openssh&防火墙

最新推荐文章于 2024-05-08 11:30:03 发布

明明的明

最新推荐文章于 2024-05-08 11:30:03 发布

阅读量287

点赞数

本文链接：https://blog.csdn.net/weixin_44435237/article/details/86019256

版权

openssh

1. 使用 SSH 访问远程命令行
2. 配置基于 SSH 密钥的身份验证
3. 自定义ssh服务配置
4. ssh安全注意事项
5. 防火墙设置

1. 使用 SSH 访问远程命令行

1.1 openssh简介

OpenSSH这一术语指系统中使用的Secure Shell软件的软件实施。用于在远程系统上安全运行shell。如果您在可提供ssh服务的远程Linux系统中拥有用户帐户，则ssh是通常用来远程登录到该系统的命令。ssh命令也可用于在远程系统中运行命令。
常见的远程登录工具有：

telnet

telnet      //远程登录协议，23/TCP
    认证明文
    数据传输明文

ssh         //Secure SHell，应用层协议，22/TCP
    通信过程及认证过程是加密的，主机认证
    用户认证过程加密
    数据传输过程加密

dropbear

dropbear    //嵌入式系统专用的SSH服务器端和客户端工具

1.2 ssh 版本

openssh有两个版本，分别为v1和v2，其特点如下：

v1：基于CRC-32做MAC，无法防范中间人（man-in-middle）攻击
v2：双方主机协议选择安全的MAC方式。基于DH算法做密钥交换，基于RSA或DSA算法实现身份认证

1.3 ssh 认证方式

openssh有两种认证方式，分别是：

基于口令认证
基于密钥认证

openssh的工作模式

openSSH是基于C/S架构工作的。

服务器端    //sshd，配置文件在/etc/ssh/sshd_config
客户端     //ssh，配置文件在/etc/ssh/ssh_config
    ssh-keygen      //密钥生成器
    ssh-copy-id     //将公钥传输至远程服务器
    scp             //跨主机安全复制工具

1.4 secure shell 示例

以当前用户身份创建远程交互式shell，用exit退出

[root@ming ~]# ssh 192.168.120.128
The authenticity of host '192.168.120.128 (192.168.120.128)' can't be established.
ECDSA key fingerprint is 08:c0:41:4f:ba:c5:c1:a1:66:c2:1b:ed:86:13:a9:55.
Are you sure you want to continue connecting (yes/no)? y
Please type 'yes' or 'no': yes
Warning: Permanently added '192.168.120.128' (ECDSA) to the list of known hosts.
root@192.168.120.128's password: 
Last login: Mon Jan  7 23:14:47 2019 from 192.168.120.1
[root@jun ~]#

以其他用户身份登录(在客户端上用服务器上的用户登录）

[root@ming ~]# ssh ming@192.168.120.128
ming@192.168.120.128's password: 
Last login: Mon Jan  7 23:19:44 2019
[ming@jun ~]$ 
[ming@jun ~]$ 
[ming@jun ~]$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eno16777728: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:0c:29:34:5c:0f brd ff:ff:ff:ff:ff:ff
    inet 192.168.120.128/24 brd 192.168.120.255 scope global eno16777728
       valid_lft forever preferred_lft forever
    inet6 fe80::20c:29ff:fe34:5c0f/64 scope link 
       valid_lft forever preferred_lft forever

以远程用户身份在远程主机上执行命令

[root@ming ~]# ssh 192.168.120.128 '/usr/bin/touch 78'
root@192.168.120.128's password: 
[root@jun ~]# ls
78  aa  anaconda-ks.cfg  cc  jun  kk  ll  lmj  xx  zz

w命令可以显示当前登录到计算机的用户列表。这对于显示哪些用户使用ssh从哪些远程位置进行了登录以及执行了何种操作等内容特别有用

[root@jun ~]# w
 23:36:29 up 22 min,  1 user,  load average: 0.03, 0.03, 0.05
USER     TTY        LOGIN@   IDLE   JCPU   PCPU WHAT
root     pts/0     23:14    5.00s  0.04s  0.01s w

1.5 ssh主机秘钥

ssh通过公钥加密的方式保持通信安全。当某一ssh客户端连接到ssh服务器时，在该客户端登录之前，服务器会向其发送公钥副本。这可用于为通信渠道设置安全加密，并可验证客户端的服务器。
当用户第一次使用ssh连接到特定服务器时，ssh命令可在用户的_{/.ssh/known_hosts文件中存储该服务器的公钥。在此之后每当用户进行连接时，客户端都会通过对比}/.ssh/known_hosts文件中的服务器条目和服务器发送的公钥，确保从服务器获得相同的公钥。如果公钥不匹配，客户端会假定网络通信已遭劫持或服务器已被入侵，并且中断连接。
这意味着，如果服务器的公钥发生更改（由于硬盘出现故障导致公钥丢失，或者出于某些正当理由替换公钥），用户则需要更新其~/.ssh/known_hosts文件并删除旧的条目才能够进行登录。

