远程管理服务 SSH

2021-12-04 本文已影响0人小屁孩云熙

1. 远程管理服务概念介绍

1.1 常见的远程管理服务

1.1.1 ssh 服务

安全的远程连接协议，数据信息加密

ssh 服务默认可以 root 用户远程连接

1.1.2 telnet 服务

不安全的远程连接协议，数据信息明文

telnet 服务默认不可以让 root 用户远程连接

1.1.2.1 Linux 部署 telnet 服务

yum install telnet-server -y
systemctl start telnet.socket
netstat -lntup|grep 23

1.2 扩展

什么是 shell

每连接登录到一个 Linux 系统中，就是一个 shell
针对一个 Linux 系统建立多个会话，每个会话就是一个 shell
系统中用户可以实现相互转换，每转换一个用户就是一个 shell

shell 特点说明

一般命令行临时配置的信息，只会影响当前 shell
命令配置的信息如果想生效，需要切换 shell

2. SSH 服务连接工作原理(数据加密)

image-20211203125701663.png

客户端执行远程连接命令
客户端和服务端建立三次握手
服务端向客户端确认是否接收服务端的公钥信息
客户端进行公钥信息接收确认
服务端发送公钥信息至客户端，并确认密码信息
客户端进行密码信息确认
客户端和服务端远程连接建立成功

2.1 服务端公钥保存位置

/etc/ssh/ssh_host_ecdsa_key.pub

# 查看服务端公钥文件内容
[root@nfs01 ~]# cd /etc/ssh/
[root@nfs01 ssh]# ll
total 608
-rw-r--r--. 1 root root     581843 Apr 11  2018 moduli
-rw-r--r--. 1 root root       2276 Apr 11  2018 ssh_config
-rw-------. 1 root root       3904 Nov 11 01:07 sshd_config
-rw-------. 1 root root       3907 Apr 11  2018 sshd_config.bak
-rw-r-----. 1 root ssh_keys    227 Oct 29 01:03 ssh_host_ecdsa_key
-rw-r--r--. 1 root root        162 Oct 29 01:03 ssh_host_ecdsa_key.pub
-rw-r-----. 1 root ssh_keys    387 Oct 29 01:03 ssh_host_ed25519_key
-rw-r--r--. 1 root root         82 Oct 29 01:03 ssh_host_ed25519_key.pub
-rw-r-----. 1 root ssh_keys   1679 Oct 29 01:03 ssh_host_rsa_key
-rw-r--r--. 1 root root        382 Oct 29 01:03 ssh_host_rsa_key.pub
[root@nfs01 ssh]# pwd
/etc/ssh
[root@nfs01 ssh]# cat ssh_host_ecdsa_key.pub 
ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBKXVJZIYC/7YxKcGxnG5RiS0k6EED7W/diD7ImnHkvC6XQAJMMCUQ6qls77DdhxonWKREmW8f1Z6Ix0jSdSVgm0=

2.2 发送到客户端的保存位置

~/.ssh/know_hosts

# 客户端建立远程连接
[root@backup ~]# ssh root@10.1.1.31
The authenticity of host '10.1.1.31 (10.1.1.31)' can't be established.
ECDSA key fingerprint is SHA256:2Iaj+mlmG0gP8NB8EyVd9hC8LhUF6gv7omlLT+dCGEo.
ECDSA key fingerprint is MD5:20:f2:f2:80:4b:ac:58:6a:7e:92:9d:6c:6d:f5:7d:71.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '10.1.1.31' (ECDSA) to the list of known hosts.
root@10.1.1.31's password: 
Last login: Thu Dec  2 19:12:08 2021 from 10.1.1.1
[root@backup ~]# cat ~/.ssh/known_hosts 
10.1.1.31 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBKXVJZIYC/7YxKcGxnG5RiS0k6EED7W/diD7ImnHkvC6XQAJMMCUQ6qls77DdhxonWKREmW8f1Z6Ix0jSdSVgm0=

2.3 公钥和私钥的作用

image-20211203160126681.png

利用私钥和公钥对数据信息进行加密处理
利用私钥和公钥进行用户身份认证

注意

基于密码的方式远程登录：公钥和私钥只完成数据传输过程中的加密过程
基于秘钥的方式远程登录：公钥和私钥还能完成身份认证工作(除完成数据传输过程中的加密工作之外)

2.4 扩展

若客户端具有服务端的公钥，客户端远程连接时，不会再向客户端发送公钥信息。直接进行密码确认。
客户端接收公钥信息内容和服务端公钥信息一致。

3. SSH 远程连接的方式

3.1 基于口令的方式进行远程连接

连接比较麻烦，不太安全

3.2 基于秘钥的方式进行远程连接 (推荐使用)

