SSH讲解（重点：CentOS7）

于 2024-07-14 21:19:59 发布
阅读量1.5k 收藏 9
点赞数 28
文章标签： ssh 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xw2441176267/article/details/140325761
版权

第一章：SSH服务

1.1 SSH是什么？

        SSH（Secure Shell）是一种安全通道协议，主要用来实现字符界面的远程登录、远程复制等功能。SSH 协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入的用户口令。SSH 为建立在应用层和传输层基础上的安全协议。

                    网络
SSH客户端<------------------------------>SSH服务端
数据传输是加密的，可以防止信息泄漏
数据传输是压缩的，可以提高传输速度

1.2 SSH客户端和服务端

  • SSH客户端: 常见的SSH客户端软件有Putty、Xshell、CRT、MobaXterm、FinalShell。

  • SSH服务端: OpenSSH 是实现SSH协议的开源软件项目，适用于各种UNIX、Linux 操作系统。

1.3 CentOS 7中的SSH

CentOS 7系统默认已安装openssh相关软件包，并将sshd服务添加为开机自启动。执行以下命令即可启动sshd服务：

systemctl start sshd

  • 默认端口: sshd 服务默认使用的是TCP的22端口。

  • 安全协议版本: 默认使用的是sshv2，sshv1 存在漏洞。

  • 配置文件: sshd服务的默认配置文件是/etc/ssh/sshd_config。

1.4 SSH配置文件

  • ssh_config: 为客户端配置文件，设置与客户端相关的应用可通过此文件实现。

  • sshd_config: 为服务器端配置文件，设置与服务端相关的应用可通过此文件实现。

# 客户端配置文件路径
/etc/ssh/ssh_config
​
# 服务端配置文件路径
/etc/ssh/sshd_config

1.5 SSH服务功能

SSH服务端主要包括两个服务功能：SSH远程连接和SFTP服务。

1.6 SSH的作用

        SSHD 服务使用 SSH 协议可以用来进行远程控制，或在计算机之间传送文件。相比于Telnet，SSH更加安全，因为Telnet使用明文传输，SSH则是加密传输。

1.7 远程管理的重要性

        远程管理Linux系统基本上都要使用到SSH，原因很简单：Telnet、FTP等传输方式使用明文传送用户认证信息，本质上是不安全的，存在被网络窃听的危险。SSH（Secure Shell）目前较可靠，是专为远程登录会话和其他网络服务提供安全性的协议。利用SSH协议可以有效防止远程管理过程中的信息泄露问题，通过SSH可以对所有传输的数据进行加密，也能够防止DNS欺骗和IP欺骗。

1.8 OpenSSH常用配置文件

OpenSSH 常用配置文件有两个：

  • ssh_config: 为客户端配置文件，设置与客户端相关的应用可通过此文件实现。

  • sshd_config: 为服务器端配置文件，设置与服务端相关的应用可通过此文件实现。

# 客户端配置文件路径
/etc/ssh/ssh_config
​
# 服务端配置文件路径
/etc/ssh/sshd_config

1.9 常用命令和路径

  • 查看SSH版本：

    ssh -V

  • 服务名称： sshd

  • 服务端主程序： /usr/sbin/sshd

  • 服务端配置文件： /etc/ssh/sshd_config

二、SSH远程登录方式

2.1 登录方法一

使用以下命令通过SSH远程登录到另一台Linux主机：

ssh [远程主机用户名]@[远程服务器主机名或IP地址] -p port

        如果当前登录用户是 root，并且连接到另一台主机时也是使用 root 用户，可以直接使用 ssh IP，默认端口即可。如果端口不是默认的，需要使用 -p 指定端口。

