五、linux网络：远程访问及控制SSH

最新推荐文章于 2023-05-23 18:24:30 发布

你好，我是阿西鞭

最新推荐文章于 2023-05-23 18:24:30 发布

阅读量197

点赞数

本文链接：https://blog.csdn.net/weixin_56665913/article/details/117263000

版权

oot@localhost ~]# vim /etc/selinux/config     防止报错先关闭

 sshd-t    查看配置文件是否有语法错误
 cp -p /etc/ssh/sshd_config{..bak}  复制该文件，生成新的以bak结尾的新文件
 systemctl restart sshd   重启配置文件
 ssh -o Number0fPasswordPrompts=数字 root@192.168.153.200  作为客户机连接服务器尝试输入密码次数（与服务器设置允许客户机连接自己次数相比，取两者最小值）
 [root@localhost ~]# ssh root@192.168.153.100 -p 1314   服务器port修改新的号码1314，客户机第一次连接命令
Allowusers root 允许root登录（配置文件添加，默认无）
Allowusers root@192.168.153.100仅允许root用户在192.168.153.100登录
 [root@localhost ~]# vim /etc/ssh/ssh_config    从服务器进入客户机文件配置命令
 ssh-keygen 生成密钥（默认RSA算法）
 ssh-keygen -t ECD 生成密钥使用ECD算法
 [root@localhost ~]# scp anacoda-ks.cfg root@192.168.153.200:/opt   服务器和客户机相互传输文件命令（把anacoda-ks.cfg这个文件传到opt下面）
[root@localhost ~]# scp root@192.168.153.200:/opt/anacoda-ks.cfg /tmp  把对方 的这个文件传输到自己tmp目录下
scp -r对于目录操作scr -rp带属性
scp -P 2222 root@192.168.153.200:/opt/anacoda-ks.cfg /tmp    端口号改变的情况下需要传输

1SSH远程管理
（1）配置OpenSSH服务端
（2）使用SSH客户端程序
（3）密钥对验证的SSH体系
2TCP Wrappers访问控制
（1）TCPWrappers概述
（2）TCP Wrappers访问策略

1.1OpenSSH服务器（ssh是应用层协议端口号22）
SSH (Secure Shell)协议●是一种安全通道协议
●对通信数据进行了加密处理，用于远程管理
OpenSSH
●服务名称: sshd
●服务端主程序:/usr/sbin/sshd
●服务端配置文件:letc/ssh/sshd_config
●客户端配置文件:/etc/ssh/ssh_config

[root@localhost ~]# rpm -qa | grep openssh
openssh-7.4p1-16.el7.x86_64
openssh-server-7.4p1-16.el7.x86_64
openssh-clients-7.4p1-16.el7.x86_64

 [root@localhost ~]# rpm -ql openssh-server     查看openssh-server所装文件
/etc/pam.d/sshd
/etc/ssh/sshd_config
/etc/sysconfig/sshd
/usr/lib/systemd/system/sshd-keygen.service
/usr/lib/systemd/system/sshd.service
/usr/lib/systemd/system/sshd.socket
/usr/lib/systemd/system/sshd@.service
/usr/lib64/fipscheck/sshd.hmac
/usr/libexec/openssh/sftp-server
/usr/sbin/sshd
/usr/sbin/sshd-keygen
/usr/share/man/man5/moduli.5.gz
/usr/share/man/man5/sshd_config.5.gz
/usr/share/man/man8/sftp-server.8.gz
/usr/share/man/man8/sshd.8.gz
/var/empty/sshd

1.2服务监听选项
(1)端口号、协议版本、监听IP地址
(2)禁用反向解析
[root@localhost~]# vi letclssh/sshd_config
…
Port 22
ListenAddress 172.16.16.22 有多个设置成0.0.0.0 代表any
Protocol 2
UseDNS no

