Openssh介绍
- OpenSSH 是 SSH （Secure Shell） 协议的免费开源实现。SSH协议族可以用来进行远程控制， 或在计算机之间传送文件。而实现此功能的传统方式，如telnet(终端仿真协议)、 rcp ftp、 rlogin、rsh都是极为不安全的，并且会使用明文传送密码。OpenSSH提供了服务端后台程序和客户端工具，用来加密远程控件和文件传输过程中的数据，并由此来代替原来的类似服务。
SSH工作原理
- 1.服务器建立公钥： 每一次启动 sshd 服务时，该服务会主动去找 /etc/ssh/ssh_host* 的文件，若系统刚刚安装完成时，由于没有这些公钥，因此 sshd 会主动去计算出这些需要的公钥，同时也会计算出服务器自己需要的私钥。
- 2.客户端主动联机请求： 若客户端想要联机到 ssh 服务器，则需要使用适当的客户端程序来联机，包括 ssh, putty 等客户端程序连接。
- 3.服务器传送公钥给客户端： 接收到客户端的要求后，服务器便将第一个步骤取得的公钥传送给客户端使用 (此时应是明码传送，反正公钥本来就是给大家使用的)。
- 4.客户端记录并比对服务器的公钥数据及随机计算自己的公私钥： 若客户端第一次连接到此服务器，则会将服务器的公钥记录到客户端的用户家目录内的 ~/.ssh/known_hosts 。若是已经记录过该服务器的公钥，则客户端会去比对此次接收到的与之前的记录是否有差异。若接受此公钥， 则开始计算客户端自己的公私钥。
- 5.回传客户端的公钥到服务器端： 用户将自己的公钥传送给服务器。此时服务器：具有服务器的私钥与客户端的公钥，而客户端则是： 具有服务器的公钥以及客户端自己的私钥，你会看到，在此次联机的服务器与客户端的密钥系统 (公钥+私钥) 并不一样，所以才称为非对称加密系统。
- 6.开始双向加解密：
- (1)服务器到客户端：服务器传送数据时，拿用户的公钥加密后送出。客户端接收后，用自己的私钥解密。
- (2)客户端到服务器：客户端传送数据时，拿服务器的公钥加密后送出。服务器接收后，用服务器的私钥解密，这样就能保证通信安全。
环境准备：
| 属性 | 跳板机 | 服务器-01 | 服务器-02 |
| 节点 | wenCheng | Server-01 | Server-02 |
| 系统 | CentOS Linux release 7.5.1804 (Minimal) | CentOS Linux release 7.5.1804 (Minimal) | CentOS Linux release 7.5.1804 (Minimal) |
| 内核 | 3.10.0-862.el7.x86_64 | 3.10.0-862.el7.x86_64 | 3.10.0-862.el7.x86_64 |
| SELinux | setenforce 0 | disabled | setenforce 0 | disabled | setenforce 0 | disabled |
| Firewlld | systemctl stop/disabled firewalld | systemctl stop/disabled firewalld | systemctl stop/disabled firewalld |
| IP地址 | 172.16.70.182 | 172.16.70.186 | 172.16.70.187 |
检查sshd相关设置信息，以跳板机为例。
# 是否已安装 [root@wenCheng ~]# rpm -qa | grep ssh libssh2-1.4.3-10.el7_2.1.x86_64 openssh-clients-7.4p1-16.el7.x86_64 openssh-7.4p1-16.el7.x86_64 openssh-server-7.4p1-16.el7.x86_64 # 是否已监听端口 [root@wenCheng ~]# netstat -untpl | grep ssh tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 882/sshd tcp6 0 0 :::22 :::* LISTEN 882/sshd # 查看ssh版本 [root@wenCheng ~]# ssh -V OpenSSH_7.4p1, OpenSSL 1.0.2k-fips 26 Jan 2017 # 是否开机启动 [root@wenCheng ~]# systemctl is-enabled sshd.service enabled # 默认3对以不同方式加密的hostkey和配置文件config [root@wenCheng ~]# ls -l /etc/ssh/ssh* -rw-r--r--. 1 root root 2276 Apr 11 2018 /etc/ssh/ssh_config -rw-------. 1 root root 3907 Apr 11 2018 /etc/ssh/sshd_config -rw-r-----. 1 root ssh_keys 227 Dec 4 2020 /etc/ssh/ssh_host_ecdsa_key -rw-r--r--. 1 root root 162 Dec 4 2020 /etc/ssh/ssh_host_ecdsa_key.pub -rw-r-----. 1 root ssh_keys 387 Dec 4 2020 /etc/ssh/ssh_host_ed25519_key -rw-r--r--. 1 root root 82 Dec 4 2020 /etc/ssh/ssh_host_ed25519_key.pub -rw-r-----. 1 root ssh_keys 1679 Dec 4 2020 /etc/ssh/ssh_host_rsa_key -rw-r--r--. 1 root root 382 Dec 4 2020 /etc/ssh/ssh_host_rsa_key.pub
默认/etc/ssh/sshd_config解析。
