1. Linux—时钟
1.1 简介
由于IT系统中，准确的计时非常重要，有很多种原因需要准确计时：（1）在网络传输中，数据包括和日志需要准确的时间戳；（2）各种应用程序中，如订单信息，交易信息等 都需要准确的时间戳。而时钟又分为硬件时钟和系统时钟两种。
硬件时钟：即BIOS时钟，也就是我们主板中用电池供电的时钟，是将时间写入到BIOS中，系统断电后时间不会丢失，可以在开机时通过主板程序中进行设置。
# 硬件时间查看：
[root@server ~]# hwclock
2023-08-20 09:17:13.071047+08:00
系统时钟：顾名思义也就是Linux系统内的时钟，是由Linux内核来提供的，系统时钟是基于内存，如果系统断电时间就会丢失。
[root@server ~]# date -s 10:00 # 修改为错误时间
2023年 08月 20日 星期日 10:00:00 CST
[root@server ~]# date # 查看软件时间
2023年 08月 20日 星期日 10:00:06 CST
[root@server ~]# hwclock -s # 向硬件时间同步
[root@server ~]# date # 查看软件时间
2023年 08月 20日 星期日 09:19:22 CST
1.2 linux—时间同步软件
1.2.1 NTP介绍
- NTP：（Network Time Protocol，网络时间协议）是由RFC 1305定义的时间同步协议，用来在分布式时间服务器和客户端之间进行时间同步。
- NTP基于UDP报文进行传输，使用的UDP端口号为123
- NTP可以对网络内所有具有时钟的设备进行时钟同步，使网络内所有设备的时钟保持一致，从而使设备能够提供基于统一时间的多种应用，对于运行NTP的本地系统，既可以接受来自其他时钟源的同步，又可以作为时钟源同步其他的时钟，并且可以和其他设备互相同步。
- NTP的其精度在局域网内可达0.1ms，在互联网上绝大多数的地方其精度可以达到1-50ms
1.2.2 Chrony介绍
-
chrony是一个开源的自由软件，它能帮助你保持系统时钟与时钟服务器（NTP）同步，因此让你的时间保持精确。
-
chrony由两个程序组成，分别是chronyd和chronyc
- chronyd：是一个后台运行的守护进程，用于调整内核中运行的系统时钟和时钟服务器同步。它确定计算机增减时间的比率，并对此进行补偿。
- chronyc：提供了一个用户界面，用于监控性能并进行多样化的配置。它可以在chronyd实例控制的计算机上工作，也可以在一台不同的远程计算机上工作
-
注意：Chrony与NTP都是时间同步软件，两个软件不能够同时开启，会出现时间冲突，RHEL9中默认使用chrony作为时间服务器，不在支持NTP软件包
-
Chrony的安装
[root@server ~]# yum install chrony -y
1.3 （实验）配置ntp时间服务器，确保客户端主机能和服务主机同步时间
-
服务主机配置
[root@server ~]# vim /etc/chrony.conf server ntp.aliyun.com iburst # 修改第3行为阿里的时间服务器地址 # Allow NTP client access from local network. allow 192.168.136.129/24 # 删除第26行的前导星号，启用白名单，将客户端主机（node1）的ip添加进入 [root@server ~]# systemctl restart chronyd # 重启服务 [root@server ~]# chronyc sources -v # 同步测试 .-- Source mode '^' = server, '=' = peer, '#' = local clock. / .- Source state '*' = current best, '+' = combined, '-' = not combined, | / 'x' = may be in error, '~' = too variable, '?' = unusable. || .- xxxx [ yyyy ] +/- zzzz || Reachability register (octal) -. | xxxx = adjusted offset, || Log2(Polling interval) --. | | yyyy = measured offset, || \ | | zzzz = estimated error. || | | \ MS Name/IP address Stratum Poll Reach LastRx Last sample =============================================================================== ^* 203.107.6.88 2 6 37 56 +1270ns[+2309us] +/- 28ms [root@server ~]# timedatectl status # 查看是否同步 Local time: 日 2023-08-20 11:40:42 CST Universal time: 日 2023-08-20 03:40:42 UTC RTC time: 日 2023-08-20 03:40:42 Time zone: Asia/Shanghai (CST, +0800) System clock synchronized: yes NTP service: active RTC in local TZ: no -
客服端主机配置
