SSH(secure shell)协议
一种安全通道协议,主要用来实现字符界面的远程登录、远程复制等功能。
协议对通信双方的数据传输进行了加密处理,其中包括用户登录时输入的用户口令
SSH客户端<-----------------网络------------------->SSH服务端
数据传输是加密的,可以防止信息泄漏数据传输是压缩的,可以提高传输速度
SSH客户端: Putty、Xshell、 CRT
SSH服务端: OpenSSH
SSH服务端 OpenSSH
OpenSSH 是实现 SSH 协议的开源软件项目,适用于各种 UNIX、Linux 操作系统
Centos 7系统默认已安装openssh相关软件包,并已将 sshd 服务添加为开机自启动。
sshd 服务默认使用的是TCP的 22端口 密文
telnet服务默认使用的是TCP的 23端口 明文
服务名称 sshd
服务端主程序 /usr/sbin/sshd
服务端配置文件 /etc/ssh/sshd_config执行 systemctl start sshd 命令即可启动 sshd 服务
ssh config和sshd config都是ssh服务器的配置文件,
二者区别在于ssh是针对客户端的配置文件,sshd则是针对服务端的配置文件。
配置openSSH 服务端
查看openssh服务是否启动
systemctl status sshd netstat -lntp ss -lntp
修改openssh配置
vim /etc/ssh/sshd_config Port 22 #监听端口为 22 ✨ ListenAddress 0.0.0.0 #监听地址为任意网段,也可以指定openSSH服务器的具体IP LoginGraceTime 2m #登录验证时间为 2 分钟 PermitRootLogin no #禁止 root 用户登录 ✨ MaxAuthTries 6 #最大重试次数为 6 PermitEmptyPasswords no #禁止空密码用户登录 ✨ UseDNS no #禁用 DNS 反向解析,以提高服务器的响应速度
黑白名单设置(直接添加在sshd—config下方)
黑白名单的权限最高,若上方运行root用户登录但是白名单没有root用户,登录仍然失败
只允许zhangsan、lisi、wangwu用户登录 且其中wangwu用户仅能够从IP地址为61.23.24.25 的主机远程登录 AllowUsers zhangsan lisi wangwu@61.23.24.25 #多个用户以空格分隔 禁止某些用户登录,用法于Allowusers 类似(注意黑白名单不能同时使用) DenyUsers zhangsan
连接ssh服务器
ssh root@192.168.80.101 ssh root@192.168.80.101 -p 2222 #指定端口
用户第一次登录时必须接收服务器发来的ECDSA秘钥(yes确认)后才能继续验证
接收的秘钥信息将保存到~/.ssh/known_host中。
补充:ssh远程执行命令并立刻退出
ssh root@192.168.80.101 ifconfig ssh root@192.168.80.101 rm -f /opt/1.txt
设置ssh秘钥验证
sshd 服务支持两种验证方式
1.密码验证
对服务器中本地系统用户的登录名称、密码进行验证。简便,但可能会被暴力破解
2.密钥对验证要求提供和匹配的密钥信息才能通过验班。通常先在客户端中创建一对密钥文件(公钥、私钥),然后将公钥文件放到服务器中的指定位置。远程登录时,系统将使用公钥、私钥进行加密/解密关联验证。能增强安全性,且可以免交互登录。
公钥和私钥的关系
- 公钥和私钥是成对生成的,这两个密钥互不相同,可以互相加密和解密。
- 不能根据一个密钥来推算出另一个密钥。
- 公钥对外公开,私只有私钥的持有人才知道
设置ssh配置文件 开启秘钥验证
当密码验证、密钥对验证都启用时,服务器将优先使用密对验证。可根据实际情况设置验证方式
vim /etc/ssh/sshd_config PasswordAuthentication yes #启用密码验证 PubkeyAuthentication yes #✨启用密钥对验证 AuthorizedKeysFile .ssh/authorized_keys #指定公钥库文件 (放在需要登录的对方用户对应的家目录中)
systemctl restart sshd #修改配置需要 重启服务
开启秘钥认证简要步骤
客户端 ssh-keygen -t rsa/ecdsa