连接方便，连接比较安全

image-20211203171547224.png

基于秘钥方式远程连接过程(原理)

客户端(管理端) 创建密钥对
客户端(管理端) 建立远程连接(基于口令的方式)，发送公钥信息
客户端(管理端) 再次建立远程连接(基于密钥方式)
服务端(被管理端) 发送公钥质询信息
客户端(管理端) 处理公钥质询信息，将质询结果反馈给服务端
服务端(被管理端) 接收到质询结果，成功建立远程连接

4. SSH 基于秘钥的远程连接方式部署

4.1 管理端创建密钥对信息

[root@m01 ~]# ssh-keygen -t dsa
Generating public/private dsa key pair.
Enter file in which to save the key (/root/.ssh/id_dsa): 
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_dsa.
Your public key has been saved in /root/.ssh/id_dsa.pub.
The key fingerprint is:
SHA256:3OMHlCBPCx0xF8fz9xS+KNCbVKJdUVtUbkUM9wRKwOU root@m01
The key's randomart image is:
+---[DSA 1024]----+
|      o.*++=+.=BX|
|       =.=.*o+ =*|
|        o * Eo..=|
|       . = +  .oo|
|        S * o .oo|
|         . * . ..|
|          . o    |
|           .     |
|                 |
+----[SHA256]-----+

# 扩展
ssh-keygen 命令
-t  指定密钥对加密算法类型

4.2 管理端将公钥进行分发

[root@m01 ~]# ssh-copy-id -i /root/.ssh/id_dsa.pub root@172.16.1.41
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_dsa.pub"
The authenticity of host '172.16.1.41 (172.16.1.41)' can't be established.
ECDSA key fingerprint is SHA256:2Iaj+mlmG0gP8NB8EyVd9hC8LhUF6gv7omlLT+dCGEo.
ECDSA key fingerprint is MD5:20:f2:f2:80:4b:ac:58:6a:7e:92:9d:6c:6d:f5:7d:71.
Are you sure you want to continue connecting (yes/no)? yes
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@172.16.1.41's password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'root@172.16.1.41'"
and check to make sure that only the key(s) you wanted were added.

# 查看管理端 公钥信息
[root@m01 ~]# cat /root/.ssh/id_dsa.pub 
ssh-dss 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 root@m01

4.2.1 公钥分发到被管理端的保存位置

[root@backup ~]# cd /root/.ssh/
[root@backup .ssh]# ll
total 8
-rw------- 1 root root 598 Dec  3 14:07 authorized_keys
-rw-r--r-- 1 root root 353 Dec  2 19:14 known_hosts
[root@backup .ssh]# cat authorized_keys 
ssh-dss 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 root@m01

4.3 管理端基于密钥方式远程连接被管理端 (远程连接测试)

# 不用输入密码信息即可进行远程连接
[root@m01 ~]# ssh 172.16.1.41
Last login: Fri Dec  3 14:08:47 2021 from 10.1.1.1
[root@backup ~]# 
# 不用远程到被管理服务器，可以远程执行命令
[root@m01 ~]# ssh 172.16.1.41 hostname
backup

5. 扩展内容

5.1 编写脚本，实现批量分发公钥

5.1.1 问题(交互过程如何避免)

5.1.1.1 服务端发送公钥信息至客户端，需要确认接收，输入 yes

[root@m01 ~]# > .ssh/known_hosts 
[root@m01 ~]# cat .ssh/known_hosts
[root@m01 ~]# ssh-copy-id -i /root/.ssh/id_dsa.pub root@172.16.1.41
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_dsa.pub"
The authenticity of host '172.16.1.41 (172.16.1.41)' can't be established.
ECDSA key fingerprint is SHA256:2Iaj+mlmG0gP8NB8EyVd9hC8LhUF6gv7omlLT+dCGEo.
ECDSA key fingerprint is MD5:20:f2:f2:80:4b:ac:58:6a:7e:92:9d:6c:6d:f5:7d:71.
Are you sure you want to continue connecting (yes/no)? ^C

# 使用 参数 "-o StrictHostKeyChecking=no" 跳过交互式输入 yes，该参数意思是：不要询问要不要接收服务端公钥信息，默认接收
[root@m01 ~]# ssh-copy-id -i /root/.ssh/id_dsa.pub root@172.16.1.41 "-o StrictHostKeyChecking=no"
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_dsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@172.16.1.41's password:

5.1.1.2 需要输入密码问题

yum install sshpass -y

[root@m01 ~]# yum install sshpass -y
[root@m01 ~]# sshpass -ptoor ssh-copy-id -i /root/.ssh/id_dsa.pub root@172.16.1.41
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_dsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'root@172.16.1.41'"
and check to make sure that only the key(s) you wanted were added.
[root@m01 ~]# ssh 172.16.1.41 hostname
backup

