Linux实验ssh配置详解
⼀、ssh详解
1、什么是ssh
简单来说，ssh是⼀种⽹络协议，⽤于计算机之间的加密登录。
如果⼀个⽤户从本地计算机，使⽤ssh协议登录另⼀台远程计算机，我们就可以认为，这种登录是安全的，即使被中途截获，密码也不会泄露。
需要指出的是，ssh只有⼀种协议，存在多种实现，既有商业实现，也有开源实现。
2、基本⽤法
（1）使⽤某个⽤户（例如user）登录远程主机host
命令：ssh user@host
（2）如果本地⽤户名和远程⽤户名⼀致，则登录时可以省略⽤户名
命令：ssh host
（3）ssh的默认端⼝是22，也就是说，你的登录请求会送进远程主机的22端⼝。使⽤-p参数，可以修改这个端⼝
命令：ssh –p 端⼝号 user@host
3、中间⼈攻击
SSH之所以能够保证安全，原因在于它采⽤了公钥加密。整个过程如下：
（1）远程主机收到⽤户的登录请求，把⾃⼰的公钥发给⽤户。
（2）⽤户使⽤这个公钥，将登录密码加密后，发送回来。
（3）远程主机⽤⾃⼰的私钥，解密登录密码，如果密码正确，就同意⽤户登录。
这个过程本⾝是安全的，但是实施的时候存在⼀个风险：如果有⼈截获了登录请求，然后冒充远程主机，将伪造的公钥发给⽤户，那么⽤户很难辨别真伪。因为不像https协议，SSH协议的公钥是没有证书中⼼（CA）公证的，也就是说，都是⾃⼰签发的。可以设想，如果攻击者插在⽤户与远程主机之间（⽐如在公共的wifi区域），⽤伪造的公钥，获取⽤户的登录密码。再⽤这个密码登录远程主机，那么SSH的安全机制就荡然⽆存了。这种风险就是著名的"中间⼈攻击"。
4、ssh的安全验证
SSH有⾃⼰的⼀套验证⽅式，可以阻拦⼤部分的攻击，当然如果有⼈想通过撞库来尝试密码的话，就只有设置防⽕墙或者做其它的安全措施了。
从客户端来看，SSH提供两种级别的安全验证。
（1）第⼀种级别（基于⼝令的安全验证）
只要你知道⾃⼰帐号和⼝令，就可以登录到远程主机。所有传输的数据都会被加密，但是不能保证你正在连接的服务器就是你想连接的服务器。可能会有别的服务器在冒充真正的服务器，也就是受到“中间⼈”这种⽅式的攻击。
（2）第⼆种级别（基于密匙的安全验证）
需要依靠密匙，也就是你必须为⾃⼰创建⼀对密匙，并把公⽤密匙放在需要访问的服务器上。如果你要连接到SSH服务器上，客户端软件就会向服务器发出请求，请求⽤你的密匙进⾏安全验证。服务器收到请求之后，先在该服务器上你的主⽬录下寻你的公⽤密匙，然后把它和你发送过来的公⽤密匙进⾏⽐较。如果两个密匙⼀致，服务器就⽤公⽤密匙加密“质
询”（challenge）并把它发送给客户端软件。客户端软件收到“质询”之后就可以⽤你的私⼈密匙解密再把它发送给服务器。
⽤这种⽅式，你必须知道⾃⼰密匙的⼝令。但是，与第⼀种级别相⽐，第⼆种级别不需要在⽹络上传送⼝令。第⼆种级别不仅加密所有传送的数据，⽽且“中间⼈”这种攻击⽅式也是不可能的（因为他没有你的私⼈密匙）。但是整个登录的过程可能需要10秒。
5、⼝令登录
（1）如果是第⼀次登录对⽅主机，系统会出现如下图的提⽰
这段话的意思是，⽆法确认host主机的真实性，只知道它的公钥指纹，问你还想继续连接吗？
所谓"公钥指纹"，是指公钥长度较长（这⾥采⽤RSA算法，长达1024位），很难⽐对，所以对其进⾏MD5计算，将它变成⼀个128位的指纹。上例中是
20:42:b3:d6:79:dc:79:ec:26:1a:54:8c:72:b7:a7:e3，再进⾏⽐较，就容易多了。
很⾃然的⼀个问题就是，⽤户怎么知道远程主机的公钥指纹应该是多少？回答是没有好办法，远程主机必须在⾃⼰的⽹站上贴出公钥指纹，以便⽤户⾃⾏核对。
（2）假设经过风险衡量后，⽤户决定接受这个远程主机的公钥
（3）、系统会出现⼀句提⽰，表⽰192.168.10.13主机已经得到认可
（4）、输⼊密码（如果密码正确，就可以登录了）
说明：
当远程主机的公钥被接受以后，它就会被保存在⽂件$HOME/.ssh/known_hosts之中。下次再连接这台主机，系统就会认出它的公钥已经保存在本地了，从⽽跳过警告部分，直接提⽰输⼊密码。
每个SSH⽤户都有⾃⼰的known_hosts⽂件，此外系统也有⼀个这样的⽂件，通常是/etc/ssh/ssh_know
n_hosts，保存⼀些对所有⽤户都可信赖的远程主机的公钥。
6、公钥登录
使⽤密码登录，每次都必须输⼊密码，⾮常⿇烦。好在SSH还提供了公钥登录，可以省去输⼊密码的步骤。
