OpenSSH 服务管理OpenSSH 服务介绍SSH 介绍SSH 全称是Secure ShellSSH协议是基于应用层的协议为远程登录会话和其他网络服务提供安全性的协议。实现此功能的传统方式如 telnet (终端仿真协议)、 rcp、ftp、 rlogin、rsh都是极为不安全的并且会使用明文传送密码。OpenSSH 提供了服务端后台程序和客户端工具用来加密远程控件和文件传输过程中的数据并由此来代替原来的类似服务。SSH 建立连接的过程主要分为下面几个阶段SSH协议版本协商阶段SSH目前包括SSH1和SSH2两个大版本。密钥和算法协商阶段SSH支持多种加密算法双方根据自己和对端支持的算法进行协商最终决定要使用的算法。认证阶段服务器和客户端互相进行身份验证。会话请求阶段客户端会向服务器端发送会话请求。会话请求分为这样几类申请对数据传送进行压缩、申请伪终端、启动 X11、TCP/IP 端口转发、启动认证代理等。交互会话阶段会话请求通过后服务器端和客户端进行信息的交互。例如运行 shell、执行命令、传递文件。加密类型对称加密加密和解密都使用一个钥匙。确保数据的完整性、速度快。非对称加密一对钥匙。公钥用来加密数据。私钥用来解密数据。确保数据的安全性。双向加密过程SSH协议是基于非对称加密方法的服务器和客户端都会生成自己的公钥和私钥。公钥用来加密数据。私钥用来解密数据。双向加密过程服务器创建密钥对。远程服务器会在/etc/ssh目录下生成一个名为多个密钥对例如ecdsa类型的密钥对ssh_host_ecdsa_key.pub 公钥和 ssh_host_ecdsa_key 私钥。之后每回启动sshd服务的时候系统会自动在此路径下查找公钥。客户端请求连接。服务器接到请求后把公钥传给客户端使用。客户端记录服务器公钥并计算自己的公私钥。客户端将服务器传来的公钥记录在**~/.ssh/known_hosts** 中若是已经记录有该服务器公钥则比对是否一致一致后就计算客户端自己的公私钥。[dengclient ~19:16:36]$sshserver The authenticity ofhostserver (10.1.8.10)cant be established. ECDSA key fingerprint is SHA256:KTP3/4VydNwCIpOUzpd0C5IhvjfirHy1U8IHIt8ZdM. ECDSA key fingerprint is MD5:33:24:9b:48:f7:d2:c5:73:3e:40:d0:38:0e:a7:da:7c. Are you sure you want tocontinueconnecting(yes/no)?# 作用# 1. 接收server提供的公钥使用这个公钥加密数据发送给对方。# 2. 校验对方的公钥是否正确。如果本地已经提前存储过对方的公钥了客户端使用服务器的公钥加密自己的公钥并发送给服务器。服务器端拥有客户端公钥自己私钥客户端拥有服务器公钥自己私钥组成了非对称加密系统。双向加解密。服务器发送数据用客户端公钥加密客户端收到数据后用自己私钥解密。客户端发送数据用服务器公钥加密服务器收到数据后用自己私钥解密。使用 ssh 访问远端CLIssh 工具演示方式一只指定IP或主机名# 通过IP地址[dengcentos7 ~19:40:12]$ssh10.1.8.10 The authenticity ofhost10.1.8.10 (10.1.8.10)cant be established. ECDSA key fingerprint is SHA256:pplZ4EZPQ8M/f7qvKaAffxbfvKYJg9HCojrmqctkck. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes Warning: Permanently added 10.1.8.10 (ECDSA) to the list of known hosts. deng10.1.8.10s password: redhat Activate the web console with: systemctlenable--nowcockpit.socket Last login: Wed Jul2319:40:122026from10.1.8.1[dengcentos7 ~]$# 通过主机名称[dengcentos7 ~19:40:28]$sshserver The authenticity ofhostserver (10.1.8.10)cant be established. ECDSA key fingerprint is SHA256:pplZ4EZPQ8M/f7qvKaAffxbfvKYJg9HCojrmqctkck. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes Warning: Permanently added server,10.1.8.10 (ECDSA) to the list of known hosts. dengservers password: redhat Activate the web console with: systemctlenable--nowcockpit.socket Last login: Wed Jul2319:40:282026from10.1.8.1方式二额外指定用户名# 指定root用户登录[dengcentos7 ~19:40:45]$sshrootserver# 或者[dengcentos7 ~19:40:58]$ssh-lroot server方式三额外指定命令# 同时指定用户和命令[dengcentos7 ~19:41:12]$sshdengserverhostnamedengservers password: redhat server.laoma.cloud # shell提示符仍然是本机。 [dengcentos7 ~ 19:41:28]$ [dengcentos7 ~ 19:41:41]$ ssh rootserver hostname;id rootservers password: redhat server.laoma.clouduid0(root)gid0(root)组0(root)环境unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023ssh工具配置文件[rootcentos7 ~19:41:58]$manssh_config~/.ssh/config用户自己的配置优先级高于全局配置。文件权限不得高于644。/etc/ssh/ssh_config全局配置应用于所有用户。