# sshpass 命令
-p  跟root密码，可面交互实现密码认证

5.1.1.3 服务端端口号非默认端口(默认 22)，如何解决

[root@m01 ~]# sshpass -ptoor ssh-copy-id -i /root/.ssh/id_dsa.pub root@172.16.1.41 -p 端口号"-o StrictHostKeyChecking=no"

5.1.2 编写批量分发公钥脚本

批量分发公钥脚本

#!/bin/bash

# 功能：批量分发公钥

for ip in {7,31,41}
do
    echo "主机 172.16.1.$ip 开始分发公钥信息……"
    sshpass -ptoor ssh-copy-id -i /root/.ssh/id_dsa.pub root@172.16.1.$ip "-o StrictHostKeyChecking=no" &>/dev/null
    # 端口号非默认端口
    #sshpass -ptoor ssh-copy-id -i /root/.ssh/id_dsa.pub root@172.16.1.$ip -p 端口"-o StrictHostKeyChecking=no"
    [ $? -eq 0 ] && echo "主机 172.16.1.$ip 分发公钥成功" || echo "主机 172.16.1.$ip 分发公钥失败"
done

分发后测试脚本(串行批量管理)

#!/bin/bash

# 功能：公钥分发是否成功，远程命令测试
command=$1
for ip in {7,31,41}
do
    echo "====== 主机 172.16.1.$ip 相关信息 ======"
    ssh 172.16.1.$ip $command
    echo ""
    # 远程端口号非默认端口
    #ssh -p 端口号 172.16.1.$ip $1
done

6. SSH 服务配置文件说明

6.1 配置文件位置

/etc/ssh/sshd_config

6.2 配置文件详解

#Port 22    -- 修改远程端口号
#ListenAddress 0.0.0.0  -- 配置监听地址信息(指定一块网卡能够接受远程访问请求，服务器网卡自己具有的地址)
#PermitEmptyPasswords no    -- 是否允许用户使用空密码远程登录(默认不允许)
#PermitRootLogin yes    -- 是否允许root用户远程登录(建议改为no)
GSSAPIAuthentication no -- 是否开启GSSAPI认证功能，目前已经不使用该功能(默认开启，开启会影响ssh连接速率)
UseDNS no   -- 是否开启反向DNS解析功能(建议关闭，提高ssh连接速率)

7. SSH 远程服务防范入侵案例

基于密钥的方式远程登录系统，不使用基于口令方式登录系统
使用系统防火墙和SSH本地配置

防火墙针对ssh服务加白名单进行限制，只有在白名单中的地址可以远程连接服务器
开启SSH只监听本地内网IP

尽量不给服务器配置外网IP
最小化安装(系统+软件+授权)
给系统重要文件或命令做指纹
给系统重要文件加锁

8. 扩展

8.1 sftp

ls      -- 查看远程ftp服务器信息
cd      -- 查看远程ftp服务器信息
lls     -- 查看本地ftp客户端信息
lcd     -- 查看本地ftp客户端信息
get     -- 下载信息
put     -- 上传信息
help    -- 查看帮助信息
bye     -- 退出ftp连接

8.2 Linux 系统通过 xshell 实现秘钥登录

8.2.1 生成密钥对

[root@sec01 ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 在指定目录下生成密钥对
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase): 输入秘钥密码
Enter same passphrase again: 再次输入秘钥密码
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:sFZD99d2m+TqoV5dJpVgjisltqqAID0x5w4wADWwZIY root@sec01
The key's randomart image is:
+---[RSA 2048]----+
|**o     . .  o   |
|E. .   . . .+ ...|
|+ o . . oo o...o=|
| + =   +..+ ..oo+|
|o + . o So .  .+o|
|o .+ .  . .   oo.|
| . ..  .     + . |
|    . .     + .  |
|     .    .o .   |
+----[SHA256]-----+
[root@sec01 ~]# cd .ssh
[root@sec01 .ssh]# ll
total 8
-rw-------. 1 root root 1679 Nov 26 14:59 id_rsa
-rw-r--r--. 1 root root  392 Nov 26 14:59 id_rsa.pub

8.2.2 处理公钥文件并将私钥文件下载到本地

# 01. 将公钥文件重命名
[root@sec01 .ssh]# mv id_rsa.pub authorized_keys
[root@sec01 .ssh]# ll
total 8
-rw-r--r--. 1 root root  392 Nov 26 14:59 authorized_keys
-rw-------. 1 root root 1679 Nov 26 14:59 id_rsa

