我的服务器我做主！搞定远程访问控制，轻松掌控全场

最新推荐文章于 2023-09-23 18:00:45 发布
最新推荐文章于 2023-09-23 18:00:45 发布
阅读量919 收藏 2
点赞数 2
分类专栏： Linux系统 文章标签： linux 安全 运维 ssh centos
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45551608/article/details/116267379
版权

这里写目录标题

一、SSH远程管理

  • SSH是一种安全通道协议，主要用来实现字符界面的远程登录、远程复制等功能；
  • 对通信双方的数据传输进行加密处理，其中包括用户登录时输入的用户口令；
  • 与早期的Telnet（远程登录）、rsh（远程执行命令）、rcp（远程文件控制）等相比，SSH协议提供了更好的安全性。
    在这里插入图片描述

1.1 配置OpenSSH服务端

1.SSH服务端的配置文件：/etc/ssh/sshd_config
2.服务监听选项：端口（默认Tcp的22号端口）、地址、协议版本和DNS反向解析等

vim /etc/ssh/sshd_config 			#服务端配置文件
#Port 22							#监端口为22
#AddressFamily any					#监听地址为任意网卡，也可以指定Openssh服务器的具体ip
#LoginGraceTime 2m					#登录验证时间为2分钟
#PermitRootLogin yes				#禁止root用户登录
#MaxAuthTries 6						#最大重试次数为 6
#PermitEmptyPasswords no			#禁止空密码用户登录
#UseDNS no							#禁用DNS反向解析，以提高服务器的响应速度
----------------------------------------------------------------------------------
配置允许和禁止用户登录：加@表示限制ip，注意允许和禁止不要同时使用！！
AllowUsers zhangsan					#允许zhangsan登录
AllowUsers zhangsan@192.168.80.80	#只允许zhangsan通过192.168.80.80登录
DenyUsers lisi						#禁止lisi登录

实例：只允许zhangsang、lisi、wangwu用户登录，且其中lisi用户仅能够从IP地址为192.168.80.80的主机远程登录。

vim /etc/ssh/sshd_config 								#修改服务端配置文件
-------------------------------------------------------	
AllowUsers zhangsan lisi@192.168.80.80  wangwu			#这里为添加的配置
-------------------------------------------------------
systemctl reload sshd									#修改完记得重新加载

3.sshd服务支持登录验证方式有：密码验证和密钥对验证，可以设置只使用其中一种，也可以都启用。

  • 密码验证：
    以服务器中本地系统用户的登录名称、密码进行验证。这种方式使用最为简便，但从客户机角度来看，正在连接的服务器有可能被假冒，从服务器角度来看，当遭遇密码暴力破解攻击时防御能力比较弱。

  • 密钥对验证：
    要求提供相匹配的密钥信息才能通过验证，通常先在客户机中创建一对密钥文件（公钥和私钥），然后将公钥文件放到服务器中的指定位置。远程登录时，系统将使用公钥、私钥进行加密/解密关联验证，增强了远程管理的安全性。

    • 公钥和私钥是成对生成的，这两个密钥互不相同，可以互相加密和解密；
    • 不能根据一个密码来推算出另一个密钥；
    • 公钥对外公开，私钥只有私钥的持有人才知道。
      在这里插入图片描述

  • 公钥和私钥要配对使用，如果用公钥对数据进行加密，只有用相对应的私钥才能解密；如果用私钥对数据进行加密，那么只有对应的公钥才能解密。

  • 当密码验证、密钥对验证都启用时，服务器将优先使用密钥对验证。对于安全性要求较高的服务器，建议将密码验证方式禁用，只允许启用密码对验证方式；若没有特殊要求，则两种方式都可以。

1.2 使用SSH客户端程序

SSH客户端的配置文件：/etc/ssh/ssh_config

1.2.1 ssh远程登录

通过ssh命令可以远程登录sshd服务，为用户提供一个安全的Shell环境，以便于对服务器进行管理和维护。

1.格式：

ssh [选项] zhangsan@192.168.80.77	#指定登录用户、目标主机地址作为参数
ssh -p 20 zhangsan@192.168.80.77	#-p为指定端口

2.当用户第一次登录SSH服务器时，必须接受服务器发来的RSA密钥（需要根据提示输入：yes）后才能继续验证，接受的密钥信息将保存到~/.ssh/known_hosts文件中，密码验证成功以后，就登录到目标服务器的命令行环境中了。如下：