例如，使用默认端口：

ssh root@192.168.1.100

使用自定义端口：

ssh root@192.168.1.100 -p 2222
RSA算法

        RSA算法基于一个十分简单的数论事实：将两个大素数相乘十分容易，但是想要对其乘积进行因式分解却极其困难，因此可以将乘积公开作为加密密钥。

2.2 登录方法二

使用 -l 选项指定登录名称和端口：

ssh -l [远程主机用户名] [远程服务器主机名或IP地址] -p port

例如：

ssh -l root 192.168.1.100 -p 2222

选项说明
-l：指定登录名称。

-p：指定登录端口（当服务端的端口非默认时，需要使用 -p 指定端口进行登录）。

2.3 初次登录提示

        第一次登录服务器时，系统没有保存远程主机的信息。为了确认该主机身份，系统会提示用户是否继续连接。输入 yes 后登录，系统会将远程服务器信息写入用户主目录下的 $HOME/.ssh/known_hosts 文件中。下次再进行登录时，因为保存有该主机信息，就不会再提示了。

2.4 故障集

        在平时工作中，有时候需要SSH登录到别的Linux主机上，但有时候SSH登录会被禁止，并弹出如下类似提示：

The authenticity of host '192.168.10.9 (192.168.10.9)' can't be established.
ECDSA key fingerprint is SHA256:AaGpHeEiRuXMy96oezzV6TOej5nJJmZIe/djqR7qCVk.
ECDSA key fingerprint is MD5:78:a1:b1:1c:36:76:c7:34:54:87:cc:ea:51:3f:0c:24.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.10.9' (ECDSA) to the list of known hosts.
Authentication failed.

2.5 扩展命令

        SSH 会把每个访问过的计算机的公钥（public key）记录在 ~/.ssh/known_hosts 文件中。当下次访问相同计算机时，OpenSSH 会核对公钥。如果公钥不同，OpenSSH 会发出警告，避免受到DNS劫持之类的攻击。

解决办法

  1. 使用 -o StrictHostKeyChecking=no 选项：

    ssh -o StrictHostKeyChecking=no 192.168.xxx.xxx

  2. 修改 /etc/ssh/ssh_config 文件（或 $HOME/.ssh/config），添加以下配置：

    StrictHostKeyChecking no
UserKnownHostsFile /dev/null

原因

        一台主机上有多个Linux系统，会经常切换，这些系统使用同一IP。登录过一次后会把SSH信息记录在本地的 ~/.ssh/known_hosts 文件中，切换系统后再用SSH访问这台主机就会出现冲突警告，需要手动删除或修改 known_hosts 文件中的内容。

2.6 安装OpenSSH服务包

        OpenSSH软件包提供了服务端后台程序和客户端工具，用来加密远程控制和文件传输过程中的数据，替代原来的Telnet或FTP等服务。

安装包

OpenSSH服务需要4个软件包：

  1. openssh-5.3p1-114.el6_7.x86_64：包含OpenSSH服务器及客户端需要的核心文件。

  2. openssh-clients-5.3p1-114.el6_7.x86_64：OpenSSH客户端软件包。

  3. openssh-server-5.3p1-114.el6_7.x86_64：OpenSSH服务器软件包。

  4. openssh-askpass-5.3p1-114.el6_7.x86_64：支持对话框窗口的显示，是一个基于X系统的组件。

2.7 演示远程登录的方法

编译安装OpenSSH

        在进行升级或编译安装OpenSSH之前，可能存在风险，建议先安装Telnet并且测试用户登录无问题后再进行升级。

编译RPM包OpenSSH

可以通过以下命令编译并安装OpenSSH的RPM包：

rpmbuild -tb openssh-<version>.tar.gz
sudo rpm -ivh /path/to/openssh-<version>.rpm

2.8 安全机制

  1. PAM（可插入认证模块）：用于集中管理系统的各种认证方式。

  2. 用户安全：通过限制用户权限和使用强密码来增强安全性。

  3. SSHD安全：通过配置SSHD服务的安全选项来保护服务器。

  4. Shell脚本编辑配置安全：编写安全的Shell脚本，避免潜在的安全漏洞。

第三章：SSH 服务配置与管理

3.1 服务配置

3.1.1 修改监听端口

SSH 预设使用 22 这个端口，你可以通过在 SSH 服务器的配置文件 /etc/ssh/sshd_config 中修改或添加多个端口来改变默认端口。例如，想要开放 SSHD 端口为 22 和 222，则在配置文件中添加如下行：

