三、认证阶段

SSH提供两种认证方法：

基于口令的认证（password认证）：客户端向服务器发出password认证请求，将用户名和密码加密后发送给服务器，服务器将该信息解密后得到用户名和密码的明文，与设备上保存的用户名和密码进行比较，并返回认证成功或失败消息。

基于密钥的认证（publickey认证）：客户端产生一对公共密钥，将公钥保存到将要登录的服务器上的那个账号的家目录的.ssh/authorized_keys文件中。认证阶段：客户端首先将公钥传给服务器端。服务器端收到公钥后会与本地该账号家目录下的authorized_keys中的公钥进行对比，如果不相同，则认证失败；否则服务端生成一段随机字符串，并先后用客户端公钥和会话密钥对其加密，发送给客户端。客户端收到后将解密后的随机字符串用会话密钥发送给服务器。如果发回的字符串与服务器端之前生成的一样，则认证通过，否则，认证失败。

注：服务器端对客户端进行认证，如果认证失败，则向客户端发送认证失败消息，其中包含可以再次认证的方法列表。客户端从认证方法列表中选取一种认证方法再次进行认证，该过程反复进行。直到认证成功或者认证次数达到上限，服务器关闭连接为止。

[root@server ~]# vim /etc/ssh/sshd_config    //默认配置文件

21 . #Port 22 # 默认监听 22 端口 , 可修改

22 . #AddressFamily any # IPV4 和 IPV6 协议家族用哪个， any 表示二者均有

23 . #ListenAddress 0.0.0.0 # 指明监控的地址， 0.0.0.0 表示本机的所有地址 ( 默认可修改 )

24 . #ListenAddress :: # 指明监听的 IPV6 的所有地址格式

26 . #HostKey /etc/ssh/ssh_host_rsa_key # rsa 私钥认证 , 默认

27 . #HostKey /etc/ssh/ssh_host_ecdsa_key # ecdsa 私钥认证

28 . #HostKey /etc/ssh/ssh_host_ed25519_key # ed25519 私钥认证

34 #SyslogFacility AUTH # ssh 登录系统的时会记录信息并保存在 /var/log/secure

35 . #LogLevel INFO # 日志的等级

39 . #LoginGraceTime 2m # 登录的宽限时间，默认 2 分钟没有输入密码，则自动断开连接

40 PermitRootLogin yes # 允许管理员 root 登录

41 . #StrictModes yes # 是否让 sshd 去检查用户主目录或相关文件的权限数据

42 . #MaxAuthTries 6 # 最大认证尝试次数，最多可以尝试 6 次输入密码。之后需要等待某段时间后才能

再次输入密码

43 . #MaxSessions 10 # 允许的最大会话数

49 .AuthorizedKeysFile .ssh/authorized_keys # 选择基于密钥验证时，客户端生成一对公私钥之

后，会将公钥放到 .ssh/authorizd_keys 里面

65 #PasswordAuthentication yes # 登录 ssh 时是否进行密码验证

66 #PermitEmptyPasswords no # 登录 ssh 时是否允许密码为空

123 .Subsystem sftp /usr/libexec/openssh/sftp-server # 支持 SFTP ，如果注释掉，则不支持

sftp 连接

AllowUsers user1 user2 # 登录白名单（默认没有这个配置，需要自己手动添加），允许远程客户端可以登录我的哪个用户。 如果名单中没有的用户，则提示拒绝登录

四、ssh实验

1.修改ssh服务器的端口号

服务端操作：
[root@server ~]# vim /etc/ssh/sshd_config  编辑配置文件，修改端口号
21 Port 2222       21行端口号修改成2222
[root@server ~]# getenforce 
Enforcing
[root@server ~]# setenforce 0     关闭selinux
[root@server ~]# systemctl stop firewalld     关防火墙
[root@server ~]# systemctl restart sshd        重启服务
[root@server ~]# netstat -lnutp | grep ssh      查看端口已修改
tcp        0      0 127.0.0.1:6010          0.0.0.0:*               LISTEN      34398/sshd: root@pt 
tcp        0      0 0.0.0.0:2222            0.0.0.0:*               LISTEN      34458/sshd: /usr/sb 
tcp6       0      0 :::2222                 :::*                    LISTEN      34458/sshd: /usr/sb 
tcp6       0      0 ::1:6010                :::*                    LISTEN      34398/sshd: root@pt 

客服端操作：
[root@client ~]# ssh root@192.168.31.128   登录被拒绝，默认22号端口已关闭
ssh: connect to host 192.168.31.128 port 22: Connection refused

[root@client ~]# ssh root@192.168.31.128 -p 2222   指明以2222端口登录服务端
The authenticity of host '[192.168.31.128]:2222 ([192.168.31.)' can't be established.
ED25519 key fingerprint is SHA256:xBiJa2NTGydTZe3EvwYGu8juGGACLeRBrc.
This key is not known by any other names
Are you sure you want to continue connecting (yes/no/[fingerpes
Warning: Permanently added '[192.168.31.128]:2222' (ED25519) st of known hosts.
root@192.168.31.128's password:   输入密码
Activate the web console with: systemctl enable --now cockpit

Register this system with Red Hat Insights: insights-client -
Create an account or view all your systems at https://red.ht/dashboard
Last login: Sat Nov  2 18:17:31 2024 from 192.168.31.1
[root@server ~]# 

2.拒绝root账户远程登录

使用配置文件中的Permitrootlogin参数进行实现

参数值：

服务端：

[root@server ~]# vim /etc/ssh/sshd_config

PermitRootLogin no    参数值改成no
[root@server ~]# systemctl restart sshd

客户端：

[root@client ~]# ssh root@192.168.31.128

root@192.168.31.128's password: 密码

[root@server ~]#   登录进去了    

！！！问题来了，当我发现修改主配置文件/etc/ssh/sshd_config里面的PermitRootLogin选项不生效时，应该配置以下文件：

[root@server ~]# vim /etc/ssh/sshd_config.d/01-permitrootlogin.conf 

PermitRootLogin no
[root@server ~]# systemctl restart sshd    再重启服务

客服端重新登录服务端
[root@client ~]# ssh root@192.168.31.128
root@192.168.31.128's password: 
Permission denied, please try again.