# 02. 下载私钥文件至本地(根据自己的方式下载)
[root@sec01 .ssh]# sz id_rsa 
rz

# 03. 服务端删除私钥文件或者移动到其他目录
[root@sec01 .ssh]# rm -f id_rsa 
[root@sec01 .ssh]# ll
total 4
-rw-r--r--. 1 root root 392 Nov 26 14:59 authorized_keys

8.2.3 修改 ssh 服务配置文件，并重启服务

# 01. 修改ssh服务配置文件
[root@sec01 .ssh]# vim /etc/ssh/sshd_config

PasswordAuthentication no

# 02. 重启 ssh 服务
[root@sec01 .ssh]# systemctl restart sshd

8.2.4 客户端 xshell 连接服务器，导入私钥

image-20211204134222640.png

image-20211204134316592.png

输入秘钥密码，即可建立远程连接

远程管理服务 SSH

1. 远程管理服务概念介绍

1.1 常见的远程管理服务

1.1.1 ssh 服务

1.1.2 telnet 服务

1.1.2.1 Linux 部署 telnet 服务

1.2 扩展

2. SSH 服务连接工作原理(数据加密)

2.1 服务端公钥保存位置

2.2 发送到客户端的保存位置

2.3 公钥和私钥的作用

2.4 扩展

3. SSH 远程连接的方式

3.1 基于口令的方式进行远程连接

3.2 基于秘钥的方式进行远程连接 (推荐使用)

4. SSH 基于秘钥的远程连接方式部署

4.1 管理端创建密钥对信息

4.2 管理端将公钥进行分发

4.2.1 公钥分发到被管理端的保存位置

4.3 管理端基于密钥方式远程连接被管理端 (远程连接测试)

5. 扩展内容

5.1 编写脚本，实现批量分发公钥

5.1.1 问题(交互过程如何避免)

5.1.1.1 服务端发送公钥信息至客户端，需要确认接收，输入 yes

5.1.1.2 需要输入密码问题

5.1.1.3 服务端端口号非默认端口(默认 22)，如何解决

5.1.2 编写批量分发公钥脚本

6. SSH 服务配置文件说明

6.1 配置文件位置

6.2 配置文件详解

7. SSH 远程服务防范入侵案例

8. 扩展

8.1 sftp

8.2 Linux 系统通过 xshell 实现秘钥登录

8.2.1 生成密钥对

8.2.2 处理公钥文件并将私钥文件下载到本地

8.2.3 修改 ssh 服务配置文件，并重启服务

8.2.4 客户端 xshell 连接服务器，导入私钥

猜你喜欢

热点阅读

远程管理服务 SSH

1. 远程管理服务概念介绍

1.1 常见的 远程管理 服务

1.1.1 ssh 服务

1.1.2 telnet 服务

1.1.2.1 Linux 部署 telnet 服务

1.2 扩展

2. SSH 服务连接工作原理(数据加密)

2.1 服务端公钥保存位置

2.2 发送到客户端的保存位置

2.3 公钥和私钥的作用

2.4 扩展

3. SSH 远程连接的方式

3.1 基于口令的方式进行远程连接

3.2 基于秘钥的方式进行远程连接 (推荐使用)

4. SSH 基于秘钥的远程连接方式 部署

4.1 管理端创建密钥对信息

4.2 管理端将公钥进行分发

4.2.1 公钥分发到被管理端的保存位置

4.3 管理端 基于密钥方式 远程连接 被管理端 (远程连接测试)

5. 扩展内容

5.1 编写脚本，实现批量分发公钥

5.1.1 问题(交互过程如何避免)

5.1.1.1 服务端发送公钥信息至客户端，需要确认接收，输入 yes

5.1.1.2 需要输入 密码 问题

5.1.1.3 服务端 端口号非默认端口(默认 22)，如何解决

5.1.2 编写批量分发公钥脚本

6. SSH 服务配置文件说明

6.1 配置文件位置

6.2 配置文件详解

7. SSH 远程服务防范入侵案例

8. 扩展

8.1 sftp

8.2 Linux 系统通过 xshell 实现秘钥登录

8.2.1 生成密钥对

8.2.2 处理公钥文件并将私钥文件下载到本地

8.2.3 修改 ssh 服务配置文件，并重启服务

8.2.4 客户端 xshell 连接服务器，导入私钥

猜你喜欢

热点阅读

1.1 常见的远程管理服务

4. SSH 基于秘钥的远程连接方式部署

4.3 管理端基于密钥方式远程连接被管理端 (远程连接测试)

5.1.1.2 需要输入密码问题

5.1.1.3 服务端端口号非默认端口(默认 22)，如何解决