# /etc/ssh/sshd_config
Port 22
Port 222

然后重新启动 SSHD 服务以应用更改：

sudo systemctl restart sshd

建议修改默认端口号以防止被恶意破解。

3.1.2 配置监听地址

在配置文件 /etc/ssh/sshd_config 中设置 SSHD 服务器绑定的 IP 地址，0.0.0.0 表示侦听所有地址：

# /etc/ssh/sshd_config
ListenAddress 0.0.0.0

安全建议：如果主机不需要从公网 SSH 访问，可以把监听地址改为内网地址。

3.1.3 设置协议版本

在配置文件 /etc/ssh/sshd_config 中设置协议版本为 SSH2，SSH1 存在漏洞与缺陷：

# /etc/ssh/sshd_config
Protocol 2
3.1.4 禁用 DNS 反向解析

在配置文件 /etc/ssh/sshd_config 中禁用 DNS 反向解析可以提高服务器的响应速度：

# /etc/ssh/sshd_config
UseDNS no
3.1.5 日志配置

在配置文件 /etc/ssh/sshd_config 中设置日志记录信息类型为 AUTHPRIV：

# /etc/ssh/sshd_config
SyslogFacility AUTHPRIV

SSHD 服务日志存放在：/var/log/secure。

3.2 安全调优

3.2.1 登录宽限时间

在配置文件 /etc/ssh/sshd_config 中设置登录宽限时间（默认 2 分钟），系统将在此时间内未成功登录则强制断线：

# /etc/ssh/sshd_config
LoginGraceTime 2m
3.2.2 是否允许 root 登录

在真实的生产环境中，不允许 root 用户直接登录，只允许普通用户登录后再切换到 root 用户：

# /etc/ssh/sshd_config
PermitRootLogin no

创建用户 zhangsan 和 lisi，并将 zhangsan 用户加入 wheel 组以获取 sudo 权限：

sudo useradd zhangsan
sudo useradd lisi
sudo passwd zhangsan
sudo passwd lisi
sudo usermod -aG wheel zhangsan
3.2.3 密码验证

在配置文件 /etc/ssh/sshd_config 中配置密码验证：

# /etc/ssh/sshd_config
PasswordAuthentication yes

禁止空密码登录：

# /etc/ssh/sshd_config
PermitEmptyPasswords no
3.2.4 显示上次登录信息

在配置文件 /etc/ssh/sshd_config 中显示上次登录的信息：

# /etc/ssh/sshd_config
PrintLastLog yes
3.2.5 最大认证尝试次数

在配置文件 /etc/ssh/sshd_config 中设置每个连接最大允许的认证次数（默认值为 6）：

# /etc/ssh/sshd_config
MaxAuthTries 6
3.2.6 允许用户

在配置文件 /etc/ssh/sshd_config 中使用 AllowUsers 只允许特定用户登录：

# /etc/ssh/sshd_config
AllowUsers zhangsan@192.168.10.10 wangwu

3.3 扩展命令参数

使用 ssh 命令的扩展参数：

ssh -o ConnectTimeout=3 -o ConnectionAttempts=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no $ip "command"