示例[dengcentos7 ~19:42:15]$mkdir.ssh[dengcentos7 ~19:42:28]$chmod700.ssh[dengcentos7 ~19:42:41]$vim~/.ssh/config Host * StrictHostKeyChecking no User root PreferredAuthentications Pubkey[dengcentos7 ~19:42:54]$chmod600.ssh/config# 清空其他主机秘钥[dengcentos7 ~19:43:07]$.ssh/known_hosts# 再次登录不会提示主机key是否校验验证用户也是root[dengcentos7 ~19:43:20]$sshserver Warning: Permanently addedserver,10.1.8.10(ECDSA)to the list of known hosts. rootservers password:参数说明Host*匹配所有目标服务器。StrictHostKeyChecking no连接目标服务器不校验主机key直接接受。User root连接目标服务器默认使用laoma账户。PreferredAuthentications password连接目标服务器使用密码认证。IdentityFile指定私钥位置。配置文件权限建议设置为只能用户自己读写。[dengcentos7 ~19:43:33]$sshserver Bad owner or permissions on /home/deng/.ssh/config[dengcentos7 ~19:43:46]$chmod600.ssh/config[dengcentos7 ~19:43:59]$sshserver rootservers password:配置 ssh 密钥认证使用密钥登录避免输入密码更安全。配置过程# 客户端生成密钥对[dengcentos7 ~19:44:15]$ ssh-keygen Generating public/private rsa key pair.# 私钥保存位置Enterfileinwhichto save the key(/home/deng/.ssh/id_rsa): 回车# 私钥加密密码回车表示不加密Enter passphrase(emptyforno passphrase): 回车# 再次回车Enter same passphrase again: 回车 Your identification has been savedin/home/deng/.ssh/id_rsa. Your public key has been savedin/home/deng/.ssh/id_rsa.pub. The key fingerprint is: SHA256:OAfLyL6KIXr44DV7vhpystqqXwsbFl2tGP6HZP4GLR4 dengserver.laoma.cloud The keys randomart image is: ---[RSA2048]----|||.||.o.|| *||.* O.S||oE.||o..||*B.o.||OB**o...|----[SHA256]-----# 查看生成的文件[dengcentos7 ~19:44:32]$ls.ssh/ config id_rsa id_rsa.pub known_hosts# 将公钥推动给目标服务器上的目标用户[dengcentos7 ~19:44:45]$ ssh-copy-id dengserver# 验证[dengcentos7 ~19:44:58]$sshdengserverhostnameserver.laoma.cloud# 推送公钥相当于# 将公钥内容保存到目标服务器上目标用户家目录下.ssh/authorized_keys中[dengcentos7 ~19:45:11]$cat.ssh/id_rsa.pub ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDtFoo/sDpB1uBw9XMuXLcO//RgghgHeYjdibXMCtw5UUf/H5lYcP4ZjCbQTdmH7n0ZkxYriIUQ6atY0Jel3sWzCD3K9DSU8g5Ux2wjCrVhFJGTtsMXeIXqQW0MqY2Gn9KtC098JKlzikUzSbDe61vyqCYHVeBNmWtTtZORhywHlN4HxLIGOlGvnPrXI8uhdgBqV6Sxo0XkpOvB2y0Kjxb0SQUCYpdkT/cJqUz2Bm/diPEDmHPvlVn3/chD7UvtwQhGCFEPGBawQIsb7sT73UpIQ20vaxjs8okQ1XZNzHW1KnLBhYskrtWU7HIHHTWObpw5mwoXj64wcPX dengcentos7.laoma.cloud# 在server端查看[dengserver ~19:45:24]$cat.ssh/authorized_keys ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDtFoo/sDpB1uBw9XMuXLcO//RgghgHeYjdibXMCtw5UUf/H5lYcP4ZjCbQTdmH7n0ZkxYriIUQ6atY0Jel3sWzCD3K9DSU8g5Ux2wjCrVhFJGTtsMXeIXqQW0MqY2Gn9KtC098JKlzikUzSbDe61vyqCYHVeBNmWtTtZORhywHlN4HxLIGOlGvnPrXI8uhdgBqV6Sxo0XkpOvB2y0Kjxb0SQUCYpdkT/cJqUz2Bm/diPEDmHPvlVn3/chD7UvtwQhGCFEPGBawQIsb7sT73UpIQ20vaxjs8okQ1XZNzHW1KnLBhYskrtWU7HIHHTWObpw5mwoXj64wcPX dengcentos7.laoma.cloud# 推给目标主机root用户[rootserver ~19:45:37]$mkdir-m700.ssh[rootserver ~19:45:50]$cp~deng/.ssh/authorized_keys .ssh# 客户端验证[dengcentos7 ~19:46:03]$sshrootserverhostnameserver.laoma.cloud以非交互方式生成密钥对[dengcentos7 ~19:46:16]$ ssh-keygen-trsa-N-fid_rsa_new[dengcentos7 ~19:46:29]$ls*new* id_rsa_new id_rsa_new.pub其他选项# -i 指定私钥位置[dengcentos7 ~19:46:42]$mv.ssh/id_rsa /tmp[dengcentos7 ~19:46:55]$ssh-i/tmp/id_rsa rootserverhostnameserver.laoma.cloud# 如果找不到密钥则使用密码登录# -p 选项指定目标服务器 sshd 服务端口号默认22[dengcentos7 ~19:47:08]$ssh-lroot-p1022serverhostnamerootservers password: server.laoma.cloud排故故障配置密钥登录后远程登录仍要需要输入密码验证。