The authenticity of host '192.168.80.77 (192.168.80.77)' can't be established.
ECDSA key fingerprint is SHA256:sRKz60ZIwaIjOXejXaNdZp69M/aygMdkunCMR7a3u+4.
ECDSA key fingerprint is MD5:be:42:dd:a7:be:d9:96:f3:9d:8a:0c:20:b6:65:c9:2e.
Are you sure you want to continue connecting (yes/no)? yes		#接受密钥
root@192.168.80.77's password: 									#输入密码

实例：使用ssh远程登录的简单案例
在这里插入图片描述

3.如果sshd服务器使用了非默认的端口号（如：1234），则在登录时必须通过 -p 选项指定端口号。

ssh -p 1234 root@192.168.80.77 			#指定端口
root@192.168.80.77's password:			#输入密码

1.2.2 scp远程复制

通过scp命令可以利用SSH安全连接与远程主机相互复制文件，使用scp命令时，除了必须指定赋值源、目标之外，还应该指定目标主机地址、登录用户，执行后提示验证口令即可。

1.格式：

下行复制：
scp root@192.168.80.77:/etc/passwd /root/passwd123.txt 
#从目标主机192.168.80.77下载passwd文件到本机并改名为passwd123.txt

上行复制：
scp -r /etc/ssh/ root@192.168.80.77:/opt
#从本机上行复制/etc/ssh/目录到192.168.80.77的/opt目录下

实例：上下复制和下行复制的简单案例
在这里插入图片描述

1.2.3 sftp安全FTP

  • 通过sftp命令可以利用SSH安全连接与远程主机上传、下载文件，采用了与FTP类似的登录过程和交互环境，便于目录资源管理。
  • 由于使用了加密/解密技术，所以传输效率比普通的FTP要低，但安全性更高，操作语法和ftp几乎一样。

1.格式：

[root@localhost ~]# sftp root@192.168.80.77
root@192.168.80.77's password: 
sftp> ls          
sftp> get abc.txt 

/root/abc.txt       					100%    6     2.5KB/s   00:00    
sftp> put /var/lo
local/  lock/   log/    
sftp> put /var/log/mess
messages           messages-20210411  messages-20210420  messages-20210425  
sftp> put /var/log/messages
Uploading /var/log/messages to /root/messages
/var/log/messages                    	100%  246KB   5.6MB/s   00:00    
sftp> put /var/log/messages /tmp/message.bak
Uploading /var/log/messages to /tmp/message.bak
/var/log/messages        				100%  246KB  35.1MB/s   00:00    
sftp> quit 
[root@localhost ~]#

在这里插入图片描述

1.3 密钥对验证的SSH体系

1.3.1 配置密钥对验证的大概步骤

1.在客户端创建密钥对：
通过ssh - keygen工具为当前用户创建密钥对文件。可用的加密算法为RSA、ECDSA或DSA等（ssh - keygen命令的“-t”选项用于指定算法类型）

首先创建账户：admin
useradd admin									#创建新用户
echo "123456" | passwd --stdin admin			#设置密码
su admin										#切换到admin用户

ssh-keygen -t ecdsa								#使用ssh-keygen进行加密
Generating public/private ecdsa key pair.		
Enter file in which to save the key (/home/admin/.ssh/id_ecdsa):		#指定私钥位置，回车选择默认 
Created directory '/home/admin/.ssh'.					#告诉我们生成的密钥对存放在目录中的隐藏目录.ssh、下
Enter passphrase (empty for no passphrase): 			#设置私钥的密码
Enter same passphrase again: 							#再次确认

ls -l ~/.ssh/id_ecdsa*							#可以查看到生成的密钥对文件
/home/admin/.ssh/id_ecdsa						#这是私钥文件，权限默认为600
/home/admin/.ssh/id_ecdsa.pub					#这是公钥文件，用来提供给SSH服务器

2.将公钥文件上传至服务器

scp ~/.ssh/id_ecdsa.pub root@192.168.80.80:/opt			#将自己的公钥文件上传到服务器的opt目录下	
或	
cd ~/.ssh					#切换到密钥对所在目录，此方法在服务端创建好zhangsan用户，使用此方法直接跳过第三步
ssh-copy-id -i id_ecdsa.pub zhangsan@192.168.80.10		#这个方法可以直接在服务的/home/zhangsan/,ssh/目录中导入公钥文本

