linux之openssh协议

SSH的全称是Secure Shell，简单说来ssh是一种安全的外壳协议，用于两个计算机间安全的远程登陆，说它安全，是因为ssh采用公钥加密的机制。最开始时用作远程管理的工具是telnet，这个协议工作时在网络上传输的数据全是明文，出于安全性的考虑，此协议的使用率越来越少。而ssh的安全性使用它成为一种互联网上远程登陆主机的解决方案。在windows系统上常用到的有Putty、SecureCRT、XManager中的Xshell工具，而XManager工具是我见到的IT工作者中使用频率极高的一个工具，在windows上好像没有ssh协议的服务器端的实现，ssh协议的实现也分为商业的实现和开源的实现，在这里将是对ssh协议的一个开源实现的学习与记录。Openssh即是Linux系统下开源的实现，它开放且免费。

从客户端来看，SSH提供两种级别的安全验证。

第一种级别（基于用户名和口令的安全验证）只要你知道自己帐号和口令，就可以登录到远程主机。所有传输的数据都会被加密，但是不能保证你正在连接的服务器就是你想连接的服务器。可能会有别的服务器在冒充真正的服务器，也就是受到“中间人”这种方式的攻击。

第二种级别（基于密匙的安全验证也叫基于公钥的验证）需要依靠密匙，也就是你必须为自己创建一对密匙，并把公用密匙放在需要访问的服务器上。如果你要连接到SSH服务器上，客户端软件就会向服务器发出请求，请求用你的密匙进行安全验证。服务器收到请求之后，先在你在该服务器的家目录下寻找你的公用密匙，然后把它和你发送过来的公用密匙进行比较。如果两个密匙一致，服务器就用公用密匙加密“质询”（challenge）并把它发送给客户端软件。客户端软件收到“质询”之后就可以用你的私人密匙解密再把它发送给服务器。

用这种方式，你必须知道自己密匙的口令。但是，与第一种级别相比，第二种级别不需要在网络上传送口令。

上述2种方式一般选其一。

putty这2种都支持，我们一般用putty的时候，需要输入用户名和密码，就是基于口令的验证。

其过程：

应对中间人攻击，SSH有2种方法应对，一是远程主机把自己的公钥拿到CA处做认证，申请一个数字证书；二是远程主机把自己公钥的指纹信息公布出来，比如公布在网站上，大家都可查看到公钥的指纹信息。这样用户在登陆时就可以鉴别主机的真伪了。提取主机的指纹信息的方法如下：

[root@Server-A ~]# ssh-keygen -lf/etc/ssh/ssh_host_dsa_key.pub 
102439:61:e5:80:e8:09:b3:83:10:39:c8:b4:5e:ca:45:7e /etc/ssh/ssh_host_dsa_key.pub(DSA)

远程主机可以把这个采用dsa算法的指纹信息发布在一个网站上，那我用xshell去远程连接时就可对比一下指纹信息是不是一样，如果是一样的那就能证明我连接的是真实的主机。

在linux下用ssh方式登陆另一linux主机时，如果第一次登陆会有如下的提示：

[root@Server-A~]# ssh 192.168.0.201
Theauthenticity of host '192.168.0.201 (192.168.0.201)' can't be established.
RSAkey fingerprint is 4c:a3:2f:29:69:86:f6:0f:38:25:8c:7c:7c:3b:d5:91.
Areyou sure you want to continue connecting (yes/no)?

表示的意义与用xshell登陆时的提示相同，输入“yes”，再输入远程主机的口令即可登陆，登陆成功后本地主机会生成“～/.ssh/known_hosts”文件，这文件里保存着远程主机的公钥信息，这样下次再远程登陆时就不需要发送公钥信息了，直接输入口令即可。

基于公钥的认证：

基于用户口令的认证方式每次都要求用户提供正确的口令，比较麻烦，且增加了口令泄露的机率。而基于公钥的认证则不需要用户输入口令即可完成远程登陆。这种认证方式是这样工作的：用户把自己的公钥存储在远程主机上，在登陆时，远程主机向用户发送一段随机字符串，用户用自己的私钥加密这段随机数字，并把加密后的信息发送给远程主机，远程主机用事先存储的公钥来解密这个数据，如果解密成功，则说明请求登陆的用户是可信任的，这样就直接允许用户登陆，而不要求输入密码了。这种认证方式需要把用户自己的公钥保存到远程主机上。若没有现成的公钥，那就生成：

[root@Server-A~]# ssh-keygen -t rsa

Generatingpublic/private rsa key pair.

