对sshd服务更灵活的管理——密钥认证

为什么要使用密钥认证

我们已经知道，sshd服务可以通过密码来登录，分别输入用户名和密码，两者密码相匹配时就可以登录。但是密码认证有以下的缺点：

1. 用户无法设置空密码,即使系统允许空密码，也会十分危险。
2. 保管不当时，密码或许会被泄露。
3. 服务器上的密码也许会给很多人使用，当修改密码时，要逐一通知，费事费力。

但是， 密钥认证却可以避免上述所有的问题。
公钥认证允许使用空密码，省去每次登录都需要输入密码的麻烦。
多个使用者可以通过各自的密钥登录到系统上的同一个用户。

密钥认证的原理

所谓的密钥认证，实际上是使用一对加密字符串，一个称为公钥(public key)，任何人都可以看到其内容，用于加密；

另一个称为密钥(private key)，只有拥有者才能看到，用于解密。通过公钥加密过的密文使用密钥可以轻松解密，但根据公钥来猜测密钥却十分困难。

密钥认证的步骤

1.在服务端生成锁和钥匙

（做实验之前，应该对server和desktop进行 rm -fr /root/.ssh 操作）

(图示中服务器ip为172.25.254.110)

ssh-keygen      #生成密钥

或者使用参数指定密钥文件的储存位置，和密码。一般默认就好了。

ssh-keygen    -f   /root/.ssh/id_rsa     -P  ""

2.加密ssh用户的认证

ssh-copy-id  -i  /root/.ssh/id_rsa.pub  root@服务器端ip

当查看.ssh目录下的文件，发现出现authorized_keys文件时，表示加密成功。
rsa.pub 是公钥的模板 ，这个文件的内容authencation_keys完全一样。

3.发送钥匙给客户端

（在图示中,客户机ip地址为172.25.254.110)

scp /root/.ssh/id_rsa  客户端用户名称@客户端ip   /root/.ssh/

4.测试设置是否成功

在客户机测试发现登陆时，不再询问密码。

想要取消密钥认证怎么办

方法一：

服务器端可以

 rm -fr /root/.ssh/authorized_keys

此时客户机需要输入密码才能连接上服务端主机

方法二：

mv   /root/.ssh/authorized_keys   /root/.ssh/authorized_bak    

(1)

即给文件重命名即可

（2）当想让密钥重新生效时，改回名称即可

普通用户想要设置密钥登录怎么办

对于密钥服务来说，不一定只能对服务器主机上的root用户生成密钥登录的认证方式，普通用户也可以，且思路完全一样。
这里以对westos实现密钥登录为例：
在服务器：

mkdir /home/westos/.ssh    #.ssh目录默认清空下不存在
cd /home/westos/.ssh  
ssh-keygen -f  /home/westos/.ssh/id_rsa  -P "" #生成密钥
ssh-copy-id -i ./id_rsa.pub westos@服务器ip    # 对本机上锁，生成authorized_keys文件
scp ./id_rsa  客户机用户@客户机ip  家目录下的/.ssh/  将钥匙分发给客户机

想要设置免密登录怎么办

 cp /root/.ssh/id_rsa.pub  /root/.ssh/autherized_keys

sshd的安全设置

位置:

/etc/ssh/sshd_config   

方式：

1.当没有密钥的时候可以是否可以用密码登陆服务端主机
出现下列错误的原因是，密码验证功能没有向没有密钥的用户开放。

2.开启或关闭root用户的登陆权限
注意：
当此项设置为yes ，但是设置了白名单，且白名单里却没有root时，root也不能登录。即root用户受白名单限制。

当此项设置为no，即使白名单里有root,root用户也不能登录。

3.黑名单用户，即不能登陆的用户,即使有密码，也无权登录

4.白名单用户，除了白名单的用户，其他都不能登录。（用户之间用空格隔开）白名单的权限最大.
百分之二百注意！！！
(1)
密钥登录和白名单是两回事，你在root下生成密钥，发放密钥，那么你在/etc/ssh/sshd_config里，设置了westos为白名单，那除了westos用户，其他用户都不能登录，而且，westos也只能通过正确的密码登录。westos不能通过密钥登录，因为你所有生成密钥，发放密钥的过程都是给root,一个系统里只有一个sshd_config文件，但是有多个用户。

(2)
这里的白名单用户说的是服务器上的用户，不是客户机上的用户，即如果设置westos为白名单，则客户机应该使用当时服务器分发给它密钥的用户去执行 ssh westos@xxxxxxxxx
而不是在客户机里切换成westos用户去执行。

5.设置端口号
当更改端口号之后，服务器端和客户端分别需要进行如下操作。

服务器端：

客户端:
6.指定提供sshd服务的ip
当更改文件里提供服务的ip之后，原有的命令不再能连接上172.25.254.210主机

注意：
每次修改配置文件后需要 systemctl restart ssh 重新读取文件才能使修改生效