3.在服务器中导入公钥文本

useradd zhangsan										#添加新用户zhangsan
echo "123456" | passwd -- stdin zhangsan				#设置密码
mkdir /home/zhangsan/.ssh/								#创建zhangsan的.ssh目录
cat /opt/id_ecdsa.pub >> /home/zhangsan/.ssh/authorized_keys	#将从客户端接受的公钥导入到zhangsan的公钥库中
cat /home/zhangsan/.ssh/authorized_keys 				#使用cat命令进行查看确定

4.在客户端验证并设置ssh代理功能，实现面交互登录

ssh zhangsan@192.168.80.80								#使用密钥进行远程连接验证
Enter passphrase for key '/home/admin/.ssh/id_ecdsa': 	#输入私钥的密码进行验证
exit													#退出服务器端
ssh-agent bash											#咋客户机设置ssh代理功能，实现面交互登录		
ssh-add
Enter passphrase for /home/admin/.ssh/id_ecdsa: 		#输入私钥进行确定
ssh zhangsan@192.168.80.80								#再次远程连接服务器的时候无需输入密码

1.3.1 配置密钥对验证实验的详细步骤

1.在客户端创建密钥对：

在这里插入图片描述
在这里插入图片描述

2.将公钥文件上传至服务器

在这里插入图片描述

3.在服务器中导入公钥文本

在这里插入图片描述

4.在客户端验证并设置ssh代理功能，实现面交互登录

在这里插入图片描述

二、TCP Wrapper访问控制

2.1 TCP Wrapper

2.1.1 TCP Wrapper概述

  • TCP Wrappers ( TCP封套)
  • 将TCP服务程序“包裹”起来，代为监听TCP服务程序的端口，增加了一个安全检测过程，外来的连接请求必须先通过这层安全检测，获得许可后才能访问真正的服务程序。
  • 大多数Linux 发行版，TCP Wrappers 是默认提供的功能。rpm -q tcp_ wrappers查看是否安装程序。

2.1.1 TCP Wrapper保护机制

TCP Wrappers保护机制的两种实现方式：

  1. 直接使用tcpd程序对其他服务程序进行保护，需要运行tcpd程序。
  2. 由其他网络服务程序调用libwrap.so. 链接库，不需要运行tcpd程序。此方式的应用更加广泛，也更有效率。
    在这里插入图片描述
  • 使用ldd命令可以查看程序的libwrap.so. 链接库
  • ldd $ (which ssh)
    在这里插入图片描述

2.2 TCP Wrapper访问策略

  • TCPWrappers机制的保护对象为各种网络服务程序，针对访问服务的客户端地址进行访问控制。
  • 对应的两个策略文件为/etc/ hosts.allow和/etc/hosts .deny，分别用来设置允许和拒绝的策略。

2.2.1 TCP Wrapper配置格式

<服务程序列表> ： <客户端地址列表>

  1. 服务程序列表：
  • ALL:代表所有的服务。
  • 单个服务程序:如“vsftpd"。
  • 多个服务程序组成的列表:如“vsftpd, sshd”。
  1. 客户端地址列表：
  • ALL:代表任何客户端地址。
  • LOCAL:代表本机地址。
  • 多个地址以逗号分隔
  • 允许使用通配符“*” 和"?” ，前者代表任意长度字符，后者仅代表一个字符
  • 网段地址，如"192. 168.80.”或者192. 168.80.0/255.255.255.0
  • 区域地址，如". benet . com"匹配benet.com 域中的所有主机。

2.2.2 TCP Wrapper访问机制

在这里插入图片描述

  1. 首先检查/etc/hosts.allow文件，如果找到相匹配的策略，则允许访问;
    否则继续检查/etc/hosts.deny文件， 如果找到相匹配的策略，则拒绝访问;
    如果检查上述两个文件都找不到相匹配的策略，则允许访问。

  2. “允许所有，拒绝个别”
    只需在/etc/hosts.deny文件中添加相应的拒绝策略

  3. “允许个别，拒绝所有”
    除了在/etc/hosts.allow中添加允许策略之外，还需要在/etc/ hosts. deny文件中设置"ALL : ALL"的拒绝策略。