Enterfile in which to save the key (/root/.ssh/id_rsa):

Enterpassphrase (empty for no passphrase):

Entersame passphrase again:

Youridentification has been saved in /root/.ssh/id_rsa.

Yourpublic key has been saved in /root/.ssh/id_rsa.pub.

Thekey fingerprint is:

9b:ef:2c:6a:92:05:c7:f4:4b:b8:4e:b4:ce:05:2f:0croot@Server-A

Thekey's randomart image is:

+--[RSA 2048]----+

| |

| . |

| o o |

| E * o |

| * *S. |

| B +o |

| B oo |

| o = .o |

| o.. o+ |

+-----------------+

[root@Server-A~]# ls .ssh/

id_rsa id_rsa.pub known_hosts

此时在家目录下的“./ssh”目录下生成了两个文件，一个id_rsa(私钥文件)，id_rsa.pub(公钥文件)。接着把公钥文件拷贝到远程主机：

[root@Server-A ~]# scp .ssh/id_rsa.pub 192.168.0.201:/root/.ssh/authorized_keys

这里的“authorized_keys”这个文件名不能更改，这是由“/etc/ssh/sshd_config”文件定义的。

测试一下能否不输入密码就能远程登陆Server_B主机：

[root@Server-A ~]# ssh 192.168.0.201

Address 192.168.0.201 maps to bogon, butthis does not map back to the address - POSSIBLE BREAK-IN ATTEMPT!

[root@Server-B ~]#

没错，成功了，但有报告信息，这是因为在/etc/hosts文件里没有增加两主机的映射关系，增加就可以了，在两主机中的“/etc/hosts”文件中都增加以下两行：

[root@Server-A ~]# echo"192.168.0.200  Server-A">> /etc/hosts
[root@Server-A ~]# echo "192.168.0.201  Server-B" >> /etc/hosts
上边用“scp”命令直接把主机的公钥文件拷贝到远程主机用户家目录下的“root/.ssh/authorized_keys”,其实还有一个更好的方法，ssh为我们提供了一个客户端工具，即“ssh-copy-id”，这个工具能将本地主机的公钥自动拷贝到远程主机上生成“authorized_keys”文件，且会让这个文件的权限为“600”这样更为安全，此命令的用法如下：
[root@Server-A ~]# ssh-copy-id root@192.168.0.201
建议用这个命令来实现无密码公钥登陆，因为用“scp”命令把公钥拷贝到远程主机后，不会把authorized_keys文件的权限修改成“600”，在某些linux版本下是无法实现基于公钥登陆的。
 
 
 
 对于openssh，我们需要关注的配置文件分为两类，一类是公共配置文件，另一类是私有配置文件。公共配置文件又分为服务端的配件文件和客户端的配置文件。
/etc/ssh/sshd_config   #服务端配置文件
/etc/ssh/ssd_config    #客户端配置文件
~/.ssh/*               #私有配置文件
我们主要关注的是服务端的配置文件和私有配置文件。
 
SSH的配置文件主要分为服务器端和客户端:




     服务器端:/etc/ssh/sshd_config
     客户端:/etc/ssh/ssh_config
 1.限制root用户远程登录
     # vi /etc/ssh/sshd_config
     PermitRootLogin no
 2.通过控制用户访问限制 SSH 访问
     # vi /etc/ssh/sshd_config
     AllowUsers fsmythe bnice swilson
     DenyUsers jhacker joebadguy jripper
 3.# vi /etc/ssh/sshd_config
     Protocol 2
 4.不要支持闲置会话，并配置 Idle Log Out Timeout 间隔：
#当客户端连上服务器端后,若没有任何操作则,服务器端默认会
#每隔一定时间发送一个alive消息给客户端寻求客户端应答,
#默认一共发三次.若都没有回应,则断开连其中           
#ClientAliveInterval设置每隔多少秒发送一次alive消息
#ClientAliveCountMax 设置一共发多少次.
     # vi /etc/ssh/sshd_config
     ClientAliveInterval 600     
     # (Set to 600 seconds = 10 minutes)
     ClientAliveCountMax 0
 5.禁用基于主机的身份验证：(这种认证方式是不安全的)
     # vi /etc/ssh/sshd_config
     HostbasedAuthentication no
 6.使用 Chroot SSHD 将 SFTP 用户局限于其自己的主目录
     # vi /etc/ssh/sshd_config
     ChrootDirectory /home/%u
 7.禁用空密码：
     # vi /etc/ssh/sshd_config
     PermitEmptyPasswords no
 8.指令压缩
     Compression {yes|no|delayed}
 #默认是delayed 意思就是等到用户认证结束后再对数据进行压缩
 9.设置日志级别
 #LogLevel INFO 默认是INFO级别,调试的时候可以选择DEBUG
 #级别,这样调试信息更加详细
 10.支持图形界面操作
     X11Forwarding yes
 #对Xwindows的数据进行转发,开启该项并使用xshell程序远程登
 #录服务器是可以打开图形界面程序