参数说明：

  • ConnectTimeout=3：连接超时时间，3秒

  • ConnectionAttempts=5：连接失败后重试次数，5次

  • PasswordAuthentication=no：不使用密码认证

  • StrictHostKeyChecking=no：自动信任主机并添加到 known_hosts 文件

示例：

ssh -o StrictHostKeyChecking=no root@192.168.10.0

3.4 安全检查与加固

3.4.1 对未经过安全认证的 RPM 包进行安全检查

在使用非官方 RPM 包时，可以通过以下命令进行检查：

rpm --checksig package-name.rpm
3.4.2 用户密码策略

设定密码策略和强度： 编辑 /etc/security/pwquality.conf 文件，设置密码强度规则，例如：

minlen=12
minclass=4

对用户的登录次数进行限制： 编辑 /etc/pam.d/sshd 文件，添加以下内容：

auth required pam_tally2.so onerr=fail deny=5 unlock_time=900

禁止 ROOT 用户远程登录：

# /etc/ssh/sshd_config
PermitRootLogin no

设置历史命令保存条数和账户超时时间： 编辑 /etc/profile 文件，添加以下内容：

HISTSIZE=1000
TMOUT=300

设置只有指定用户组才能使用 su 命令切换到 root 用户： 编辑 /etc/pam.d/su 文件，添加以下内容：

auth required pam_wheel.so use_uid

对重要文件进行锁定，即使 ROOT 用户也无法删除：

chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow

建立日志服务器： 设置集中日志服务器，编辑 /etc/rsyslog.conf 文件，添加远程日志服务器配置：

*.* @@remote-log-server:514

然后重启 rsyslog 服务：

sudo systemctl restart rsyslog

3.5 SSHD 服务支持的验证方式

3.5.1 密码验证

对服务器中本地系统用户的登录名称、密码进行验证。使用方便，但安全性较低，容易被假冒。

3.5.2 密钥对验证

要求提供匹配的密钥信息才能通过验证。建议将密码验证方式禁用，只允许启用密钥对验证方式。在 /etc/ssh/sshd_config 中进行配置：

# /etc/ssh/sshd_config
PasswordAuthentication no
PubkeyAuthentication yes

3.6 免密登录

在客户端使用 ssh-agent 和 ssh-add 管理公钥以实现免密登录：

在客户端生成密钥对：

ssh-keygen -t rsa

将公钥复制到服务器：

ssh-copy-id user@server

启动 ssh-agent 并添加私钥：

ssh-agent bash
ssh-add

四、SSH 密钥对验证

SSH（Secure Shell）是一种网络协议，用于在不安全的网络上建立安全的通信通道。密钥对验证是SSH的一种重要特性，它提供了一种安全且便捷的身份验证方式。本章将详细介绍如何构建和使用SSH密钥对验证。

4.1 公钥和私钥的关系

在非对称加密技术中，有两种密钥，分别是公钥和私钥。私钥由密钥对所有者持有，不可公布；公钥由密钥对持有者公布给他人。

  • 公钥用于加密数据：用公钥加密的数据只能使用私钥解密。

  • 私钥用于解密数据：只有持有私钥的用户才能解密数据，从而保证了数据的安全性。

4.2 构建密钥对验证的SSH原理

  1. 生成密钥对：SSH客户端通过加密算法生成一对密钥（公钥和私钥）。

  2. 分发公钥：公钥发送给服务器端，客户端保留私钥。

  3. 连接过程：

    • 客户端向SSH服务器发出请求，用联机的用户密钥进行验证。

    • 服务器检查公钥是否匹配，如果匹配则用公钥加密"质询"（challenge）并发送给客户端。

    • 客户端用私钥解密"质询"，完成身份验证。

4.3 SSH 配置文件

修改SSH服务器的配置文件 /etc/ssh/sshd_config 以启用密钥对验证，并禁用密码验证：

vim /etc/ssh/sshd_config
​
PasswordAuthentication no      # 禁用密码验证
PubkeyAuthentication yes       # 启用密钥对验证
AuthorizedKeysFile .ssh/authorized_keys  # 指定公钥库文件