2.3 TCP Wrapper 的配置

实例：若只希望从IP地址为192.168.80.80的主机访问sshd服务，其他地址被拒绝。

实验详细步骤

1.主机1（192.168.80.77）的/etc/ hosts.allow配置文件内增加192.168.80.80主机2的ip
在这里插入图片描述
2.主机1（192.168.80.77）的/etc/ hosts.deny配置文件内增加拒绝所有的配置
在这里插入图片描述

3.主机二（192.168.80.80）可以正常远程登录到主机1上
在这里插入图片描述
4.主机二（192.168.80.78）被拒绝登录到主机1上。
在这里插入图片描述

码海小虾米_
关注
  • 2
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 9
    评论
专栏目录
Android开发技巧：我的菜单我做主
03-02
AndroidSDK本身提供了一种默认创建菜单的机制。但通过这种机制创建的菜单虽然从功能上很完备，但在界面效果上实在是有点“土”。对于一个拥有绚丽界面的程序配上一个有点“土”的菜单，会使用户感觉很怪，甚至会使...
我的APP我做主AppInventor手机编程体验说课课件.pptx
11-11
我的APP我做主AppInventor手机编程体验说课课件.pptx
【linux】linux设置ssh密钥登录详细教程，附Mobaxterm和pycharm ssh python解释器配置教程
热门推荐
weixin_43693967的博客
05-21 1万+
我们通常使用SSH 客户端来远程使用 Linux 服务器。但是，一般的密码方式登录，容易有密码被暴力破解的问题。所以，一般我们会将 SSH 的端口设置为默认的 22 以外的端口，或者禁用 root 账户登录。但是即使是将端口设置为22之外的端口也容易泄露。为了保证服务器安全，此时希望使用密钥方式登录。而且使用秘钥登录能够避免每次登录时反复输入账户密码。
linux实现远程免密登陆服务器(基于公私钥认证远程登录)
weixin_41327271的博客
10-08 856
可以直接通过ssh连接进行远程连接登录。下面的ip地址(139.9.181.xxx)换成你们自己的(也就是想远程连接的服务器地址)。所在的地址，因为我使用的是root账号，所以该秘钥是生成在root目录下(该文件是隐藏文件，通过ll -a可以看到)，我们现在有A、B 两台linux服务器，然后我们登陆A服务器，在A服务器里远程连接B服务器。这里是配置端口，看过几篇博文说默认22 端口，也可以不配进行配置。但是每次都很麻烦，需要进行密码验证。
ssh配置公私钥远程登录Linux主机
lynnyq
01-19 1万+
ssh配置公私钥远程登录Linux主机 1、什么是SSH？ 简单说，SSH是一种网络协议，用于计算机之间的加密登录。 如果一个用户从本地计算机，使用SSH协议登录另一台远程计算机，我们就可以认为，这种登录是安全的，即使被中途截获，密码也不会泄露。 2、中间人攻击 SSH之所以能够保证安全，原因在于它采用了公钥加密。 整个过程是这样的：（1）远程主机收到用户的登录请求，把自己的公钥发给用
通过vscode使用指定的私钥进行远程服务器登陆
weixin_42988382的博客
02-17 1045
之前路径怎么输都不对，但采用以下路径格式即可： Host 你的服务器ip HostName 还是你的服务器ip User 你的用户名 IdentityFile ~/.ssh/私钥名 Port 端口 之前我的IndentityFile一直显示有问题连不上，但是路径改成~/.ssh/私钥名就可以了。在终端可以采用以下方式进行登陆： ssh -i 私钥名 -p 端口号 你的用户名@你的服务器ip ...
Xshell通过私钥登录远程Linux服务器
qq_48081868的博客
12-25 4793
Xshell通过私钥登录远程Linux服务器 Xshell是一款强大的安全终端模拟软件，它支持SSH1,SSH2,以及Microsoft Windows 平台的TELNET协议。用户可以通过该软件在Windows界面下来访问远端不同系统下的服务器，从而比较好的达到远程控制终端的目的。 本文介绍如何通过Xshell和ssh私钥，实现远程服务器的登录和使用 文章目录Xshell通过私钥登录远程Linux服务器前言一、XShell的获取二、使用私钥进行登录总结 前言 SSH是 Secure Shell的缩写，
幼儿园大班心理健康活动课件 我的情绪我做主.ppt
03-04
幼儿园大班心理健康活动课件 我的情绪我做主
超级ASP大分页_我的类容我做主
10-31
超级ASP大分页_我的类容我做主
远程密钥登陆
记忆的博客
04-29 409