所谓"公钥登录"，原理很简单，就是⽤户将⾃⼰的公钥储存在远程主机上。登录的时候，远程主机会向⽤户发送⼀段随机字符串，⽤户⽤⾃⼰的私钥加密后，再发回来。远程主机⽤事先储存的公钥进⾏解密，如果成功，就证明⽤户是可信的，直接允许登录shell，不再要求密码。
（1）这种⽅法要求⽤户必须提供⾃⼰的公钥。如果没有现成的，可以直接⽤ssh-keygen⽣成⼀个，如下图所⽰
说明：
运⾏上⾯的命令以后，系统会出现⼀系列提⽰，可以⼀路回车。其中有⼀个问题是，要不要对私钥设置⼝令（passphrase），如果担⼼私钥的安全，这⾥可以设置⼀个。
运⾏结束以后，在$HOME/.ssh/⽬录下，会新⽣成两个⽂件：id_rsa.pub和id_rsa。id_rsa.pub是公钥，id_rsa是私钥。
（2）这时再输⼊下⾯的命令，将公钥传送到远程主机host上⾯
命令：ssh-copy-id 192.168.10.12
说明：
第⼀次是需要输⼊密码的，但之后ssh就不需要输密码了。
如果ssh-copy-id不⾏的话，就打开远程主机的/etc/ssh/sshd_config这个⽂件，检查下⾯⼏⾏前⾯"#"注释是否取掉。
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
然后，重启远程主机的ssh服务。
7、authorized_keys⽂件
远程主机将⽤户的公钥，保存在登录后的⽤户主⽬录的$HOME/.ssh/authorized_keys⽂件中。公钥就是⼀段字符串，只要把它追加在authorized_keys⽂件的末尾就⾏了。
（1）这⾥不使⽤上⾯的ssh-copy-id命令，改⽤下⾯的命令，解释公钥的保存过程： ssh user@host 'mkdir -p .ssh && cat >> .ssh/authorized_keys' < ~/.ssh/id_rsa.pub
说明：
1）、"$ ssh user@host"，表⽰登录远程主机；
2）、单引号中的mkdir .ssh && cat >> .ssh/authorized_keys，表⽰登录后在远程shell上执⾏的命令；
3）、"$ mkdir -p .ssh"的作⽤是，如果⽤户主⽬录中的.ssh⽬录不存在，就创建⼀个；
4）、'cat >> .ssh/authorized_keys' < ~/.ssh/id_rsa.pub的作⽤是，将本地的公钥⽂件~/.ssh/id_rsa.pub，重定向追加到远程⽂件authorized_keys的末尾。
5）、写⼊authorized_keys⽂件后，公钥登录的设置就完成了。
（2）通过安装lrzsz服务实现
1）、安装lrzsz服务后，使⽤sz +公钥路径下载下来
2）、通过rz命令将下载下来的公钥上传到远程主机上，将公钥重定向追加到⽂件authorized_keys的末尾
3）、写⼊authorized_keys⽂件后，公钥登录的设置就完成了。
⼆、ssh⾃定义安全设置
1、为了ssh登陆的时候加⼀层保护，可以修改默认端⼝。修改ssh服务配置⽂件/etc/ssh/sshd_config
port 2222
这样远程连接时加上端⼝
ssh 192.168.10.13 -p 2222
2、ssh使⽤时加-l后⾯跟⽤户名，表⽰登陆到对⽅的这个⽤户下⾯。
ssh -l user 192.168.10.13 -p 2222
等同于
ssh user@192.168.10.13 -p 2222
3、限制ssh登陆的来源ip，⽩名单设置（hosts.allow优先级最⾼）
1）、通过iptables设置ssh端⼝的⽩名单，如下设置只允许192.168.1.0/24⽹段的客户机可以远程连接本机
Iptables -A INPUT -s 192.168.1.0/24 -p tcp -m state --state NEW -m tcp --dport 2222 -j ACCEPT
或者
vim /etc/sysconfig/iptables
-A INPUT -s 192.168.1.0/24 -p tcp -m state --state NEW -m tcp --dport 2222 -j ACCEPT
2）、通过/etc/hosts.allow⾥⾯进⾏限制(如下)，/etc/hosts.deny⽂件不要任何内容编辑，保持默认！ssh命令指定端口
vim /etc/hosts.allow
sshd:192.168.1.*,192.168.9.*,124.65.197.154,61.148.60.42,103.10.86.7:allow
