其他分享
首页 > 其他分享> > SSH远程访问及控制

SSH远程访问及控制

作者:互联网

目录

一、SSH远程管理

1、SSH的概述

img

• SSH客户端: Putty、 Xshell、 CRT

• SSH服务端: OpenSSH

✔ OpenSSH 是实现SSH 协议的开源软件项目,适用于各种UNIX、Linux 操作系统

✔ Centos 7系统默认已安装openssh相关软件包,并已将sshd 服务添加为开机自启动

✔ 执行“systemctl start sshd" 命令即可启动sshd 服务

✔ sshd服务默认使用的是TCP的22端口

✔ sshd服务的默认配置文件是/etc/ssh/sshd_config

ssh_config和sshd_config都是ssh服务器的配置文件,二者区别在于前者是针对客户端的配置文件,后者则是针对服务端的配置文件

二、OpenSSH服务器

1、 SSH (Secure Shell)协议

• 是一种安全通道协议
• 对通信数据进行了加密处理,用于远程管理

2、OpenSSH

• 服务名称: sshd
• 服务端主程序: /usr/sbin/sshd
• 服务端配置文件: /etc/ssh/sshd_ config

三、配置OpenSSH服务器

1、sshd_ config配置文件的常用选项设置

vim /etc/ssh/sshd_config                    #服务端配置文件
#Port 22                        #监端口为22
#AddressFamily any                  #监听地址为任意网卡,也可以指定Openssh服务器的具体ip
#LoginGraceTime 2m                  #登录验证时间为2分钟
#PermitRootLogin yes                        #禁止root用户登录
#MaxAuthTries 6                     #最大重试次数为 6
#PermitEmptyPasswords no                    #禁止空密码用户登录
#UseDNS no                          #禁用DNS反向解析,以提高服务器的响应速度
----------------------------------------------------------------------------------
配置允许和禁止用户登录:加@表示限制ip,注意允许和禁止不要同时使用!!
AllowUsers zhangsan                 #允许zhangsan登录(多个用户以空格间隔)
AllowUsers zhangsan@192.168.80.80                   #只允许zhangsan通过192.168.80.80登录
DenyUsers lisi                      #禁止lisi登录

2、 实例操作:配置文件的常用选项

2.1 更改端口号(默认是22)

2.2 设置不允许root用户登录

2、sshd服务支持登录验证方式有:密码验证和密钥对验证,可以设置只使用其中一种,也可以都启用

2.1 密码验证:

以服务器中本地系统用户的登录名称、密码进行验证。

这种方式使用最为简便,但从客户机角度来看,正在连接的服务器有可能被假冒,从服务器角度来看,当遭遇密码暴力破解攻击时防御能力比较弱。

2.2 密钥对验证:

要求提供相匹配的密钥信息才能通过验证,通常先在客户机中创建一对密钥文件(公钥和私钥),然后将公钥文件放到服务器中的指定位置。

远程登录时,系统将使用公钥、私钥进行加密/解密关联验证,增强了远程管理的安全性。

公钥和私钥是成对生成的,这两个密钥互不相同,可以互相加密和解密;
不能根据一个密码来推算出另一个密钥;
公钥对外公开,私钥只有私钥的持有人才知道。

公钥和私钥要配对使用,如果用公钥对数据进行加密,只有用相对应的私钥才能解密;如果用私钥对数据进行加密,那么只有对应的公钥才能解密。

当密码验证、密钥对验证都启用时,服务器将优先使用密钥对验证。

对于安全性要求较高的服务器,建议将密码验证方式禁用,只允许启用密钥对验证方式;若没有特殊要求,则两种方式都可以。

可根据实际情况设置验证方式:

vim /etc/ssh/sshd_config
PasswordAuthentication yes                         #启用密码验证
PubkeyAuthentication yes                           #启用密钥对验证
AuthorizedKeysFile  .ssh/ authorized_keys         #指定公钥库文件.