远程访问及控制一、SSH远程管理1.配置OpenSSH服务端1.配置openSSH服务端2.使用SSH客户端程序1.ssh远程登录2.scp远程复制3.sftp安全FTP二、密钥对验证的SSH体系1.在客户端创建密钥对2.将公钥文件.上传至服务器3.在服务器中导入公钥文本4.在客户端使用密钥对验证5.在客户机设置ssh代理功能，实现免交互登录三、TCP Wrappers访问控制1.TCP Wrappers概述2.TCP Wrappers访问策略3.TCP wrappers 机制的基本原则总结 一、SSH远
通过SSH设置密钥远程访问
weixin_51963007的博客
01-11 2708
如何设置SSH 密钥，远程访问
Linux实现ssh远程秘钥登录/两台linux相互登录
最新发布
weixin_52484188的博客
09-23 759
Linux 远程登录 SSH
关于xshell远程连接阿里云服务器需要密钥（随手记）
A_cup的博客
07-14 442
4：最后，我的是让我必须输入密钥，我导入了.pem文件，再输入自己设置的密码就成功了。我不知道什么愿意按好像只能用密钥远程连接服务器了（反正我不能直接用密码登录了）之后你还要更新实例密码，就是你再改个密码，然后重启一下就行了。2：创建好后会自己下载一个.pem文件到本地，你可以到本地下载里面看见。就这样，要是有没有连接成功的，可以下面说一下，我看见会及时回复的。3：然后正常连接xshell，连接教程网上都有。1：在云服务器创建密钥。
密钥登录远程服务器
weixin_43073852的博客
08-02 7149
前面内容中有用到SSH通过账号密码登录树莓派（远程服务器），其实，有一个更好的办法来保证安全，而且让你可以放心地用 root 账户从远程登录——那就是通过密钥方式登录。 密钥形式登录的原理是：利用密钥生成器制作一对密钥——一只公钥和一只私钥。将公钥添加到服务器的某个账户上，然后在客户端利用私钥即可完成认证并登录。这样一来，没有私钥，任何人都无法通过 SSH 暴力破解你的密码来远程登录到系统。此外，...
SSH 私钥实现登录远程目标服务器
RAB
07-18 3841
ssh 私钥登录。
远程登陆密钥登录
子不语
10-23 910
转载至http://blog.chinaunix.net/uid-9881170-id-348605.html
使用密钥免密登录远程服务器
努力不被AI代替的小杨
03-27 156
使用密钥免密登录远程机器
OpenSSH两种登陆模式
yangsibao89的博客
11-03 291
一、密钥登录： 1、服务端生成公私钥，客户端存放服务端的公钥 2、客户端用公钥加密登录口令后发送给服务端存储 3、客户端登录时，输入口令，用服务端公钥加密之后发送给服务端验证 二、公钥登录： 1、客户端生成RSA公私钥 2、客户端发送公钥给服务端 3、登录时，客户端请求向服务端的连接，服务端返回一个随机数 4、客户端用自己的私钥加密这个随机数之后再返回给服务端 5、服务端用客户的公钥解密验证 ...
ssh密钥远程连接服务器讲解，让你轻松配置ssh
m0_52537576的博客
09-07 3014
最后在服务器上将公钥里面的内容追加到 authorized_keys文件中，authorized_keys文件位于.ssh目录下面，如果没有的话则创建一个,生成指定名字的密钥，因为你可能会有很多ssh密钥对，这样容易区分辨别，之后将公钥的文件复制到服务器上对应的目录上,root用户是。你要配置不同是主机的ssh，在config文件里面新增即可。，这时候会在当前工作目录生成密钥对，之后将其移到。命令可以生成密钥，密钥默认保存在。，这一步一定要有，不然公钥不生效。文件，没有则创建一个。
JAVA自己创建文件“我的青春谁做主txt”内容为“梦想洋溢着快乐，青春包裹着梦想。我的青春，我的花季，雨季，都是属于我自己的，只有我才可以去操控它，只有我才有资格去改变它我的青春只有我才可以做主!"，要求将此文件的内容使用字节流复制到 D:\myFile\myPrime.txt 中。
06-13
String sourceFileName = "我的青春谁做主.txt"; String targetFileName = "D:\\myFile\\myPrime.txt"; try { File sourceFile = new File(sourceFileName); File targetFile = new File(targetFileName); /...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 9
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

码海小虾米_

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值