//主机ID存储在本地客户端系统上的 
[root@ming ~]# cat ~/.ssh/known_hosts
192.168.120.128 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBOQESO0NHsLyUAlOOshIL1U8tH+MvDGUwV/g4IowIh4fpgUOsmaFnIgcEHkkI7bgX3XsrVjMgH0yeVY+QQZjKkg=
192.168.120.119 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBCUPuuL+OaG8ze6AdRUpGVjKCXaqEwe3ZuQ925lIabByfbpE7drT+pQIgdq8+fpOK2IteOZ5rF6VHxqU5LzP1yM=

//主机密钥存储在SSH服务器上的 /etc/ssh/ssh_host_key* 中
[root@jun ~]# ls /etc/ssh/*key*
/etc/ssh/ssh_host_ecdsa_key      /etc/ssh/ssh_host_rsa_key
/etc/ssh/ssh_host_ecdsa_key.pub  /etc/ssh/ssh_host_rsa_key.pub

2. 配置基于 SSH 密钥的身份验证

用户可通过使用公钥身份验证进行ssh登录身份验证。ssh允许用户使用私钥-公钥方案进行身份验证。这意味着将生成私钥和公钥这两个密钥。私钥文件用作身份验证凭据，像密码一样，必须妥善保管。公钥复制到用户希望登录的系统，用于验证私钥。公钥并不需要保密。拥有公钥的ssh服务器可以发布仅持有您私钥的系统才可解答的问题。因此，可以根据所持有的密钥进行验证。如此一来，就不必在每次访问系统时键入密码，但安全性仍能得到保证。
使用ssh-keygen命令生成密码。将会生成私钥_{/.ssh/id_rsa和公钥}/.ssh/id_rsa.pub。
注意：
生成密钥时，系统将提供指定密码的选项，在访问私钥时必须提供该密码。如果私钥被偷，除颁发者之外的其他任何人很难使用该私钥，因为已使用密码对其进行保护。这样，在攻击者破解并使用私钥前，会有足够的时间生成新的密钥对并删除所有涉及旧密钥的内容。
生成ssh密钥后，密钥将默认存储在家目录下的.ssh/目录中。私钥和公钥的权限就分别为600和644。.ssh目录权限必须是700。
在可以使用基于密钥的身份验证前，需要将公钥复制到目标系统上。可以使用ssh-copy-id完成这一操作

1.在客户机上创建公钥-私钥对
[root@ming ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
bd:a9:8c:94:6d:a8:96:f2:51:91:46:2a:bb:e2:d6:2d root@ming
The key's randomart image is:
+--[ RSA 2048]----+
|      .          |
|     o .         |
|  . . +          |
|   o . . .       |
|  .   . S .      |
|   . . +   o     |
|. o o.+ o o      |
|.o.Eo= + .       |
|.. ++ . o        |
+-----------------+



2.把公钥复制到远程系统上的正确位置
[root@ming ~]# ls .ssh/
authorized_keys  id_rsa  id_rsa.pub  known_hosts
[root@ming ~]# ssh-
ssh-add      ssh-agent    ssh-copy-id  ssh-keygen   ssh-keyscan  
[root@ming ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.120.128
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@192.168.120.128's password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'root@192.168.120.128'"
and check to make sure that only the key(s) you wanted were added.


用ssh登录服务端
[root@ming ~]# ssh 192.168.120.128
Last login: Tue Jan  8 00:09:48 2019 from 192.168.120.119
[root@jun ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eno16777728: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:0c:29:34:5c:0f brd ff:ff:ff:ff:ff:ff
    inet 192.168.120.128/24 brd 192.168.120.255 scope global eno16777728
       valid_lft forever preferred_lft forever
    inet6 fe80::20c:29ff:fe34:5c0f/64 scope link 
       valid_lft forever preferred_lft forever

使用scp传送文件到远程主机
[root@ming ~]# touch ffffff
[root@ming ~]# scp ffffff root@192.168.120.128:/tmp
ffffff                                                         100%    0     0.0KB/s   00:00    
[root@ming ~]# 
在远程主机上查看传送过来的文件
[root@jun ~]# cd /tmp
[root@jun tmp]# ls
[root@jun tmp]# ls
ffffff
[root@jun tmp]# 