sshd:all:deny
4、仅允许特定的⽤户通过SSH登陆
如不允许root⽤户登录；
只允许⼏个指定的⽤户登录(⽐如wangshibo、guohuihui、liuxing⽤户)
禁⽌某些指定的⽤户登录（⽐如zhangda，liqin⽤户）
但是要注意：设置的这⼏个⽤户必须同时存在于本机和对⽅机器上
修改ssh服务配置⽂件/etc/ssh/sshd_config
PermitRootLogin no //将yes修改为no
AllowUsers wangshibo guohuihui liuxing //这个参数AllowUsers如果不存在，需要⼿动创建，⽤户之间空格隔开；
DenyUsers zhagnda liqin //这个参数DenyUsers如果不存在，需要⼿动创建，⽤户之间空格隔开；
也可以设置仅允许某个组的成员通过ssh访问主机。
AllowGroups wheel ops
5、取消密码验证，只⽤密钥对验证
修改ssh服务配置⽂件/etc/ssh/sshd_config
PasswordAuthentication no
PubkeyAuthentication yes
6、给账号设置复杂的密码：将密码保存到⽂本进⾏复制和粘帖就可以了
#rpm -ivh expect-5.43.0-5.1.i386.rpm| yum -y install expect
mkpasswd -l 128 -d 8 -C 15 -s 10 //将下⾯密码保存到⽂本进⾏复制、粘贴即可
lVj.jg&sKrf0cvtgmydqo7qPotxzxen9mefy?ej!kcaX2gQrcu2ndftkeamllznx>iHikTagiVz0$cMtqOcIypkpd,vvD*kJhs3q@sb:CiCqgtqdqvse5lssfmranbtx
参数说明：
-l 密码长度
-d 多少个数字
-C ⼤写字母个数
-s 特殊符号的个数
7、只允许通过指定的⽹络接⼝来访问SSH服务，(如果本服务器有多个IP的时候)
仍然是修改/etc/ssh/sshd_config，如下：
ListenAddress 192.168.1.15 //默认监听的是0.0.0.0
这样，就只允许远程机器通过ssh连接本机的192.168.1.15内⽹ip来进⾏登陆了。
8、禁⽌空密码登录
如果本机系统有些账号没有设置密码，⽽ssh配置⽂件⾥⼜没做限制，那么远程通过这个空密码账号就可以登陆了，这是及其不安全的，所以⼀定要禁⽌空密码登陆。修
改/etc/ssh/sshd_config，如下：
PermitEmptyPasswords no //这⼀项，默认就是禁⽤空密码登陆
9、 ssh_config和sshd_config
ssh_config和sshd_config都是ssh服务器的配置⽂件，⼆者区别在于，前者是针对客户端的配置⽂件，后者则是针对服务端的配置⽂件。两个配置⽂件都允许你通过设置不同的选项来改变客户端程序的运⾏⽅式。
三、ssh配置⽂件详解
1、/etc/ssh/ssh_config配置⽂件
选项参数说明
Host * 选项“Host”只对能够匹配后⾯字串的计算机有效。“*”表⽰所有的计算机。
ForwardAgent no 设置连接是否经过验证代理（如果存在）转发给远程计算机。
ForwardX11 no 设置X11连接是否被⾃动重定向到安全的通道和显⽰集（DISPLAY set）
RhostsAuthentication no 设置是否使⽤基于rhosts的安全验证
RhostsRSAAuthentication no 设置是否使⽤⽤RSA算法的基于rhosts的安全验证
RSAAuthentication yes 设置是否使⽤RSA算法进⾏安全验证
PasswordAuthentication yes 设置是否使⽤⼝令验证
FallBackToRsh no 设置如果⽤ssh连接出现错误是否⾃动使⽤rsh
UseRsh no 设置是否在这台计算机上使⽤“rlogin/rsh”
BatchMode no 如果设为“yes”，passphrase/password（交互式输⼊⼝令）的提⽰将被禁⽌。当不能交互式输⼊⼝令的时候，这个选项对脚本⽂件和批处理任务⼗分有⽤
CheckHostIP yes 设置ssh是否查看连接到服务器的主机的IP地址以防⽌DNS欺骗。建议设置为“yes”