其它选项:





PrintMotd no            
# 登入后是否显示出一些信息呢？例如上次登入的时间、地点等，预设是 yes ，但是，如果为了安全，可以考虑改为 no ！
PrintLastLog yes　　　　　
# 显示上次登入的信息！可以啊！预设也是 yes ！
KeepAlive yes　　　　
# 一般而言，如果设定这项目的话，那么 SSH Server 会传送
# KeepAlive 的讯息给 Client 端，以确保两者的联机正常！
# 在这个情况下，任何一端死掉后， SSH 可以立刻知道！而不会
# 有僵尸程序的发生！
Banner /to/somefile
# 指定在用户完成认证前输出到终端的信息
GSSAPIAuthentication no
#指定是否使用基于GSSAPI的用户认证默认为no
MaxAuthTries 默认值为6
#每一个链接最多尝试验证的次数为这个值得一半,此外失败的信息还会记录在/var/log/message
UseDNS yes
#是否对主机名进行dns解析(常用与没有固定IP只有域名的场合)









 
 
 
1.生成密钥(客户端操作)




[root@wwww ~]# ssh-keygen -t rsa -b 4096
#-t 指定生成密钥的算法 -b指定密钥的位数
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):
#询问生成的密钥放在的位置,默认放在家目录下的.ssh目录
Enter passphrase (empty for no passphrase):
#询问是否对私钥再进行加密
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
e7:60:45:fe:d8:09:24:c1:1e:ef:35:cc:c1:c3:24:e4 root@wwww.axhu.com
#生成的指纹信息






注: 这里使用ssh-keygen -t rsa -b 4096 -f /path/to/KEY_FILE -P '指定加密私钥的密码' 这样既可实现自动化,不要交互了

2.传送密钥至远程服务器
有两种实现方式:
   方式一:




[root@wwww ~]# scp ~/.ssh/id_rsa.pub root@192.168.157.132:~/
The authenticity of host '192.168.157.132 (192.168.157.132)' can't be established.
RSA key fingerprint is 6e:0f:f8:f8:c7:c2:11:e6:4d:99:aa:16:6a:81:4a:02.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.157.132' (RSA) to the list of known hosts.
root@192.168.157.132's password:
id_rsa.pub                                                                                   100%  740     0.7KB/s   00:00
然后远程连接到远程主机进行设置:
[root@wwww ~]# ssh root@192.168.157.132
root@192.168.157.132's password:
Last login: Sat Jan 18 21:16:49 2014 from 192.168.157.128
[root@bogon ~]# mkdir .ssh
#这个目录默认不存在，但是这太机子若连接过其他服务器就会自动生成.ssh目录用来保存known_hosts文件
[root@bogon ~]# chmod 700 .ssh
#这个权限很重要，设置不对的话是没法通过验证
[root@bogon ~]# cat id_rsa.pub >> ~/.ssh/authorized_keys
#这里最好每次都是以>>追加的形式输出,不然会覆盖其他主机的公钥
[root@bogon ~]# chmod 600 ~/.ssh/authorized_keys
#修改权限放在其他用户修改查看
到此配置完成













   方式二:




[root@wwww ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.157.132
root@192.168.157.132's password:
Now try logging into the machine, with "ssh 'root@192.168.157.132'", and check in:
  .ssh/authorized_keys
to make sure we haven't added extra keys that you weren't expecting.
#直接通过命令完成.推荐使用,但是并不是每台机器上都会装有这个命令.












 