SSH远程管理远程访问及控制

SSH远程管理

SSH(Secure Shell) 是一种安全通道协议，主要用来实现字符界面的远程登录、远程复制等功能。SSH 协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入的用户口令。与早期的 Telent (远程登录)、RSH(Remote Shell, 远程执行命令)、RCP(Remote File Copy, 远程文件复制)等应用相比， SSH协议提供了更好的安全性。

openssh是实现ssh协议的开源软件项目，适用于UNIX，linux操作系统。

openssh官网

openssh服务器由openssh、openssh-server等软件包提供（默认已经安装，并将ssh服务添加为标准的系统服务）。只要拥有合法的登录的shell都可以远程登录系统。

sshd服务的配置文件默认位于/etc/ssh/sshd_config目录下（Centos系统）

SSH配置文件信息

#服务监听选项
port 22                                        #监听端口
ListenAddress 192.168.6.16                     #监听地址
Protocol 2                                     #使用SSH V2协议（建议开启）
…………
UseDNS no                                      #禁用DNS反向解析3
#用户登录控制
LoginGraceTime 2m                              #登录验证时间为2分钟（默认为2分钟）
PermitRootLogin no                             #禁用root用户登录（默认允许root用户登录）
MaxAuthTries 6                                 #最大重试次数
…………
PermitEmptyPasswords no                        #禁止空密码用户登录（建议开启）
PasswordAuthentication yes                     #启用密码验证
PubkeyAuthentication yes                       #启用密钥对验证
AuhorizedKeysFile  .ssh/authorized_keys        #指定公钥库文件
UsePAM yes                                     #判断客户端来源是正常合法的。（会DNS反向查询客户端的主机名）
PrintMotd yes                                  #登录后显示默认信息
SyslogFacility AUTHPRIV                        #登录时记录信息，记录类型为：AUTHPRIV（服务日志存放在：/var/log/secure）

当希望只允许或禁止某些用户登录时，可以使用AllowUsers 或 DenyUsers 配置，两者用法类似(注意不要同时使用)例如：

AllowUsers jingyu ansheng chen@6.6.6.6
#只允许jingyu，ansheng chen，用户登录其中chen用户仅能够从ip地址：6.6.6.6的主机远程登录

登录验证方式

sshd 服务支持两种验证方式——密码验证、密钥对验证，可以设置只使用其中一种方式，也可以两种方式都启用。

密码验证：对服务器中本地系统用户的登录名称、密码进行验证。这种方式使用最为简便，但从客户端角度来看，正在连接的服务器有可能被假冒；从服务器角度来看，当遭遇密码

穷举(暴力破解)攻击时防御能力比较弱。

密钥对验证：要求提供相匹配的密钥信息才能通过验证。通常先在客户端中创建一对密钥文件(公钥、私钥),然后将公钥文件放到服务器中的指定位置。远程登录时，系统将使用公钥、私钥进行加密/解密关联验证，大大增强了远程管理的安全性。该方式不易被假冒，且可以免交互登录，在 Shell 中被广泛使用。

当密码验证、密钥对验证都启用时，服务器将优先使用密钥对验证。对于安全性要求较高的服务器，建议将密码验证方式禁用，只允许启用密钥对验证方式；若没有特殊要求，则两种方式都可

启用。

PasswordAuthentication yes                        #启用密码验证
PubkeyAuthentication yes                          #启用密钥对验证
AuthorizedKeysFile  .ssh/authorized_keys          #指定公钥库文件

构建密钥免密登录ssh

密钥对验证方式可以为远程登录提供更好的安全性。整个过程包括四步，首先要在 SSH 客户端以zhangsan用户身份创建密钥对，并且要将创建的公钥文件上传至SSH 服务器端，然后要将公钥信息导入服务器端的目标用户 lisi的公钥数据库，最后以服务器端用户 lisi 的身份登录验证。

创建密钥对

ssh-keygen -t ecdsa

#-t 选项用于指定算法类型,可用的加密算法为 ecdsa 或 dsa

[root@jingyu ~]# ssh-keygen -t ecdsa
Generating public/private ecdsa key pair.
Enter file in which to save the key (/root/.ssh/id_ecdsa):         #指定私钥位置（默认为/root/.ssh）
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase):                        #设置私钥短语
Enter same passphrase again:                                       #确认私钥短语
Your identification has been saved in /root/.ssh/id_ecdsa.
Your public key has been saved in /root/.ssh/id_ecdsa.pub.
The key fingerprint is:
0d:08:fa:f5:ad:f6:c0:f4:dd:ec:af:5e:02:d1:d4:61 root@jingyu
The key's randomart image is:
+--[ECDSA  256]---+
|    .         .E.|
|   . . .     o. .|
|  .   o .   . .  |
|   . . . +   .   |
|    .   S o .    |
|       o o . +   |
|        = . . + .|
|       . o   . o |
|          .  .+o.|
+-----------------+

一般直接按enter键即可。（生产环境中不建议这样做。）