SecureCRT密钥远程登录Linux

前言：Linux系统用密钥登录的好处

SSH公钥加密的方式使得对方即使截取了帐号密码，在没有公钥私钥的情况下，依然无法远程ssh登录系统，这样就大大加强了远程登录的安全性。

OS：Centos 6.4

SSH工具：SecureCRT 5.1.3

第一步：打开SecureCRT的连接，如图：

113125132.png

第二步：选择图中从左边开始数第三个图标，新建会话

113144952.png

第三步：默认SSH2的选项，现在我们都是用的SSH服务第二版了。然后在主机名的地方添加我们的ip，这里我们的ip为10.0.0.122，端口为ssh服务的端口这里我们选择默认的22，防火墙一般是没有的，用户名添加我们要登录linux的用户，一般系统的优化是默认不允许root远程登录的，但是这里为了方便演示我们就用root用户吧。

113146233.png

第四步：完成上述操作后还会弹出一个界面，这里描述想不想填随便，点击完成，这样我们就新创建了一个会话来通过CRT工具登录Linux系统

113148265.png

第五步：好了会话生成了我们先不要管，在工具的主界面选择“工具”，在下拉会话中选择“创建公钥”，回弹出下图，选择下一步

113150713.png

第六步：选择下一步会弹出下一个会话界面，我们选择RSA密钥的加密形式，现在SSH2已经支持RSA和DSA两种加密形式了。只不过RSA是字母加密的形式，DSA是证书加密的形式。好的这里我们选择RSA。点击下一步。

113152997.png

第七步：进入设置通行短语界面了，这就类似于我们的用户登录密码，这里我设置为csp!@123，下面的描述就是一个提示作用。输入完毕后我们点击下一步


第八步：就是选择密钥长度，这个密钥生产时间很短，而且是长度越长保密性越好，那么我们就设置最大的2048，反正也费不了多少时间。选择完成下一步：

113155595.png

第九步：这一步就是生成公钥了，值得注意的是，鼠标最好晃着点，不然静止不动生产会很慢的，动起来也就快起来了。好了生产完毕点击进入下一步


第十步：也就是选择我们的公钥的存放位置，这里呢我们选择一个醒目的位置，然后最好给它换个名字，方便我们识别嘛。好了选择好位置改好位置点击完成吧。

113159207.png

第十一步：这里会弹出一个对话框问我们是否选择全局变量。这里我们选择否，如果选择是呢，就是我们CRT所有的需要登录的机器都是密钥登录，而且密钥默认地址都是我们生产密钥的地方。显然对于我们测试的目的来说，还是选否吧，大不了等会再去设置一下嘛。

113201324.png

第十二步：利用ftp或者其他的上传工具将我们生产的公钥CRT_to_linux_for_ila.pub上传到系统上面去，转换SSH2兼容格式的公钥为openssh能识别的公钥格式，转换后的文件名为authorized_keys，这是ssh的公钥文件。然后再顺便将我们新生产的公钥文件放到/etc/.ssh目录下面。命令如下：

[root@csp6 ~]# ssh-keygen-i -f CRT_to_linux_for_ila.pub >>authorized_keys

[root@csp6 ~]# mv authorized_keys/root/.ssh/

[root@csp6 ~]# chmod 600/root/.ssh/authorized_keys 然后这步也挺关键的，将此文件变成600权限，这样就安全一点。而且要这样设置。顺便也要将.ssh的目录权限设置成700权限，不然我们的密钥登录估计要失败。

第十三步：然后我们要去配置文件区进行一下修改，直接将下面的语句插入就行。

[root@csp6 ~]# vi /etc/ssh/ssh_config

RSAAuthentication yes

PubkeyAuthentication yes 启用PublicKey认证

AuthorizedKeysFile .ssh/authorized_keys Pub文件路径lickey

PasswordAuthentication no禁止密码验证登陆

第十四步：然后重启linux系统的ssh服务

[root@csp6~]# service sshd restart

Stoppingsshd: [OK]

Startingsshd: [OK]

第十五步：右击我们新创建的会话10.0.0.122，选择属性界面，进入我们要配置的界面。（因为我们之前在创建公钥的时候没有选择全局变量设置，所以要来我们要来选择密钥登录的会话这里单独的设置一下。）

点击SSH2,在图右边的会话中点击一下“公钥”，这时候公钥右边的属性就会可以点击了，我们点击属性进入到里面。

113203535.png

第十六步：选择使用会话公钥设置，在使用身份或证书文件选择我们我们当初用CRT工具产生了一对密钥对中的不带.pub扩展名的文件。然后点击确定。

113206101.png

第十七步：重新用CRT登录，如果密钥配对成功，就会让我们输入提前设置的通行短语，就是类似于密码的东西。好了我们输入之前我们设置的同行短语csp!@123.点击确定。如果成功就登录了，如果不成功就报错了。

113208107.png

注意：

用CRT密码登录成功后，比方说我们同时打开了多个会话其他的都是密码登录的，我们这台122的机器是密钥登录的，我们将此会话退出了，但是没有退出CRT工具，那么当我们重新登录122系统的时候是什么都不需要输入就默认登录成功的。这就有安全隐患了啊，所以啊当我们不用的时候最好将CRT工具关闭，这样当我们再重新打开CRT重新登录122这台电脑的时候就又需要重新输入通行短语了。

我们用CRT公钥生成工具生成了两个文件，一个是带.pub扩展名的文件，一个是不带.pub扩展名的文件，这里带.pub扩展名的文件就是公钥，不带.pub扩展名的文件就是私钥。公钥和私钥的关系就是锁跟钥匙的关系。我们将锁发给了122这台机器，那么也就是将锁发给了122这台电脑。那么我们就可用我们手中不带.pub扩展名的私钥文件，也就是用我们手中的钥匙去打开122这台电脑的锁便可登录系统了。我们可以将不带.pub扩展名的文件拷贝到我们的U盘上面，这样我们也可以在其他的电脑上面通过密钥文件来访问服务器，并且如果你要是为了安全考虑，就只把密钥放到优盘上面，每次登录之前插上U盘，那么平时你这台电脑就访问不了服务器了。

如果我们既想公钥登录又可以账号密码登录的形式，但是优先级是密钥登录，那么就要首先在操作系统的配置文件里面不禁止账号密码登录，并且用CRT工具将密钥登录放到优先级。注意属性左边有个很明显的上下箭头，我们可以选中公钥，然后一直点击公钥右边的上箭头将它置顶，然后将口令放置于第二位。

113210603.png