客户端 ssh-copy-id -i [rsa/ecdsa.pub(公钥文件)] 被连接用户@[被连接主机IP/主机名]
在客户端(host1)创建密钥对
通过ssh-keygen工具为当前用户创建密钥对文件。可用的加密算法为RSA、ECDSA或DSA等(ssh-keygen命令的"-t"选项用于指定算法类型)。
[xue@host1 xue]$ ssh-keygen -t ecdsa Generating public/private ecdsa key pair. Enter file in which to save the key (/home/admin/.ssh/id_ecdsa): #私钥存储位置 直接回车 Created directory '/home/admin/.ssh'. #生成的私钥、公钥文件默认存放在宿主目录中的隐藏目录.ssh/下 Enter passphrase (empty for no passphrase): #输入密码 Enter same passphrase again: #重复密码 Your identification has been saved in /home/admin/.ssh/id_ecdsa. Your public key has been saved in /home/admin/.ssh/id_ecdsa.pub. The key fingerprint is: SHA256:ML23n9VaoN2vUVAiMRpVOgIGQGID/Lo0vPa1H/3+HkY admin@host1 The key's randomart image is: +---[ECDSA 256]---+ |o.+.o...o ..=oo .| | o o o . o + o | | . o . o o . | | . o . . . . | |. . S . E. .| | = .. ..o = | |. + . . .. .o+ +| | + . . . ...o.+.| |. .. ... .o=oo..| +----[SHA256]-----+
ls -l ~/.ssh/id_ecdsa* #id ecdsa是私钥文件,权限默认为600; #id ecdsa.pub是公钥文件,用来提供给 SSH 服务器
将公钥文件上传至服务器(host2)
scp ~/.ssh/id_ecdsa.pub root@192.168.80.102:/opt #-P可以指定端口号 或#此方法可直接在服务器的/home/xue/.ssh/目录中导入公钥文本,不用在做下一步 cd ~/.ssh/ ssh-copy-id -i id_ecdsa.pub root@192.168.80.102
在服务器(host2)中导入公钥文本
ssh root@192.168.80.102 #在host1客户端上使用ssh操作host2。直接去host2操作也行 mkdir /home/xue/.ssh/ cat /opt/id_ecdsa.pub >> /home/xue/.ssh/authorized_keys #cat打印公钥内容重定向输出到公钥认证文件 #想要密钥登陆那个用户就放哪个用户家目录
此时完成了密钥登陆设置
有时会出现不生效的情况,可以检查认证文件的权限
[admin@host1 xue]$ ssh xue@192.168.80.102 #此时再进行连接(注意连接使用的用户,需要是刚刚放置过公钥文件在家目录中的用户) Enter passphrase for key '/home/admin/.ssh/id_ecdsa': #输入刚刚设置的秘钥密码 Last login: Fri Apr 21 23:07:51 2023 from 192.168.80.1 [xue@host2 ~]$
若要实行免交互登录
有两种方法
1.在创建秘钥文件时不输入密码
2.若创建秘钥文件输入了密码,使用ssh会话代理(只有当前会话生效)
ssh-agent bash ssh-add #输入秘钥设置的密码
SCP 远程复制
下行复制 scp root@192.168.80.11:/etc/passwd /root/passwd10.txt #将远程主机中的/etc/passwd文件复制到本机 上行复制 scp -r /etc/ssh/ root@192.168.80.10:/opt # -r 代表文件夹 #将本机机的/etc/ssh 目录复制到远程主机
#指定端口传输 scp -P 22 /etc/ssh/1.txt root@192.168.80.101:/opt #SCP命令指定端口用-P而不是-p
SCP传输若对方有同名文件将会直接覆盖!!!