[root@node1 ~]# vim /etc/chrony.conf # 修改第3行为服务主机（server）的时间服务器地址 server 192.168.136.128 iburst [root@node1 ~]# systemctl restart chronyd # 重启服务 [root@node1 ~]# chronyc sources -v # 同步测试 .-- Source mode '^' = server, '=' = peer, '#' = local clock. / .- Source state '*' = current best, '+' = combined, '-' = not combined, | / 'x' = may be in error, '~' = too variable, '?' = unusable. || .- xxxx [ yyyy ] +/- zzzz || Reachability register (octal) -. | xxxx = adjusted offset, || Log2(Polling interval) --. | | yyyy = measured offset, || \ | | zzzz = estimated error. || | | \ MS Name/IP address Stratum Poll Reach LastRx Last sample =============================================================================== ^* 192.168.136.128 3 6 17 21 -1016us[-1025us] +/- 39ms [root@node1 ~]# timedatectl status # 查看是否同步 Local time: 日 2023-08-20 11:45:35 CST Universal time: 日 2023-08-20 03:45:35 UTC RTC time: 日 2023-08-20 03:45:35 Time zone: Asia/Shanghai (CST, +0800) System clock synchronized: yes NTP service: active RTC in local TZ: no
2. SSH网络协议
2.1 简介
2.1.1 文字接口连接服务器
- SSH（Secure Shell）是一种网络协议，用于在不安全的网络中安全地进行远程登录和数据传输。它通过加密和认证机制，确保数据的机密性和完整性。
- SSH（Secure Shell Protocol，安全壳程序协议）由 IETF 的网络小组（Network Working Group）所制定，可以通过数据包加密技术将等待传输的数据包加密后再传输到网络上。
- ssh协议本身提供两个服务器功能：
- 一个是类似telnet的远程连接使用shell的服务器；
- 另一个就是类似ftp服务的sftp-server，提供更安全的ftp服务。
2.1.2 连接加密技术
- 目前常见的网络数据包加密技术通常是通过“非对称密钥系统”来处理的。
- 主要通过两把不一样的公钥与私钥来进行加密与解密的过程。
2.1.3 密钥解析
-
公钥（public key）：提供给远程主机进行数据加密的行为，所有人都可获得你的公钥来将数据加密。
-
私钥（private key）：远程主机使用你的公钥加密的数据，在本地端就能够使用私钥来进行解密。私钥只有自己拥有。
2.1.4 SSH工作过程
- 服务端与客户端要经历如下五个阶段：
| 过程 | 说明 |
|---|---|
| 版本号协商阶段 | SSH目前包括SSH1和SSH2两个版本，双方通过版本协商确定使用的版本 |
| 密钥和算法协商阶段 | SSH支持多种加密算法，双方根据本端和对端支持的算法，协商出最终使用的算法 |
| 认证阶段 | SSH客户端向服务器端发起认证请求，服务器端对客户端进行认证 |
| 会话请求阶段 | 认证通过后，客户端向服务器端发送会话请求 |
| 交互会话阶段 | 会话请求通过后，服务器端和客户端进行信息的交互 |
2.1.5 版本协商阶段
-
服务器端打开端口22，等待客户端连接；
-
客户端向服务器端发起TCP初始连接请求，TCP连接建立后，服务器向客户端发送第一个报文，包括版本标志字符串，格式为
SSH-<主协议版本号>.<次协议版本号>.<软件版本号>，协议版本号由主版本号和次版本号组成，软件版本号主要是为调试使用。 -
客户端收到报文后，解析该数据包，如果服务器的协议版本号比自己的低，且客户端能支持服务器端的低版本，就使用服务器端的低版本协议号，否则使用自己的协议版本号。
-
客户端回应服务器一个报文，包含了客户端决定使用的协议版本号。服务器比较客户端发来的版本号，决定是否能同客户端一起工作。如果协商成功，则进入密钥和算法协商阶段，否则服务器断开TCP连接
-
注意：上述报文都是采用明文方式传输
2.1.6 密钥和算法协商阶段
-
服务器端和客户端分别发送算法协商报文给对端，报文中包含自己支持的公钥算法列表、加密算法列表、MAC（Message Authentication Code，消息验证码）算法列表、压缩算法列表等等
-
服务器端和客户端根据对端和本端支持的算法列表得出最终使用的算法
-
服务器端和客户端利用DH交换（Diffie-Hellman Exchange）算法、主机密钥对等参数，生成会话密钥和会话ID。
-
由此，服务器端和客户端就取得了相同的会话密钥和会话ID。对于后续传输的数据，两端都会使用会话密钥进行加密和解密，保证了数据传送的安全。在认证阶段，两端会使用会话用于认证过程
-
会话密钥的生成：
- 客户端需要使用适当的客户端程序来请求连接服务器，服务器将服务器的公钥发送给客户端。（服务器的公钥产生过程：服务器每次启动sshd服务时，该服务会主动去找/etc/ssh/ssh_host*文件，若系统刚装完，由于没有这些公钥文件，因此sshd会主动去计算出这些需要的公钥文件，同时也会计算出服务器自己所需要的私钥文件。）