1.3用户登录控制
（1）禁用root用户、空密码用户
（2）限制登录验证时间、重试次数
（3）AllowUsers（白名单）、DenyUsers（黑名单）（黑名单优先，需要自己手动在配置文件里面添加）

 [root@localhost ~]# vim /etc/ssh/sshd_config    进入服务器配置文件

#Port 22   现网中一般为了安全把port号修改成三位数或四位数的乱序数字，如果远程连接软件已经连接则不会断开
 37 #LoginGraceTime 2m     37 #LoginGraceTime 2m
 38 #PermitRootLogin yes   38允许root登录
 39 #StrictModes yes         
 40 #MaxAuthTries 6        40最大认证尝试次数六次
 41 #MaxSessions 10        41最大允许连接数
 42 
 43 #PubkeyAuthentication yes   43默认开启公钥认证
 63 #PasswordAuthentication yes   63连接需要输入密码
 64 #PermitEmptyPasswords no       64默认不允许空密码登录
 115 #UseDNS yes                   115是否使用dns反向解析  
116 #PidFile /var/run/sshd.pid

1.4对称加密和非对称加密
对称加密
（1）概念
采用单钥密码系统的加密方法，同一个密钥可以同时用作信息的加密和解密，这种加密方法称为对称加密，由于其速度快，对称性加密通常在消息发送方需要加密大量数据时使用
(2) 常用算法
在对称加密算法中常用的算法有:DES、3DEs、TDEA、Blowfish、RC2、RC4、RC5、IDEA、SKIPJACK等。
(3) 特点
加密方和解密方使用同一个密钥;
加密解密的速度比较快，适合数据比较长时的使用;
密钥传输的过程不安全，且容易被破解，密钥管理也比较麻烦;
(4) 优缺点
对称加密算法的优点是算法公开、计算量小、加密速度快、加密效率高。
对称加密算法的缺点是在数据传送前，发送方和接收方必须商定好秘钥，然后使双方都能保存好秘钥。其次如果一方的秘钥被泄露，那么加密信息也就不安全了。另外，每对用户每次使用对称加密算法时，都需要使用其他人不知道的独一秘钥，这会使得收、发双方所拥有的钥匙数量巨大，密钥管理成为双方的负担。
非对称加密
（1）概念
非对称加密算法需要两个密钥:公开密钥(publickey.简称公钥)和私有密钥(privatekey.简称私钥)。公钥与私钥是一对，如果用公钥对数据进行加密，只有用对应的私钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。
（2 ）常用算法
RSA (RSA algorithm) :目前使用最广泛的算法
DSA (Digital Signature Algorithm) :数字签名算法，和RSA不同的是DSA
仅能用千数字答名．不能讲行数摇加密解密．其安全性和RSA相当．但其性能要L比RSA快
ECC(Elliptic curve cryptography，椭圆曲线加密算法)
ECDSA: Elliptic curve Digital Signature Algorithm，椭圆曲线签名算法，是ECC和 DSA的结合，相比于RSA算法，ECC可以使用更小的秘钥，更高的效率，提供更高的安全保障
(3）原理
首先ssh通过加密算法在客户端产生密钥对（公钥和私钥)，公钥发送给服务器端，自己保留私钥，如果要想连接到带有公钥的SSH服务器，客户端SSH软件就会向SSH服务器发出请求，请求用联机的用户密钥进行安全验证。SSH服务器收到请求之后，会先在该SSH服务器上连接的用户的家目录下寻找事先放上去的对应用户的公用密钥，然后把它和连接的SSH客户端发送过来的公用密钥进行比较。如果两个密钥一致，SSH服务器就用公钥加密"质询"(challenge)并把它发送给SSH客户端。
(4)特点
私钥不能在网络中传输，私钥可以解密公钥
公钼可L以在网路中传输,公钥不能解密私钥
在这里插入图片描述
密钥操作步骤

