远程访问及控制

一：配置服务端

添加测试账号，aaa

1：服务监听选项

[root@localhost ~]# setenforce 0

注意：如果不关闭selinux，不能修改端口号

[root@localhost ~]# vi /etc/ssh/sshd_config

修改

17 Port 22                 \监听的端口

19 ListenAddress 192.168.10.10        \监听的IP

23 Protocol 2             \ssh的v2版本

129 UseDNS no          \禁用dns反向解析

[root@localhost ~]# systemctl restart sshd

客户端登陆验证

linux客户端

[root@localhost Packages]# ssh
root@192.168.10.10

注意：服务端可以修改端口号，但在远程连接时，服务器要关防火墙

[root@localhost ~]# ssh -p 16666 root@192.168.10.10

windows客户端

使用xshell

2：用户登录控制

[root@localhost ~]# vi /etc/ssh/sshd_config

修改

48 LoginGraceTime 2m         \允许一次登录花费登陆验证的时间

49 PermitRootLogin no         \为了后面的实验，不禁用root，在前面加#注释掉

51
MaxAuthTries 6            \登陆次数（输错密码的次数）

78
PermitEmptyPasswords no      \禁止空密码用户登录

43 #StrictModes yes如果StrictModes为yes必需保证存放公钥的文件夹的与登陆用户名是相同的

AllowUsers zhangsan aaa
lisi@192.168.10.20   \只允许或拒绝时用，添加。lisi只能从10.20登陆

[root@localhost ~]# systemctl restart sshd

客户端登陆验证

[root@localhost ~]# ssh
zhangsan@192.168.10.10

注：allowusers会限制你登陆的用户，所以后面试验中所有希望ssh登陆的用户，都要在这里添加，包括密钥对登陆的用户，如果不想限制，可以不用添加该行。

二：使用ssh客户端程序

1）：客户端的操作

[root@localhost ~]# ssh aaa@192.168.10.10

aaa@192.168.10.10’s password:

[aaa@localhost ~]$ ifconfig

[aaa@localhost ~]$ exit

[root@localhost ~]# scp
root@192.168.10.10:/etc/passwd /usr/ccc.txt    
\下载，在AllowUsers中添加root

[root@localhost ~]# scp -o port=16666 root@192.168.10.10:/etc/passwd
/opt/bbb.txt

root@192.168.10.10’s password:

passwd                                        100%
1668     1.6KB/s   00:00

[root@localhost ~]# scp -r
/usr/src/text.html root@192.168.10.10:/usr    
\上传

[root@localhost ~]# scp -P 16666 -r /opt/aaa.txt
root@192.168.10.10:/opt/vvv.txt

root@192.168.10.10’s password:

text.html                                     100%    0    
0.0KB/s   00:00

3）客户端的sftp操作

[root@localhost ~]# sftp aaa@192.168.10.10

Connecting to 192.168.10.10…

aaa@192.168.10.10’s password:

sftp> cd /opt

sftp> ls

sftp> put /etc/profile    \上传到了aaa的宿主目录下，普通用户只能将数据上传到宿主目录，

root可以上传到其他地方直接用cd切换目录

Uploading /etc/profile to /home/aaa/profile

/etc/profile                                  100%
1796     1.8KB/s   00:00

sftp> ls

profile

sftp> get profile   \下载，下载到当前位置

sftp> bye

注释：如果远程服务器修改了端口号，可用下列方法登录sftp

[root@localhost ~]# sftp -o port=8888 root@192.168.10.101

[root@localhost ~]# sftp -P 8888 root@192.168.10.101

4）：Xshell工具

打开win2008

安装Xshell

注意：

rz命令可以上传文件

sz命令可以下载文件：sz /etc/passwd

如果这个命令不能用，就yum 
install lrzsz

三：构建密钥对验证ssh体系

1：服务器端设置登陆验证方式

[root@localhost ~]# vi /etc/ssh/sshd_config

修改（都是默认值，不用修改）

PasswordAuthentication yes

PubkeyAuthentication yes

AuthorizedKeysFile      .ssh/authorized_keys       \指定公钥数据库

[root@localhost ~]# systemctl restart sshd

2：在客户端创建密钥对

[root@localhost ~]# useradd bbb

[root@localhost ~]# passwd bbb

[root@localhost ~]# su bbb

[bbb@localhost root]$ ssh-keygen -t rsa     \创建密钥

[bbb@localhost root]$ ls -lh ~/.ssh/id_rsa*

-rw-------. 1 bbb bbb 1.7K 12月  3
17:00 /home/bbb/.ssh/id_rsa

-rw-r–r--. 1 bbb bbb  407 12月  3 17:00
/home/bbb/.ssh/id_rsa.pub

3：将公钥文件上传到服务器

[bbb@localhost root]$ scp ~/.ssh/id_rsa.pub
root@192.168.10.10:/tmp

4：在服务器中导入公钥文本

[root@localhost ~]# useradd aaa

[root@localhost ~]# passwd aaa

[root@localhost ~]# mkdir -p
/home/aaa/.ssh/      \想登陆谁的账号，就导入到谁里面

[root@localhost ~]# cat /tmp/id_rsa.pub

/home/aaa/.ssh/authorized_keys

[root@localhost ~]# tail -l
/home/aaa/.ssh/authorized_keys

[root@localhost ~]# ls -l
/home/aaa/.ssh/authorized_keys

5：在客户端使用密钥对验证

[bbb@localhost root]$ ssh aaa@192.168.10.10   \在服务器上allowusers中要添加aaa账号

[aaa@localhost ~]$ ifconfig

[aaa@localhost ~]$ ls -l
/home/aaa/.ssh/authorized_keys

[aaa@localhost ~]$ tail -l
/home/aaa/.ssh/authorized_keys

[aaa@localhost ~]$ exit

四：TCP Wrappers访问控制 （TCP封装）

[root@localhost ~]# ldd /usr/sbin/sshd |
grep “libwrap”

libwrap.so.0
=> /lib64/libwrap.so.0 (0x00007f7f1d588000)

[root@localhost ~]# vi /etc/hosts.allow

添加

sshd:61.63.65.67 192.168.10.*

[root@localhost ~]# vi /etc/hosts.deny

添加（大小写不区分）

sshd:ALL