- 服务器生成会话ID，并将会话ID发给客户端。
- 若客户端第一次连接到此服务器，则会将服务器的公钥数据记录到客户端的用户主目录内的~/.ssh/known_hosts。若是已经记录过该服务器的公钥数据，则客户端会去比对此次接收到的与之前的记录是否有差异。客户端生成会话密钥，并用服务器的公钥加密后，发送给服务器。
- 服务器用自己的私钥将收到的数据解密，获得会话密钥。
- 服务器和客户端都知道了会话密钥，以后的传输都将被会话密钥加密
2.1.7 认证阶段(两种认证方法)
-
基于口令的认证（password认证）：客户端向服务器发出password认证请求，将用户名和密码加密后发送给服务器，服务器将该信息解密后得到用户名和密码的明文，与设备上保存的用户名和密码进行比较，并返回认证成功或失败消息。
-
基于密钥的认证（publickey认证）：
- 客户端产生一对公共密钥，将公钥保存到将要登录的服务器上的那个账号的家目录的**.ssh/authorized_keys**文件中
- 认证阶段：客户端首先将公钥传给服务器端。服务器端收到公钥后会与本地该账号家目录下的authorized_keys中的公钥进行对比，如果不相同，则认证失败；否则服务端生成一段随机字符串，并先后用客户端公钥和会话密钥对其加密，发送给客户端。客户端收到后将解密后的随机字符串用会话密钥发送给服务器。如果发回的字符串与服务器端之前生成的一样，则认证通过，否则，认证失败。
-
注：服务器端对客户端进行认证，如果认证失败，则向客户端发送认证失败消息，其中包含可以再次认证的方法列表。客户端从认证方法列表中选取一种认证方法再次进行认证，该过程反复进行。直到认证成功或者认证次数达到上限，服务器关闭连接为止
2.2 （实验）配置ssh免密登陆，能够实现客户端主机通过服务器端的redhat账户进行基于公钥验证方式的远程连接
-
在服务端创建rednat账户
[root@server ~]# useradd redhat #创建账户redhat [root@server ~]# passwd redhat #给账户添加登陆密码 -
客户端（node1）配置
[root@node1 ~]# ssh-keygen -t rsa #制作公私对，一路回车即可 Generating public/private rsa key pair. Enter file in which to save the key (/root/.ssh/id_rsa): Created directory '/root/.ssh'. Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /root/.ssh/id_rsa Your public key has been saved in /root/.ssh/id_rsa.pub The key fingerprint is: SHA256:t8F8JEkXwpRhnDl3Xy9frCWZLiiQVPsnyjw/10v+6r0 root@node1 The key's randomart image is: +---[RSA 3072]----+ | ..+*=o. | | . +B+. . .| | . .. oo.. =o| | o + o = *| | .S B.o. *.| | o.o.*. o .| | =.. o. | | o. .o.. | | .o .=E+| +----[SHA256]-----+ [root@node1 ~]# ssh-copy-id redhat@192.168.136.128 #将node1公钥上传给128主机的redhat账户 The authenticity of host '192.168.136.128 (192.168.136.128)' can't be established. ED25519 key fingerprint is SHA256:f+I5WeVDfo7ao8XYvQ2CI2CnJfW2lX+xessgsLNDfso. This key is not known by any other names Are you sure you want to continue connecting (yes/no/[fingerprint])? yes #输入yes /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed /usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys redhat@192.168.136.128's password: #输入登陆密码 Number of key(s) added: 1 Now try logging into the machine, with: "ssh 'redhat@192.168.136.128'" and check to make sure that only the key(s) you wanted were added. -
验证
[root@node1 ~]# ssh redhat@192.168.136.128 Register this system with Red Hat Insights: insights-client --register Create an account or view all your systems at https://red.ht/insights-dashboard [redhat@server ~]$ #已免密远程连接到redhat账户
7677
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