[root@Server-01 ~]# cat /etc/ssh/sshd_config ...... # default value. #Port 22 # 默认ssh端口；可去掉"#"自定义数字，例 Port 2211 #AddressFamily any # 默认any：IPv4,IPv6 #ListenAddress 0.0.0.0 # 默认监听所有IP地址；可去掉"#"自定义方式，例 ListenAddress host|IPv4|IPv4_addr:port #ListenAddress :: # 私钥保存位置 HostKey /etc/ssh/ssh_host_rsa_key #HostKey /etc/ssh/ssh_host_dsa_key HostKey /etc/ssh/ssh_host_ecdsa_key HostKey /etc/ssh/ssh_host_ed25519_key # Ciphers and keying # 密码和密钥 #RekeyLimit default none # Logging # 日志 #SyslogFacility AUTH # #当有人使用SSH登录系统的时候，SSH会记录信息 SyslogFacility AUTHPRIV #LogLevel INFO # 设置日志等级 # Authentication: # 身份认证 #LoginGraceTime 2m # 限制登录时间不输入密码两分钟自动退出 #PermitRootLogin yes # 是否允许root直接登录；建议设置为no #StrictModes yes # 是否检查.ssh/文件的所有者，权限 #MaxAuthTries 6 # 最大认证次数6；一般设为3 #MaxSessions 10 # 克隆会话最大连接 #PubkeyAuthentication yes # 是否支持公钥验证（一般开启公钥验证关闭用户登录） # The default is to check both .ssh/authorized_keys and .ssh/authorized_keys2 # but this is overridden so installations will only check .ssh/authorized_keys AuthorizedKeysFile .ssh/authorized_keys # 基于公钥认证机制时，来自客户端的公钥的存放位置 #AuthorizedPrincipalsFile none #AuthorizedKeysCommand none #AuthorizedKeysCommandUser nobody # For this to work you will also need host keys in /etc/ssh/ssh_known_hosts #HostbasedAuthentication no # Change to yes if you don't trust ~/.ssh/known_hosts for # HostbasedAuthentication #IgnoreUserKnownHosts no # Don't read the user's ~/.rhosts and ~/.shosts files #IgnoreRhosts yes # To disable tunneled clear text passwords, change to no here! #PasswordAuthentication yes #PermitEmptyPasswords no # 是否允许空密码，如果使用密码验证，这里最好设置no PasswordAuthentication yes # 是否使用密码验证，如果使用密钥对验证可以改为no # Change to no to disable s/key passwords #ChallengeResponseAuthentication yes ChallengeResponseAuthentication no # 是否禁用s/key密码 # Kerberos options # 与Kerberos 有关的参数设定，不用设定 #KerberosAuthentication no #KerberosOrLocalPasswd yes #KerberosTicketCleanup yes #KerberosGetAFSToken no #KerberosUseKuserok yes # GSSAPI options GSSAPIAuthentication yes # 是否开启GSSAOI身份认证机制；建议设置no,加快ssh连接 