ssh服务

一、openssh简介

1、ssh（secure shell protocol）基于tcp协议下的22端口, 安全的远程登录

2、两种方式的用户登录认证：

基于password 基于DH算法做密钥交换
基于key 基于RSA或DSA实现身份认证

3、openssh基于C/S结构，Client: ssh, scp, sftp，slogin，xshell, putty, securecrt, sshsecureshellclient；Serve：sshd

4、客户端配置文件：/etc/ssh/ssh_config；服务端配置文件：/etc/ssh/sshd_config

5、客户端的使用格式

ssh [user@]host [COMMAND]
ssh [-l user] host [COMMAND]

-p port：远程服务器监听的端口
-b:指定连接的源IP（客户端有多个ip地址，指定使用哪个ip去连接）
-v:调试模式（可用于排错）
-C：压缩方式
-X: 支持x11转发
-Y：支持信任x11转发
ForwardX11Trusted yes
-t: 强制伪tty分配（跳板机）
ssh -t remoteserver1 ssh remoteserver2

6、允许实现对远程系统经验证地加密安全访问，当用户远程连接ssh服务器时，会复制ssh服务器/etc/ssh/ssh_host*key.pub（CentOS7默认是ssh_host_ecdsa_key.pub）文件中的公钥到客户机的~./ssh/know_hosts中。下次连接时，会自动匹配相应私钥，不能匹配，将拒绝连接。

7、基于用户和口令的登录验证方式的连接过程

1）、客户端发起ssh请求，服务器会把自己的公钥发送给用户
2 ）、用户会根据服务器发来的公钥对密码进行加密
3 ）、加密后的信息回传给服务器，服务器用自己的私钥解密，如果密码正确，则用户登录成功

8、基于密钥的登录方式

1）、首先在客户端生成一对密钥（ssh-keygen）
2）、并将客户端的公钥ssh-copy-id 拷贝到服务端
3）、当客户端再次发送一个连接请求，包括ip、用户名
4）、服务端得到客户端的请求后，会到authorized_keys中查找，如果有响应的IP和用户，就会随机生成一个字符串，例如：acdf
5）、服务端将使用客户端拷贝过来的公钥进行加密，然后发送给客户端
6）、得到服务端发来的消息后，客户端会使用私钥进行解密，然后将解密后的字符串发送给服务端
7）、服务端接受到客户端发来的字符串后，跟之前的字符串进行对比，如果一致，就允许免密码登录

二、基于用户名密码的验证方式的方式登录Linux主机

我们使用三台Linux服务器做实验

1、使用ssh登录主机
[root@newhostname ~]# ssh root@172.18.30.253
root@172.18.30.253's password: 
Last login: Tue Jan  9 09:10:07 2018 from 172.18.101.180


2、使用指定接口登录ssh主机
[root@newhostname ~]# ssh -b 172.18.30.253 172.18.30.254    
root@172.18.30.254's password: 
Last login: Tue Jan  9 08:22:24 2018 from 172.18.101.180
指定使用172.18.30.253来连接host2

3、通过跳板机进行连接（角色分配：cent7 172.18.30.253/16 作为客户端；cent6 172.18.30.254/16 作为跳板机，gentoo 172.18.30.100/16 作为服务器来操作）
[root@joker-6-01 ~]# ssh -t 172.18.30.254 ssh 172.18.30.100
root@172.18.30.254's password: 
The authenticity of host '172.18.30.100 (172.18.30.100)' can't be established.
RSA key fingerprint is b6:48:a5:b0:b8:ff:e1:f8:1d:99:27:86:c5:a4:c3:34.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '172.18.30.100' (RSA) to the list of known hosts.
Password: 
joker ~ # 

通过伪终端登录，目标主机显示连接的foreign ip地址是跳板机。

我们在getoo上看一下实际的socket3
joker /etc/ssh # ss
Netid  State      Recv-Q Send-Q Local Address:Port                 Peer Address:Port                
tcp    ESTAB      0      0      172.18.30.100:ssh                  172.18.30.254:40646        #centos6的地址          
tcp    ESTAB      0      0      172.18.30.100:ssh                  172.18.101.180:50821                
joker /etc/ssh #

三、基于key验证登录Linux主机

1、生成自己的公私钥（对客户端操作，我现在登录的是gentoo）
joker /etc/ssh # ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:u7zpUjmNV3zx4XLTbplpZYc7tMmLvt4e2XZ3Vasspkk root@joker
The key's randomart image is:
+---[RSA 2048]----+
|                 |
|              .. |
|           .  .++|
|            o.++O|
|        S+ . +oBO|
|        =.o . BB+|
|       ..E o +++*|
|      ...o+ o..o+|
|       o*+ o+oo  |
+----[SHA256]-----+

系统默认会在/root/.ssh/下生成id_rsa(私钥） 、id_rsa.pub（公钥），后续如果希望对私钥加密，则输入密码，不想加密则一路回车。

2、将生成的公钥文件内容拷贝到目标server的/root/.ssh/authorized_keys这个文件中，可使用ssh-copy-id命令，避免拷贝错钥匙

joker /etc/ssh # ssh-copy-id 172.18.30.253
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
The authenticity of host '172.18.30.253 (172.18.30.253)' can't be established.
ECDSA key fingerprint is SHA256:cJiwhG4qYrpipaouDkuKIxxLnszvnEZkR8mad+EWfsU.
Are you sure you want to continue connecting (yes/no)? yes
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@172.18.30.253's password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh '172.18.30.253'"
and check to make sure that only the key(s) you wanted were added.

现在我们将gentoo的公钥成功拷贝到了centos7上，现在使用ssh来连接centos7
joker /etc/ssh # ssh 172.18.30.253
Last login: Tue Jan  9 09:10:16 2018 from 172.18.30.253
[root@newhostname ~]# 

直接免密登录了

使用CRT生成公私钥，如下图，选择Create Public Key

一路下一步，最后选择将key保存到当前用的家目录

秘钥生成好了，但是有一个问题，那就是CRT的秘钥文件格式和openssh的秘钥文件格式不一样，我们需要将其转化才可以使用。

第一步：
我们可以通过服务器端执行
ssh-keygen -i -f Identity.pub >> ~/.ssh/authorized_keys
将秘钥格式转换成openssh的格式，并将公钥导入到~/.ssh/authorized_keys 这个文件中（Identify.pub公钥需要实现拷贝到server端上）

第二步：
将生成私钥文件导入到CRT中

将私钥文件导入

可以使用key来访问server了

四、ssh托管工具

我们在生成私钥文件时，有时由于私钥的重要性，我们会在生成私钥时对其进行对称加密，那么当我们在使用key认证登录的时候，需要输入私钥的秘钥才可以，而且是每次使用每次都需要输入，对我们的工作带来了不便，这时候我们可以开启代理托管工具，来实现只输入一次秘钥，就可以登录，但是这个功能只能在当前终端生效，退出终端则会失效。

命令：

ssh-agent bash 开始代理
ssh-add 将私钥密码加入

使用代理之后，我们可以对一些基于ssh的自动化软件，放一些心了。

五、openssh的优化

修改/etc/ssh/sshd_config 文件中的选项为下面的样式

UseDNS no #将链接地址解析成域名，我们也用不到，会降低ssh的连接速度，我们改成“no”
GSSAPIAuthentication no #这一项认证我们用不到，且其会降低ssh的连接速度，我们改成“no”
PermitRootLogin yes #允许root远程登录

六、还有一些其他的ssh工具，如dropbear等。openssh还是比较常用的，在这里就不再讲其他的开源软件了，如果感兴趣可以自行搜索相关文档。