个文件:id_rsa id_rsa.pub 。将id_rsa.pub 拷贝到B机中,如果你想使用某个账号不需要密码进行登录的话,可以将id_rsa.pub内容添加到 ~/.ssh/authorized_keys 中。就可以实现无密码登录了。
3.问题
无密码登录,在我试验的当中只能实现利用root无密码登录,但是不能实现某个普通账号登陆。如果有高人,请赐教。我的实验环境是RED HAT 5.2 内核2.6.18-92.el5
4.探讨
1.如果我将.ssh/authorized_keys 这个参数更改为 任意的文件名结果会如何? .ssh/authorized_keys 。经过验证时完全可以实现的。
2.PermitEmptyPasswords no 选项更改为yes。按理说登录密码为空,就没有安全性了。但是我试验过后。甚至本机上的ssh登录软件都不可以登录。使用原先的ssh会直接提示Permission denied (publickey,password).
3.ssh 登录很慢的解决办法.修改 GSSAPIAuthentication 值为no
5.安全设置
主要是从sshd_config /etc/hosts.deny /etc/hosts.allow 和iptables三个方面去考虑。
一 修改/etc/ssh/sshd_config
1.sshd_config 设置不允许root用户登录。修改PermitRootLogin 值改为no .
2.不希望其他的群组远程进来,例如 ftp,pop3,sendmail。可以再其中添加一段
DenyGroups nossh;
3.不允许某个账号登陆。DenyUsers XX;
二 修改hosts.
1.allow 文件添加:sshd:IP1,IP2……:allow
2.deny 文件添加:sshd:ALL
三添加iptables规则:
iptables -A INPUT -p tcp -i $INIF -s 192.168.5.0/24 --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -i $OUTIF -s 221.23.24.1 --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -i $OUTIF --dport 22 -j DROP
转载于:https://blog.51cto.com/jiayf/346886