4.4 生成密钥对

在客户端生成密钥对：

ssh-keygen -t rsa

根据提示完成密钥对生成，默认存放在 ~/.ssh 目录下。

4.5 上传公钥到服务器

将生成的公钥文件上传到服务器：

scp ~/.ssh/id_rsa.pub user@server:/home/user/.ssh/authorized_keys

或者使用 ssh-copy-id 命令：

ssh-copy-id -i ~/.ssh/id_rsa.pub user@server

4.6 测试连接

在客户端使用密钥对验证连接到服务器：

ssh user@server

如果设置正确，将无需输入密码即可登录。

五、安全传输文件

在日常运维中，安全地传输文件是非常重要的。本章将介绍两种安全的文件传输方法：scp 和 sftp。

5.1 使用 scp 进行文件传输

scp（Secure Copy）用于在Linux下进行远程拷贝文件，传输过程是加密的。

5.1.1 本地文件复制到服务器

scp localfile user@server:/remote/path

5.1.2 服务器文件复制到本地

scp user@server:/remote/file /local/path

5.1.3 本地目录复制到服务器

scp -r localdir user@server:/remote/path

5.2 使用 sftp 进行文件传输

sftp（Secure File Transfer Protocol）是SSH的一部分，用于安全地传输文件。

5.2.1 登录到服务器

sftp user@server

5.2.2 查看可用命令

sftp> help

5.2.3 下载文件

sftp> get remote_file /local/path

5.2.4 上传文件

sftp> put local_file /remote/path

5.2.5 切换目录和查看文件

sftp> cd remote_dir
sftp> ls

六、TCP Wrappers 访问控制

TCP Wrappers 提供了一种对TCP服务进行访问控制的机制。

6.1 安装和检查

TCP Wrappers 通常是默认安装的，可以使用以下命令检查：

rpm -q tcp_wrappers

6.2 配置访问控制

6.2.1 配置文件

  • /etc/hosts.allow：允许访问的策略。

  • /etc/hosts.deny：拒绝访问的策略。

6.2.2 实例

允许从 192.168.80.0/24 网段和 12.0.0.1 IP 地址访问 sshd 服务：

# /etc/hosts.allow
sshd: 192.168.80.*, 12.0.0.1
​
# /etc/hosts.deny
sshd: ALL

爱吃糖的蠢猫
关注
  • 28
    点赞
  • 踩
  • 9
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
CentOS的基本信息以及ssh相关内容
ho_loo的博客
12-11 409
什么是CentOS？ CentOS（Community Enterprise Operating System，中文意思是社区企业操作系统）是Linux发行版之一，它是来自于Red Hat Enterprise Linux依照开放源代码规定释出的源代码所编译而成。由于出自同样的源代码，因此有些要求高度稳定性的服务器以CentOS替代商业版的Red Hat Enterprise Linux使用。两者...
centos7安装sshd
jingde528的博客
12-01 848
centos7安装sshd yum install -y openssl openssh-server yum install openssh* systemctl enable sshd systemctl start sshd
虚拟机下CentOS7开启SSH连接
蜗牛转转的博客
04-14 1973
（备注：我这边也没联通，用了博主的方式也不行，因为不是同一个原因，我的问题在于本机的网络设置中，虚拟机的以太网IP被我设置成固定的了， 其实应该是由路由器分配的，这边的情况是这样...所以将以太网3中TCP/IP 4属性改为自动获取IP地址）12、在SSH工具（此处使用的XShell）中，新建连接，输入 CentOS 的 IP 地址、用户名、密码即可连接成功。中装了CentOS 6.3，然后主机（或者说xshell）与里面的虚拟机连不通，刚学习，一头雾水，查了半天，也不知道怎么弄。
CentOS中使用SSH远程登录
最新发布
qq_41858698的博客
07-01 1739
SSH是由 IETF(The Internet Engineering Task Force) 制定的建立在应用层基础上的安全网络协议。它是专为远程登录会话(甚至可以用Windows远程登录Linux服务器进行文件互传)和其他网络服务提供安全性的协议，可有效弥补网络中的漏洞。通过SSH，可以把所有传输的数据进行加密，也能够防止DNS欺骗和IP欺骗。还有一个额外的好处就是传输的数据是经过压缩的，所以可以加快传输的速度。