StrictHostKeyChecking no 如果设置成“yes”，ssh就不会⾃动把计算机的密匙加⼊“$HOME/.ssh/known_hosts”⽂件，并且⼀旦计算机的密匙发⽣了变化，就拒绝连接
IdentityFile ~/.ssh/identity 设置从哪个⽂件读取⽤户的RSA安全验证标识
Port 22 设置连接到远程主机的端⼝
Cipher blowfish 设置加密⽤的密码
EscapeChar ~ 设置escape字符
2、/etc/ssh/sshd_config配置⽂件
参数选项说明
Port 22 SSH 预设使⽤ 22 这个 port，您也可以使⽤多的 port ！
Protocol 2,1 选择的 SSH 协议版本，可以是 1 也可以是 2 ，如果要同时⽀持两者，就必须要使⽤ 2,1 这个分隔了！
ListenAddress 0.0.0.0 监听的主机适配卡！举个例⼦来说，如果您有两个 IP，分别是 192.168.0.100 及 192.168.2.20 ，那么只想要开放 192.168.0.100 时，就可以写如同下⾯的样式：
ListenAddress 192.168.0.100 只监听来⾃ 192.168.0.100 这个 IP 的SSH联机。如果不使⽤设定的话，则预设所有接⼝均接受 SSH
PidFile /var/run/sshd.pid 可以放置 SSHD 这个 PID 的档案！左列为默认值
LoginGraceTime 600 当使⽤者连上 SSH server 之后，会出现输⼊密码的画⾯，在该画⾯中，在多久时间内没有成功连上 SSH server ，就断线！时间为秒！
Compression yes 是否可以使⽤压缩指令？
HostKey /etc/ssh/ssh_host_key SSH version 1 使⽤的私钥
HostKey /etc/ssh/ssh_host_rsa_key SSH version 2 使⽤的 RSA 私钥
HostKey /etc/ssh/ssh_host_dsa_key SSH version 2 使⽤的 DSA 私钥
KeyRegenerationInterval 3600 由前⾯联机的说明可以知道， version 1 会使⽤ server 的 Public Key ，每隔⼀段时间来重新建⽴⼀次！时间为秒！
ServerKeyBits 768 Server key 的长度！
SyslogFacility AUTH 当有⼈使⽤ SSH 登⼊系统的时候，SSH会记录信息
LogLevel INFO 登录记录的等级---》全部
PermitRootLogin no 是否允许 root 登⼊！预设是允许的，但是建议设定成 no！
UserLogin no 在 SSH 底下本来就不接受 login 这个程序的登⼊！
StrictModes yes 当使⽤者的 host key 改变之后，Server 就不接受联机
RSAAuthentication yes 是否使⽤纯的 RSA 认证！？仅针对 version 1 ！
PubkeyAuthentication yes 是否允许 Public Key ？只有 version 2
AuthorizedKeysFile .ssh/authorized_keys 设定若要使⽤不需要密码登⼊的账号时，那么那个账号的存放档案所在档名！
RhostsAuthentication no 本机系统不使⽤ .rhosts ， .rhosts 不安全！
IgnoreRhosts yes 是否取消使⽤ ~/.ssh/.rhosts 来做为认证！
RhostsRSAAuthentication no 针对 version 1 ，使⽤ rhosts 档案在/etc/hosts.equiv配合 RSA 演算⽅式来进⾏认证！
HostbasedAuthentication no 这个项⽬与上⾯的项⽬类似，不过是给 version 2 使⽤的！
IgnoreUserKnownHosts no 是否忽略家⽬录内的 ~/.ssh/known_hosts 这个档案所记录的主机内容
PasswordAuthentication yes 密码验证当然是需要的！
PermitEmptyPasswords no 上⾯那⼀项如果设定为 yes 的话，这⼀项就最好设定为 no ，这个项⽬在是否允许以空的密码登⼊！
ChallengeResponseAuthentication yes 挑战任何的密码认证！所以，任何 f 规定的认证⽅式，均可适⽤！