 [root@localhost ~]# ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.  私钥所在位置
Your public key has been saved in /root/.ssh/id_rsa.pub.  公钥所在位置
The key fingerprint is:
SHA256:KjzZJi2WeOyRwOG9qBeTuLwt5qUoYdQ/1lpkHlC2mfc root@localhost.localdomain
The key's randomart image is:
+---[RSA 2048]----+
|      .o         |
|     .. +        |
|  o   .+ .       |
| + +   +. .      |
|..+.o = S  E     |
|o.+* @ =         |
|ooo+^ O          |
|+==+ O           |
|*=o..            |
+----[SHA256]-----+
[root@localhost ~]# 
[root@localhost ~]# ls -a
.                .bash_profile  .esd_auth             .swp         公共  音乐
..               .bashrc        .ICEauthority         .tcshrc      模板  桌面
aa               .cache         initial-setup-ks.cfg  test         视频
anaconda-ks.cfg  .config        .local                test1        图片
.bash_history    .cshrc         .mozilla              .viminfo     文档
.bash_logout     .dbus          .ssh                  .Xauthority  下载
[root@localhost ~]# cd .ssh
[root@localhost .ssh]# ls
id_rsa  id_rsa.pub  私钥和公钥
[root@localhost .ssh]# cat id_rsa   可以查看未加密的私钥文件
[root@localhost .ssh]# ssh-copy-id root@192.168.135.200   把公钥发给服务器

在这里插入图片描述
查看目录命令

2.1TCP wrappers概述：
保护原理

2.2TCP Wrappers概述
保护机制的实现方式
●方式1:通过tcpd程序对其他服务程序进行包装
●方式2:由其他服务程序调用libwrap.so.*链接库
访问控制策略的配置文件
/etc/hosts.allow（比deny优先)
/etc/hosts.deny

2.3设置访问控制策略
●策略格式:服务程序列表:客户端地址列表
●服务程序列表
多个服务以逗号分隔，ALL表示所有服务
●客户端地址列表
多个地址以逗号分隔，ALL表示所有地址
允许使用通配符﹖和*
网段地址，如192.168.4．或者192.168.4.0/255.255.255.0
区域地址，如.benet.com

策略的应用顺序
（1）.检查hosts.allow，找到匹配则允许访问
（2）.再检查hosts.deny，找到则拒绝访问
（3).若两个文件中均无匹配策略，则默认允许访问

#[root@localhost ~]# vim /etc/hosts.deny   进入不允许客户机登录这个配置文件



# hosts.allow   This file contains access rules which are used to
#               allow or deny connections to network services that
#               either use the tcp_wrappers library or that have been
#               started through a tcp_wrappers-enabled xinetd.
#
#               See 'man 5 hosts_options' and 'man 5 hosts_access'
#               for information on rule syntax.
#               See 'man tcpd' for information on tcp_wrappers
sshd:192.168.153.200      不允许这个客户机登录            
sshd：ALL                 拒绝所有

#[root@localhost ~]# vim /etc/hosts.allow  进入允许客户机登录这个配置文件



# hosts.allow   This file contains access rules which are used to
#               allow or deny connections to network services that
#               either use the tcp_wrappers library or that have been
#               started through a tcp_wrappers-enabled xinetd.
#
#               See 'man 5 hosts_options' and 'man 5 hosts_access'
#               for information on rule syntax.
#               See 'man tcpd' for information on tcp_wrappers
sshd:192.168.153.200      允许这个客户机登录

你好，我是阿西鞭

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
五、linux网络：远程访问及控制SSH

oot@localhost ~]# vim /etc/selinux/config 防止报错先关闭 sshd-t 查看配置文件是否有语法错误 cp -p /etc/ssh/sshd_config{..bak} 复制该文件，生成新的以bak结尾的新文件 systemctl restart sshd 重启配置文件 ssh -o Number0fPasswordPrompts=数字 root@192.168.153.200 作为客户机连接服务器尝试输入密码次数（与服务器设置允许客户
复制链接

扫一扫