[rootcentos7 ~19:47:21]$sshroot10.1.8.10hostnameroot10.1.8.10s password:模拟将目标主机上目标用户的家目录的权限改为777。[rootserver ~19:47:34]$chmod777/root处理过程查看日志# 客户端登录的时候监控服务端日志[rootserver ~19:47:47]$tail-f/var/log/secure......Jul2316:13:41 server sshd[3693]: Authentication refused: bad ownership or modesfordirectory /root......发现提示文件权限有问题。查找文件权限。[rootserver ~]# ls -ld /rootdrwxrwxrwx.3root root4096Jul2316:09 /root# 更改权限[rootserver ~]# chmod 700 /root加固 SSH 服务配置文件sshd服务配置文件/etc/ssh/sshd_config。帮助sshd_config(5)常见配置PermitRootLogin prohibit-password禁止root用户通过密码登录。PermitRootLogin no禁止 root 用户登录。root用户权限不受限制。root用户存在每个linux系统只需要猜密码就可以。从审计角度来看很难跟踪哪个授权用户以root身份登录并进行了更改。 如果用户必须以普通用户身份登录并切换到root帐户则会生成一个日志事件可用于帮助提供问责制。PasswordAuthentication no禁止用户使用密码登录。AllowUsers exampleuser允许特定用户登录该用户可以提权为root。UseDNS no客户端连接服务器的时候服务器不需要反向解析服务端IP地址提高连接速度。1. 禁止 root 密码登录环境准备提前配置好 root 秘钥登录。[rootcentos7 ~19:48:03]$vim/etc/ssh/sshd_config#PermitRootLogin yes# 添加一行PermitRootLogin prohibit-password# 重启服务[rootcentos7 ~19:48:16]$ systemctl reload sshd连接测试# 即使使用正确的密码也无法远程登录[dengcentos7 ~19:48:29]$sshrootserver rootservers password: Permission denied, please try again. rootservers password: Permission denied, please try again. rootservers password: Permission denied(publickey,gssapi-keyex,gssapi-with-mic,password).# 如果配置了秘钥登录则需要使用选项强制密码认证[dengcentos7 ~19:48:42]$ssh-oPreferredAuthenticationspassword rootserver2. 禁止 root 登录环境准备[rootcentos7 ~19:48:55]$vim/etc/ssh/sshd_config#PermitRootLogin yes# 添加一行PermitRootLogin no# 重启服务[rootcentos7 ~19:49:08]$ systemctl reload sshd连接测试不管是密码还是秘钥都无法登录# 即使配置了免密登录也无法远程登录[dengcentos7 ~19:49:21]$sshrootserver rootservers password: Permission denied, please try again. rootservers password: Permission denied, please try again. rootservers password: Permission denied(publickey,gssapi-keyex,gssapi-with-mic,password).# 但是可以使用普通用户登录然后提权为root用户[dengcentos7 ~19:49:34]$sshdengserver[dengserver ~]$su-[rootserver ~]#3. 禁止密码登录环境准备[rootcentos7 ~19:49:47]$vim/etc/ssh/sshd_config# 注释原有行#PasswordAuthentication yes# 添加新行设置为noPasswordAuthentication no# 重启服务[rootcentos7 ~19:50:00]$ systemctl reload sshd连接测试秘钥可以登录# deng账户未配置密钥登录直接拒绝[dengcentos7 ~19:50:13]$ssh-oPreferredAuthenticationspassword dengserver Permission denied(publickey,gssapi-keyex,gssapi-with-mic).# 秘钥登录仍然支持[dengcentos7 ~19:50:26]$sshdengserver Last login: Thu Jul2310:35:052026from10.1.8.114. 只允许特定用户登录环境准备laowang用户也可以秘钥登录。[rootcentos7 ~19:50:39]$useraddlaowang[rootcentos7 ~19:50:52]$echo123|passwd--stdinlaowang[rootcentos7 ~19:51:05]$mkdir-m700/home/laowang/.ssh/[rootcentos7 ~19:51:18]$cp.ssh/authorized_keys /home/laowang/.ssh/[rootcentos7 ~19:51:31]$chown-Rlaowang:laowang /home/laowang/.ssh/配置sshd服务[rootcentos7 ~19:51:44]$vim/etc/ssh/sshd_config# 最后添加一行AllowUsers deng# 重启服务[rootcentos7 ~19:51:57]$ systemctl reload sshd测试连接deng 可以通过秘钥认证登录laowang不管通过什么方式认证都不可以登录。[dengcentos7 ~19:52:10]$sshlaowangserverhostnamePermission denied(publickey,gssapi-keyex,gssapi-with-mic).[dengcentos7 ~19:52:23]$sshdengserverhostnameserver.laoma.cloud