ssh——远程访问及控制

一、ssh的相关知识

1.1 ssh基础概念

• 是一种安全通道协议
• 对通信数据进行了加密处理，用于远程管理
• 服务名称：sshd
• 服务端主程序： /usr/sbin/sshd
• 服务端配置文件： /etc/ssh/sshd_config

1.2 用户登录控制

• AllowUsers zhangsan lisi@192.168.10.11
  表示只允许zhangsan登录，lisi在192.168.10.11主机上登录
• PermitRootLogin no
  空密码登录
• LoginGraceTime 2m
  限制登录时间为2分钟
• MaxAuthTries 6
  限制重试次数为6次
• PasswordAuthentication yes
  启用密码验证，密码对验证
• PubkeyAuthentication yes
  指定公钥库位置

1.3 远程命令

• ssh user@host -p 端口号
  远程安全登录
• scp user@host:file1 file2
  将目标主机中的file1文件复制到本主机重命令为file2（下载）
• scp file1 user@host:file2
  将本主机上的file1文件复制到目标主机上重命名为file2（上传）
• sftp user@host
  安全FTP上下载（登录的为user的家目录）

二、构建ssh密钥

2.1 构建密钥对验证的ssh体系

1. 创建密钥对
   私钥文件：id_rsa
   公钥文件：id_rsa.pub
2. 上传公钥文件
   id_rsa.pub
3. 导入公钥信息
   公钥库文件：/home/lisi/.ssh/authorized_keys
4. 使用密钥对验证方式
5. 即以服务端的用户lisi的身份进行登录

2.2 ssh-keygen命令

• 可用的加密算法：RSA、ECDSA或DSA

    ssh-keygen -t ecdsa
    scp ~/.ssh/id_ecdsa.pub root@172.16.16.22:/tmp
    mkdir /home/lisi/.ssh
    cat /tmp/id_ecdsa.pub >> /home/lisi.ssh/authorized_keys
    tail -l /home/lisi/.ssh/authorizedz-keys
  

客户端使用密钥对验证登录

• 验证用户：服务器的用户
• 验证密码：客户端的用户的私钥短语

2.3 免密登录

免密登录即代理，有一定的安全风险，但是用户服务器对客户机的控制比较方便管理。有密码的情况下需要输入 ssh-agent bash ,没有就不用了。

1. 服务器上输入 ：ssh-keygen -t rsa
2. 服务器上输入：ssh-copy-id 192.168.10.12(客户机ip)
3. 服务器上输入： ssh-agent bash (如果设置的时候没有设置密码，此步骤可以省略)
4. 服务器上输入：ssh- add
5. 输入密码密钥
   代理成功！无密码直接登录！
6. ssh root@192.168.10.12

三、Tcp Wrappers

3.1 保护机制的实现方式

• 方式1：通过tcpd程序对其他服务程序进行包装
• 方式2：由其他服务程序调用libwrap.so.*链接库

3.2 访问控制策略的配置文件

• /etc/hosts.allow (相当于白名单)
• /etc/hosts.deny（相当于黑名单）

3.3 设置访问控制策略

• 策略格式：服务程序列表：客户端地址列表
• 服务程序列表
  多个服务以逗号分隔，ALL表示所有服务
• 客户端地址列表
  多个地址以逗号分隔，ALL表示所有列表
  允许使用通配符？和*
  网段地址，如192.168.10._ 或者192.168.2.0/24
  区域地址，如 .benet.com

3.3 TCP Wrappers策略应用

1. 检查hosts.allow，找到匹配则允许访问
2. 再检查hosts.deny，找到则拒绝访问
3. 若两个文件中均无匹配策略，则默认允许访问