centos7开启ssh服务
热门推荐
baibaigao的博客
07-08 11万+
下shell下载方式 请参考：https://blog.csdn.net/weixin_40928253/article/details/80621724 xshell使用教程请参考：https://blog.csdn.net/Hanani_Jia/article/details/78732033 开启ssh服务需要root权限，先用root账户登陆 先检查有没有安装ssh服务：rpm -q...
CentOS7 ssh
宁静的一天的博客
11-22 331
1、查看是否安装了相关软件： rpm -qa|grep -E “openssh” 1 显示结果含有以下三个软件，则表示已经安装，否则需要安装缺失的软件 openssh-ldap-6.6.1p1-35.el7_3.x86_64 openssh-clients-6.6.1p1-35.el7_3.x86_64 openssh-6.6.1p1-35.el7_3.x86_64 opens
CentOS7开启SSH服务
热爱学习的胖子的博客
08-16 1万+
CentOS7开启SSH服务
CentOS7开启ssh服务
qq_35731100的博客
08-09 3万+
ssh 服务配置
第1集-Hadoop环境搭建 - linux（centos7） - ssh免登陆.pdf
09-17
这里我们将重点讲解CentOS7环境下的用户权限设置、SSH免密码登录以及配置文件的编辑。 1.1 用户权限与SSH免密码登录 为了方便管理和操作，我们需要将Hadoop用户提升为拥有root权限。这可以通过编辑`/etc/sudoers`...
Linux 学习笔记，基于《鸟哥的 Linux 私房菜 第四版（CentOS7）》以及各种的网络资源.zip
04-29
《鸟哥的Linux私房菜》是一本非常受欢迎的Linux入门书籍，第四版则针对CentOS 7进行了详细的讲解。这篇学习笔记结合了该书的内容以及网络上的各种资源，旨在帮助读者深入理解和掌握Linux操作系统的核心概念和技术。 ...
CentOS 7设置ssh服务自动启动
09-21
在CentOS7下，设置ssh自启动，修改ssh监听端口
linuxcast苏勇老师linux课程学习笔记
06-10
在这些笔记中，你将找到关于Linux CentOS和Redhat发行版的重点内容，它们是企业级服务器环境中广泛使用的Linux发行版。 一、Linux基础 Linux是一种开源的操作系统，它基于Unix，提供了丰富的命令行工具和图形用户...
鸟哥的 Linux 私房菜：基础学习篇 第四版 epub
07-29
7. **网络配置与应用**：涵盖网络接口配置、DNS解析、SSH远程连接、FTP服务等网络相关知识。 8. **shell脚本编程**：教学如何编写简单的bash脚本，实现自动化任务。 9. **系统服务与启动流程**：讲解系统服务（如...
centos7开启SSH服务
weixin_46757915的博客
01-14 6354
1.安装ssh yum install openssh-server 配置文件在 /etc/ssh/sshd_config，默认端口为22 2.将ssh服务添加到自启动列表中 systemctl enable sshd.service 3.启动ssh systemctl start sshd.service 4.查看端口是否运行 netstat -an | grep 22 ...
Centos7开启SSH连接配置
华章酱的博客
01-10 3662
如果有信息说明已安装了openssh-server，如果输出没有任何结果，说明没有安装。放开端口以及监听地址，去掉#，如下图。
【基于CentOS 7 的SSH服务】
很神秘的博客
07-18 3321
安全外壳协议（Secure Shell，简称SSH）是一种在不安全网络上用于安全远程登录和其他安全网络服务的协议。
centos7 安装SSH
wang704987562的博客
05-25 7万+
1.安装OpenSSH服务(CentOS系统默认安装了openssh) yum install openssh-server -y 2.配置OpenSSH服务(默认的配置已可以正常工作)OpenSSH的主配置文件：/etc/ssh/sshd_config常见的配置选项：Port=22 设置SSH的端口号是22(默认端口号为22)Protocol 2 启用SSH版本2协议ListenAddress
CentOS服务器配置全攻略：Apache、SSH、DNS、FTP与数据库
在服务器构建部分，教程涵盖了SSH服务器的构建，通过OpenSSH来提供远程安全登录，并讲解了如何使用SSH客户端进行连接。此外，教程还关注了服务器的安全性，介绍了数据完整性监测系统Tripwire、入侵监测系统...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值