GSSAPICleanupCredentials no #GSSAPIStrictAcceptorCheck yes #GSSAPIKeyExchange no #GSSAPIEnablek5users no # Set this to 'yes' to enable PAM authentication, account processing, # and session processing. If this is enabled, PAM authentication will # be allowed through the ChallengeResponseAuthentication and # PasswordAuthentication. Depending on your PAM configuration, # PAM authentication via ChallengeResponseAuthentication may bypass # the setting of "PermitRootLogin without-password". # If you just want the PAM account and session checks to run without # PAM authentication, then enable this but set PasswordAuthentication # and ChallengeResponseAuthentication to 'no'. # WARNING: 'UsePAM no' is not supported in Red Hat Enterprise Linux and may cause several # problems. UsePAM yes # 是否启用PAM身份认证 #AllowAgentForwarding yes #AllowTcpForwarding yes #GatewayPorts no # 是否允许被远程主机所设置的本地转发端口绑定在非环回地址上 X11Forwarding yes #X11DisplayOffset 10 #X11UseLocalhost yes #PermitTTY yes #PrintMotd yes # 登入后是否显示设定的信息；建议设为no #PrintLastLog yes # 是否显示上次登入的信息 #TCPKeepAlive yes #UseLogin no # 是否接受login 这个程序的登入 #UsePrivilegeSeparation sandbox #PermitUserEnvironment no # 是否允许用户将环境选项呈现给ssh守护进程 #Compression delayed #ClientAliveInterval 0 # 设置了ssh服务器端向其客户端发送请求消息（alive消息）的间隔时间，以检测客户端是否还存在，0表示不发送 #ClientAliveCountMax 3 # 允许客户端在接收到服务端的alive消息未响应的最大超时次数，如果客户端在最大超时次数内均未响应，ssh服务会自动终止与客户端的会话。 #ShowPatchLevel no #UseDNS yes # 是否将客户端主机名解析为IP，以检查此主机名是否与其IP地址真实对应；建议去到"#"设为no #PidFile /var/run/sshd.pid # sshd的PID路径文件 #MaxStartups 10:30:100 # 当连接数超过10会以30%的失败率拒绝用户登录（达到100，100%拒绝） #PermitTunnel no #ChrootDirectory none #VersionAddendum none # no default banner path #Banner none # ssh登录提示信息，可去掉"#"自定义，指定全路径文件即可 # Accept locale-related environment variables AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE AcceptEnv XMODIFIERS ## ===== 以下可自行添加到配置文件 ===== # AllowUsers wen 允许的用户登录（包括root）白名单 # DenyUsers cheng 拒绝的用户登录，黑名单（优先级高） # AllowGroups XX 允许的用户组登录 # DenyGroups XXX 拒绝的用户组登录 ## ================================================ # override default of no subsystems Subsystem sftp /usr/libexec/openssh/sftp-server # Example of overriding settings on a per-user basis #Match User anoncvs # X11Forwarding no # AllowTcpForwarding no # PermitTTY no # ForceCommand cvs server
默认/etc/ssh/ssh_config解析。
[root@wenCheng ~]# cat /etc/ssh/ssh_config
.......