小技巧
不想输入长地址,或是位于同一文件夹中两机传输数据,可以使用 `` (双撇号,数字1左边)。在双撇号中的命令会被获取命令的结果。
例如`pwd` 就代表获取当前目录的路径,与前面的命令相结合
cd /etc/yum.repos.d/ scp local.repo 192.168.80.102:/etc/yum.repos.d/ scp local.repo 192.168.80.102:`pwd` #想要从本机/etc/yum.repos.d/传输到目标主机/etc/yum.repos.d/目录
SFTP 安全FTP
安全FTP由于使用了加密/解密技术,所以传输效率比普通的FTP要低,但使用 SSH协议连接安全性更高。
sftp zhangsan@192.168.80.102 sftp -P 22 zhangsan@192.168.80.102 #SCP命令指定端口用-P而不是-p sftp> get 文件名 #下载文件到ftp目录 sftp> put 文件名 #上传文件到ftp目录 sftp> quit #退出
TCP Wrappers 访问控制
TCP Wrappers (TCP封套)
将TCP服务程序"包裹"起来,代为监听TCP服务程序的端口,增加了一个安全检测过程,外来的连接请求必须先通过这层安全检测,恭得许可后才能访问真正的服务程序。大多数 Linux 发行版,TCP Wrappers 是默认提供的功能。
rpm -q tcp wrappers
TCP wrappers 保护机制的两种实现方式
1.直接使用 tcpd 程序对其他服务程序进行保护,需要运行 tcpd程序。
2.由其他网络服务程序调用 libwrap.so.*链接库,不需要运行 tcpd 程序。此方式的应用更加广泛,也更有效率
使用 ldd 命令可以查看程序是否含义 libwrap.so.*链接库,据此判断该程序是否支持tcp wrappers
一般sshd,vsftpd,telnet,pop3,imap都会支持(httpd不支持)
ldd $(which sshd) | grep libwrap which sshd #which找出服务路径,传递给ldd,查看服务的链接库,并筛选出libwrap ldd /usr/sbin/sshd | grep libwrap ldd `which sshd` | grep libwrap #三种不同写法
TCP Wrappers 的访问策略
TCP wrappers 机制的保护对象为各种网络服务程序,针对访问服务的客户端地址进行访问控制。
对应的两个策略文件为/etc/hosts.allow 和/etc/hosts.deny,分别用来设置允许和拒绝的策略
格式: <服务程序列表>:<客户端地址列表> (1) 服务程序列表 ALL: 代表所有的服务。 单个服务程序:如”vsftpd”。 多个服务程序组成的列表: 如”vsftpd,sshd”。 (2)客户端地址列表 ALL:代表任何客户端地址。 LOCAL: 代表本机址。 多个地址以逗号分隔 允许使用通配符“*” 和“?”,前者代表任意长度字符,后者仅代表一个字符 网段地址,如“192.168.80.”或者 192.168.80.0/255.255.255.0 区域地址,如“.benet.com”匹配“benet.com”域中所有主机
TCP wrappers 机制的基本原则
- 首先检查/etc/hosts.allow文件,如果找到相匹配的策略,则允许访问
- 否则继续检查/etc/hosts.deny文件,如果找到相匹配的策略,则拒绝访问
- 如果检查上述两个文件都找不到相匹配的策略,则允许访问。
允许所有,拒绝个别
只需在/etc/hosts.deny文件中添加相应的拒绝策略允许个别,拒绝所有
除了在/etc/hosts.allow中添加允许策略之外
还需要在/etc/hosts.deny文件中设置"ALL:ALL"的拒绝策略。
实例
若只希望从IP地址为12.0.0.1的主机或者位于192.168.80.0/24网段的主机访问sshd服务,其他地址被拒绝
vi /etc/hosts.allow sshd:12.0.0.1,192.168.80.* #sshd,vstpd:12.0.0.1,192.168.80.* 两个服务的写法 vi /etc/hosts.deny sshd:ALL