从远程主机上下载文件
[root@ming ~]# scp root@192.168.120.128:/tmp/zz /
zz                                                             100%    0     0.0KB/s   00:00    
[root@ming ~]# ls
anaconda-ks.cfg  ffffff
[root@ming ~]# ls /
bin   dev  home  lib64  mnt  proc  run   srv  tmp  var
boot  etc  lib   media  opt  root  sbin  sys  usr  zz
[root@ming ~]# 


//scp命令常用选项
    -r      //递归复制
    -p      //保持权限
    -P      //端口
    -q      //静默模式
    -a      //全部复制

3. 自定义ssh服务配置

虽然OpenSSH服务器通常无需修改，但会提供其他安全措施，可以在配置文件/etc/ssh/sshd_config中修改OpenSSH服务器的各个方面。

PermitRootLogin {yes|no}    //是否允许root用户远程登录系统
PermitRootLogin without-password    //仅允许root用户基于密钥方式远程登录
PasswordAuthentication {yes|no}     //是否启用密码身份验证，默认开启

4. ssh安全注意事项

密码应该经常换且足够复杂

[root@ming ~]# tr -dc A-Za-z0-9_ < /dev/urandom | head -c 30 |xargs 
GPoIWRZnpCDb1LBXu193GKlnA3cuHr   // 随机生成30位密码
[root@ming ~]#  openssl rand 20 -base64
GkPrHxnI0ZzxLCPWQLJ/c3RRk9o=  //随机生成20位密码

使用非默认端口
限制登录客户端地址
仅监听特定的IP地址
禁止管理员直接登录
仅允许有限制用户登录
- AllowUsers
- AllowGroups
使用基于密钥的认证
禁止使用空密码
禁止使用SSHv1版本
设定空闲会话超时时长
利用防火墙设置ssh访问策略
限制ssh的访问频度和并发在线数
做好日志的备份，经常分析（集中于某台服务器）

5. 防火墙设置

查看防火墙规则

[root@ming ~]# firewall-cmd --list-all
public (default, active)
  interfaces: eno16777736
  sources: 
  services: dhcpv6-client ssh
  ports: 
  masquerade: no
  forward-ports: 
  icmp-blocks: 
  rich rules:

删除所有主机都允许的规则（添加就是把remove改为add）

[root@ming ~]# firewall-cmd --remove-service=ssh --permanent 
success

3.永久添加指定主机允许的规则

[root@ming ~]# firewall-cmd --add-rich-rule 'rule family=ipv4 source address=192.168.120.111/32 service name=ssh accept' --permanent
success

4.重新加载

[root@ming ~]# firewall-cmd --reload
success  //必须重新加载，不然规则不生效
[root@ming ~]# firewall-cmd --list-all
public (default, active)
  interfaces: eno16777736
  sources: 
  services: dhcpv6-client ssh
  ports: 
  masquerade: no
  forward-ports: 
  icmp-blocks: 
  rich rules: 
	rule family="ipv4" source address="192.168.120.111/32" service name="ssh" accept  //副规则的位置

用允许的主机远程登录

[root@jun ~]# ssh 192.168.120.119
Last login: Mon Jan  7 12:32:30 2019 from 192.168.120.111
[root@ming ~]# 
[root@ming ~]# 
[root@ming ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eno16777736: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:0c:29:b3:d3:32 brd ff:ff:ff:ff:ff:ff
    inet 192.168.120.119/24 brd 192.168.120.255 scope global eno16777736
       valid_lft forever preferred_lft forever
    inet6 fe80::20c:29ff:feb3:d332/64 scope link 
       valid_lft forever preferred_lft forever

用不允许的主机远程登录

[root@jun ~]# ssh 192.168.120.119
ssh: connect to host 192.168.120.119 port 22: No route to host
[root@jun ~]# 
[root@jun ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eno16777728: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:0c:29:34:5c:0f brd ff:ff:ff:ff:ff:ff
    inet 192.168.120.128/24 brd 192.168.120.255 scope global eno16777728
       valid_lft forever preferred_lft forever
    inet6 fe80::20c:29ff:fe34:5c0f/64 scope link 
       valid_lft forever preferred_lft forever
[root@jun ~]#

对比5，6条发现防火墙规则已生效
查看有哪些服务能够被防火墙控制

[root@jun ~]# firewall-cmd --get-services
amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https
[root@jun ~]#

明明的明

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
openssh&防火墙

openssh1. 使用 SSH 访问远程命令行1.1 openssh简介1.2 ssh 版本1.3 ssh 认证方式openssh的工作模式1.4 secure shell 示例1.5 ssh主机秘钥2. 配置基于 SSH 密钥的身份验证3. 自定义ssh服务配置4. ssh安全注意事项5. 防火墙设置1. 使用 SSH 访问远程命令行1.1 openssh简介OpenSSH这一术语指系...
复制链接

扫一扫