# Host * # 选项“Host”只对能够匹配后面字串的计算机有效。“*”表示所有的计算机
# ForwardAgent no # 连接是否经过验证代理（如果存在）转发给远程计算机
# ForwardX11 no # X11连接是否被自动重定向到安全的通道和显示集
# RhostsRSAAuthentication no # 是否使用用RSA算法的基于rhosts的安全验证
# RSAAuthentication yes # 是否使用RSA算法进行安全验证
# PasswordAuthentication yes # 是否使用口令验证
# HostbasedAuthentication no # 是否启用基于主机的身份认证机制
# GSSAPIAuthentication no
# GSSAPIDelegateCredentials no
# GSSAPIKeyExchange no
# GSSAPITrustDNS no
# BatchMode no # 是否在这台计算机上使用“rlogin/rsh”
# CheckHostIP yes # 是否查看连接到服务器的主机的IP地址以防止DNS欺骗。建议设置为“yes”
# AddressFamily any
# ConnectTimeout 0
# StrictHostKeyChecking ask # 自动把计算机的密匙加入“$HOME/.ssh/known_hosts”文件;ask(默认)新的主机密钥将添加到用户知道的主机文件
# IdentityFile ~/.ssh/identity # 从哪个文件读取用户的RSA安全验证标识
# IdentityFile ~/.ssh/id_rsa
# IdentityFile ~/.ssh/id_dsa
# IdentityFile ~/.ssh/id_ecdsa
# IdentityFile ~/.ssh/id_ed25519
# Port 22 # 连接到远程主机的端口
# Protocol 2
# Cipher 3des # 加密用的算法
# Ciphers aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,aes128-cbc,3des-cbc
# MACs hmac-md5,hmac-sha1,umac-64@openssh.com,hmac-ripemd160
# EscapeChar ~ # 设置escape字符
# Tunnel no
# TunnelDevice any:any
# PermitLocalCommand no
# VisualHostKey no
# ProxyCommand ssh -q -W %h:%p gateway.example.com
# RekeyLimit 1G 1h
#
# Uncomment this if you want to use .local domain
# Host *.local
# CheckHostIP no
Host *
GSSAPIAuthentication yes
# If this option is set to yes then remote X11 clients will have full access
# to the original X11 display. As virtually no X11 client supports the untrusted
# mode correctly we set this to yes.
ForwardX11Trusted yes
# Send locale-related environment variables
SendEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
SendEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
SendEnv LC_IDENTIFICATION LC_ALL LANGUAGE
SendEnv XMODIFIERS
SSH认证过程分两种：
1.基于口令认证。
- SSH命令基本用法。
openssh套件中的客户端连接工具
ssh [options] [user@]hostname [command]
-1：强制使用ssh协议版本1；
-2：强制使用ssh协议版本2；
-4：强制使用IPv4地址；
-6：强制使用IPv6地址；
-A：开启认证代理连接转发功能；
-a：关闭认证代理连接转发功能；
-b：使用本机指定地址作为对应连接的源ip地址；
-C：请求压缩所有数据；
-F：指定ssh指令的配置文件；
-f：后台执行ssh指令；
-g：允许远程主机连接主机的转发端口；
-i：指定身份文件；
-l：指定连接远程服务器登录用户名；
-N：不执行远程指令；
-o：指定配置选项；
-p：指定远程服务器上的端口；
-q：静默模式；
-v：详细模式，将输出debug消息，可用于调试。"-vvv"可更详细。
-V：显示版本号并退出。
-o：指定额外选项，选项非常多。
user@hostname ：指定ssh以远程主机hostname上的用户user连接到的远程主机上，若省略user部分，则表示使用本地当前用户。
：如果在hostname上不存在user用户，则连接将失败(将不断进行身份验证)。
command ：要在远程主机上执行的命令。指定该参数时，ssh的行为将不再是登录，而是执行命令，命令执行完毕时ssh连接就关闭。
例：远程主机IP：172.16.70.186 用户：Wen 端口：2221
shell> ssh -l Wen 172.16.70.186 -p2221
shell> ssh Wen@172.16.70.186 -p2221
shell> ssh Wen@172.16.70.186 -p2221 'hostname'
- # 跳板机首次远程连接服务器-01过程