PAMAuthenticationViaKbdInt yes 是否启⽤其它的 PAM 模块！启⽤这个模块将会导致 PasswordAuthentication 设定失效！
与Kerberos 有关的参数设定！底下不⽤设定
KerberosAuthentication no
KerberosOrLocalPasswd yes
KerberosTicketCleanup yes
KerberosTgtPassing no
有关在 X-Window 底下使⽤的相关设定
X11Forwarding yes
X11DisplayOffset 10
X11UseLocalhost yes
PrintMotd no 登⼊后是否显⽰出⼀些信息呢？例如上次登⼊的时间、地点等，预设是 yes ，但是，如果为了安全，可以考虑改为 no ！
PrintLastLog yes 显⽰上次登⼊的信息！预设也是 yes
KeepAlive yes ⼀般⽽⾔，如果设定这项⽬的话，那么 SSH Server 会传送KeepAlive 的讯息给 Client 端，以确保两者的联机正常！在这个情况下，任何⼀端死掉后， SSH 可以⽴刻知道！⽽不会有僵⼫程序的发⽣UsePrivilegeSeparation yes 使⽤者的权限设定项⽬！
MaxStartups 10 同时允许⼏个尚未登⼊的联机画⾯
DenyUsers * 设定受抵挡的使⽤者名称
AllowUsers * 设定允许的使⽤者名称
四、ssh练习
1、配置ssh只能使⽤key登录
（1）、远程主机的配置过程（主机192.168.10.13）
①修改主机192.168.10.13的配置⽂件，使其⽀持使⽤ssh私钥登录
Vim /etc/ssh/sshd_config
取消下⾯三⾏的注释，如图1所⽰
RSAAuthentication yes ##设置是否使⽤RSA算法进⾏安全验证
PubkeyAuthentication yes ##是否允许 Public Key ？只有 version 2
AuthorizedKeysFile .ssh/authorized_keys ##设定若要使⽤不需要密码登⼊的账号时，那么那个账号的存放档案所在档名！
图1、取消相关注释
重启sshd服务即可
②关闭root⽤户使⽤密码登录
修改主机192.168.10.13的配置⽂件/etc/ssh/sshd_config，将PasswordAuthentication 后⾯的yes改为no，如图2所⽰
PasswordAuthentication no ##设置是否使⽤⼝令验证
图2、把yes改为no
重启sshd服务即可
（2）本机的配置过程（主机192.168.10.11）
①使⽤ssh-keygen⽣成公钥和私钥，如图3所⽰
图3、ssh-keygen⽣成公钥和私钥
②直接使⽤ssh⼝令登录来验证刚刚的配置是否成功
在主机192.168.10.11上，ssh 192.168.10.13我们可以发现ssh不进去了，如图4所⽰
图4、验证使⽤⼝令是否ssh成功
③将主机192.168.10.11的公钥上传到主机192.168.10.13上
a.安装lrzsz服务
Yum install –y lrzsz
b.使⽤sz命令下载公钥，如图5所⽰
图5、下载公钥
c.将公钥上传要主机192.168.10.13上，如图6所⽰
图6、上传公钥
d.将公钥追加到⽂件authorized_keys⾥
[root@localhost ~]# cat id_rsa.pub >> /root/.ssh/authorized_keys
e.在主机192.168.10.11上验证是否能够成功ssh到主机192.168.10.13上，如图7所⽰
图7、成功ssh到主机192.168.10.13
2、指定可以登录的主机和不可以登录的主机
（1）⽅法⼀、修改⽂件/etc/hosts.allow和/etc/hosts.deny
①修改主机192.168.10.13的⽂件/etc/hosts.allow和/etc/hosts.deny
在⽂件/etc/hosts.allow添加⼀条允许主机192.168.10.11 ssh的记录，如图8所⽰
图8、允许主机192.168.10.11 ssh
在⽂件/etc/hosts.deny添加⼀条拒绝主机192.168.10.12 ssh的记录，如图9所⽰
图9、拒绝主机192.168.10.12 ssh
发表评论