四、配置密钥对验证

1.在客户端创建密钥对

通过ssh-keygen工具为当前用户创建密钥对文件。可用的加密算法为RSA、ECDSA或DSA等 ( ssh- keygen命令的“-t”选项用于指定算法类型

首先创建账户:admin
useradd admin                                   #创建新用户
echo "123456" | passwd --stdin admin                                    #设置密码
su admin                                    #切换到admin用户
 
ssh-keygen -t ecdsa                             #使用ssh-keygen进行加密
Generating public/private ecdsa key pair.      
Enter file in which to save the key (/home/admin/.ssh/id_ecdsa):        #指定私钥位置,回车选择默认
Created directory '/home/admin/.ssh'.                           #告诉我们生成的密钥对存放在目录中的隐藏目录.ssh、下
Enter passphrase (empty for no passphrase):                             #设置私钥的密码
Enter same passphrase again:                            #再次确认
 
ls -l ~/.ssh/id_ecdsa*                                  #可以查看到生成的密钥对文件
/home/admin/.ssh/id_ecdsa                               #这是私钥文件,权限默认为600
/home/admin/.ssh/id_ecdsa.pub                                   #这是公钥文件,用来提供给SSH服务器  

2.将公钥文件.上传至服务器

scp ~/.ssh/id_ecdsa.pub root@192.168.80.80:/opt         #将自己的公钥文件上传到服务器的opt目录下 
或  
cd ~/.ssh                                   #切换到密钥对所在目录,此方法在服务端创建好zhangsan用户,使用此方法直接跳过第三步
ssh-copy-id -i id_ecdsa.pub zhangsan@192.168.229.10     #这个方法可以直接在服务的/home/zhangsan/,ssh/目录中导入公钥文本   

3.在服务器中导入公钥文本

useradd zhangsan                                        #添加新用户zhangsan
echo "123456" | passwd -- stdin zhangsan                                        #设置密码
mkdir /home/zhangsan/.ssh/                                      #创建zhangsan的.ssh目录
cat /opt/id_ecdsa.pub >> /home/zhangsan/.ssh/authorized_keys                                  #将从客户端接受的公钥导入到zhangsan的公钥库中
cat /home/zhangsan/.ssh/authorized_keys                                         #使用cat命令进行查看确定  

4.在客户端使用密钥对验证、在客户机设置ssh代理功能,实现免交互登录

ssh zhangsan@192.168.229.20                             #使用密钥进行远程连接验证
Enter passphrase for key '/home/admin/.ssh/id_ecdsa':                                   #输入私钥的密码进行验证
exit                                            #退出服务器端
ssh-agent bash                                      #对客户机设置ssh代理功能,实现面交互登录     
ssh-add
Enter passphrase for /home/admin/.ssh/id_ecdsa:                                 #输入私钥进行确定
ssh zhangsan@192.168.80.80                              #再次远程连接服务器的时候无需输入密码 

五、TCP Wrappers访问控制

1、TCPWrappers机制的基本原则:

img

• 首先检查/etc/hosts.allow文件, 如果找到相匹配的策略,则允许访问

• 否则继续检查/etc/hosts.deny文件,如果找到相匹配的策略,则拒绝访问

• 如果检查上述两个文件都找不到相匹配的策略,则允许访问

“允许所有,拒绝个别”——黑名单
只需在/etc/hosts.deny文件中添加相应的拒绝策略(系统默认的就是允许所有)

“允许个别,拒绝所有”——白名单
除了在/etc/hosts .allow中添加允许策略之外,还需要在/etc/ hosts .deny文件中设置"ALL:ALL"的拒绝策略

2、实例操作

2.1 实例一:设置黑名单,不允许IP地址为192.168.3.99的主机访问sshd服务,其他都可以访问

2.2 实例二:设置白名单,只允许192.168.3.100的主机访问ssh服务

六、总结

1、ssh服务器的配置文件以及所在的位置

ssh_config:客户端的配置文件;位置:/etc/ssh/ssh_config

sshd_config:服务端的配置文件;位置:/etc/ssh/sshd_config

2、ssh服务器客户端的功能

远程登录:ssh 用户名@IP地址

复制:scp (注意主机IP后面要加冒号,复制目录时加-r)

sftp:格式跟ftp相同(上传文件和下载文件功能)

3、配置密钥对验证

流程:

在客户端创建密钥对(有公钥文件和私钥文件)

将公钥文件上传到服务器(有两种方法:一种是远程复制到服务器中,再将服务器端导入私钥文件到公钥本中;另一种方法是直接在客户端导入,服务端直接使用即可)

最后在客户端进行密钥对验证,还可以设置免密登录(ssh-agent bash 、ssh add)

4、TCP wrappers

两种访问策略文件:/etc/hosts.allow 、/etc/hosts.deny

访问的过程:先检查/etc/hosts.allow文件,有则访问,无则继续访问/etc/hosts.deny文件,若有则拒绝,无则允许访问

标签:sshd,验证,访问,密钥,服务器,zhangsan,远程,ssh,SSH
来源: https://www.cnblogs.com/xkqwy/p/16028135.html