ssh的基本用法
ssh hostname/IP # 如果没有指定用什么用户进行连接,默认使用当前用户登录
ssh –l username hostname/IP
ssh username@hostname
ssh username@IP
在第一次连接到服务器时,会自动记录服务器的公钥指纹信息
如果出现密钥变更导致错误可以直接删除known_hosts文件
Linux和MacOS系统的known_hosts文件所在位置
~/.ssh/known_hosts
Windows系统的known_hosts文件所在位置
%username%\.ssh\known_hosts
打开远程图形化界面
ssh建立的连接默认只允许字符传输,不允许Xclient进行传输
如果使用普通的ssh连接,我们无法使用远程主机的图形化工具,如gedit、Firefox等
ssh -X root@192.168.110.1 # 添加-X选项,使用Xclient建立ssh连接
ssh无密登录
配置密钥登陆,远程登录时不需要密码即可直接登录
- 实现Client的root以sshuser用户登录Server
标识 | Server | Client |
---|---|---|
IP地址 | 192.168.110.1/24 | 192.168.110.2/24 |
用户 | root+sshuser | root |
操作 | 无 | 生成密钥对,将公钥传输到Server的用户家目录下 |
在Server新建用户sshuser,用于后续无密登录
useradd sshuser
echo user@123 | passwd --stdin sshuser
在Client生成密钥对
ssh-keygen -f ~/.ssh/id_rsa -N ""
# ssh-keygen 生成SSH密钥文件
# -f ~/.ssh/id_rsa 指定生成私钥的路径及名称,默认保存位置这里(此选项可忽略)
# -N “” :不对生成的私钥加密
查看密钥对
ll .ssh/
将Client的公钥传输到Server的sshuser家目录下
ssh-copy-id sshuser@192.168.110.1
在Server上查看传输的公钥
su – sshuser
ll .ssh/
验证无密登录
ssh sshuser@192.168.110.1
SSH安全设置
ssh存在两种认证方式:密钥认证和密码认证
禁用密钥登录
在上面操作中,我们允许Client的root用户通过Server的sshuser无密登录,这里我们在Server上禁用密钥登录
vim /etc/ssh/sshd_config
# 修改下列内容
PubkeyAuthentication no
重启sshd服务
systemctl restart sshd
验证
ssh sshuser@192.168.110.1
禁用密码登录
我们先不开启密钥登录,修改配置文件禁止密码登录
vim /etc/ssh/sshd.config
# 修改以下内容
PasswordAuthentication no
重启sshd服务
systemctl restart sshd
验证
ssh sshuser@192.168.110.1 # 测试密钥登录,被拒绝
ssh root@192.168.110.1 # 测试密码登录,被拒绝
开启密钥登录
vim /etc/ssh/sshd.config
# 注释选项
#PubkeyAuthentication no
再次测试
ssh sshuser@192.168.110.1 # 测试密钥登录,成功
ssh root@192.168.110.1 # 测试密码登录,被拒绝
SSH限制用户
禁用root账户登录
首先开启ssh密码登录
vim /etc/ssh/sshd.config
# 注释选项
#PasswordAuthentication no # 注释
重启sshd服务
systemctl restart sshd
首先我们是可以通过root账户连接Server
ssh root@192.168.110.1
修改配置文件,禁止root连接
vim /etc/ssh/sshd.config
# 修改以下内容
PermitRootLogin no
# 默认情况下为:PermitRootLogin prohibit-passwd [私钥认证]
禁止普通用户登录
在Server上新建用户user1
useradd user1
echo user@123 | passwd--stdin user1
测试ssh登录Server
ssh user1@192.168.110.1
修改配置文件,禁止user1用户登录
vim /etc/ssh/sshd.config
# 添加下列内容
DenyUsers user1
# AllowUsers xx 只允许xx用户登录
# AllowUsers xx yy 只允许xx和yy用户登录
# DenyGroups xx 禁止xx用户组登录
# 如果同时出现Allow和Deny,只生效Deny
验证
ssh user1@192.168.110.1