[root@wenCheng ~]# ssh root@172.16.70.186 The authenticity of host '172.16.70.186 (172.16.70.186)' can't be established. ECDSA key fingerprint is SHA256:ZGZdN+a+izupZH7iY2/2VLQhB60QNKvIBLiAJHmf4o4. ECDSA key fingerprint is MD5:e4:2b:df:ac:73:b7:0b:95:a4:7e:4c:97:ba:6e:30:1a. Are you sure you want to continue connecting (yes/no)? yes ## 主机验证 # 这段话的意思是，无法确认host主机的真实性，只知道它的公钥指纹，问你还想继续连接吗？ # 所谓"公钥指纹"，是指公钥长度较长很难比对，所以对其进行MD5计算，将它变成一个128位的指纹。上例中是e4:2b:df:ac:73:b7:0b:95:a4:7e:4c:97:ba:6e:30:1a，再进行比较，就容易多了。 # 那么用户怎么知道远程主机的公钥指纹应该是多少？回答是没有好办法，远程主机必须在自己的网站上贴出公钥指纹，以便用户自行核对。 Warning: Permanently added '172.16.70.186' (ECDSA) to the list of known hosts. root@172.16.70.186's password: ## 用户验证 Last login: Fri Jun 18 08:19:10 2021 from 172.16.70.182 # 当远程主机的公钥被接受以后，它就会被保存在文件$HOME/.ssh/known_hosts之中。下次再连接这台主机，系统就会认出它的公钥已经保存在本地了，从而跳过警告部分，直接提示输入密码。 [root@Server-01 ~]# ls -l /etc/ssh/ssh_host* -rw-r-----. 1 root ssh_keys 227 Jun 17 15:59 /etc/ssh/ssh_host_ecdsa_key -rw-r--r--. 1 root root 162 Jun 17 15:59 /etc/ssh/ssh_host_ecdsa_key.pub -rw-r-----. 1 root ssh_keys 387 Jun 17 15:59 /etc/ssh/ssh_host_ed25519_key -rw-r--r--. 1 root root 82 Jun 17 15:59 /etc/ssh/ssh_host_ed25519_key.pub -rw-r-----. 1 root ssh_keys 1679 Jun 17 15:59 /etc/ssh/ssh_host_rsa_key -rw-r--r--. 1 root root 382 Jun 17 15:59 /etc/ssh/ssh_host_rsa_key.pub # 查看服务器-01上的ecdsa_key.pub [root@Server-01 ~]# cat /etc/ssh/ssh_host_ecdsa_key.pub ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBDiaBpVrOEa+c82sjAXHl7TiQ9RJaPh9U4YLCinNAh3LH2ZX5ykkgEr7gA4Rq1Syd1S6/P3cUHQ5AbgkKiTOpcw= [root@Server-01 ~]# [root@Server-01 ~]# ssh-keygen -l -f /etc/ssh/ssh_host_ecdsa_key 256 SHA256:ZGZdN+a+izupZH7iY2/2VLQhB60QNKvIBLiAJHmf4o4 /etc/ssh/ssh_host_ecdsa_key.pub (ECDSA) [root@Server-01 ~]# logout # Ctrl + d 退出；返回到跳板机 Connection to 172.16.70.186 closed. # 查看跳板机上的known_hosts，对应服务器-01的ecdsa_key.pub [root@wenCheng ~]# cat .ssh/known_hosts 172.16.70.186 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBDiaBpVrOEa+c82sjAXHl7TiQ9RJaPh9U4YLCinNAh3LH2ZX5ykkgEr7gA4Rq1Syd1S6/P3cUHQ5AbgkKiTOpcw= [root@wenCheng ~]# [root@wenCheng ~]# ssh-keygen -l -f .ssh/known_hosts 256 SHA256:ZGZdN+a+izupZH7iY2/2VLQhB60QNKvIBLiAJHmf4o4 172.16.70.186 (ECDSA)
2.基于公钥认证。
- 使用口令认证，每次都必须输入密码，非常麻烦。好在SSH还提供了公钥登录，可以省去输入密码的步骤。
- 所谓"公钥认证"，原理很简单，就是用户将自己的公钥储存在远程主机上。登录的时候，远程主机会向用户发送一段随机字符串，用户用自己的私钥加密后，再发回来。远程主机用事先储存的公钥进行解密，如果成功，就证明用户是可信的，直接允许登录shell，不再要求密码。
- ssh-keygen命令基本用法。
为ssh生成、管理和转换认证密钥 ssh-keygen [options] [command] -b：指定密钥长度；对于RSA密钥，最小要求768位，默认是2048位。DSA密钥必须恰好是1024位 -e：读取openssh的私钥或者公钥文件； -c：修改私钥和公钥文件中的注释。 -C：添加注释； -f：指定用来保存密钥的文件名； -i：读取未加密的ssh-v2兼容的私钥/公钥文件，然后在标准输出设备上显示openssh兼容的私钥/公钥； -l：显示公钥文件的指纹数据； -N：提供一个新密语； -P：提供（旧）密语； -q：静默模式； -t：指定要创建的密钥类型，dsa | ecdsa | ed25519 | rsa | rsa1。 -v：详细模式。ssh-keygen 将会输出处理过程的详细调试信息。常用于调试模数的产生过程。 例：在服务器上生成rsa,4096位,使用者为Wen的密钥对。 shell> ssh-keygen -t rsa -b 4096 -C Wen
- ssh-copy-id命令基本用法。
可以把本地主机的公钥复制到远程主机的authorized_keys文件上 ssh-copy-id [option] [user@]hostname -i 指定认证文件(公钥) -f 强制模式 -n 测试,不实际替换 -p port 指定端口 -o option 指定其他 ssh 参数 例：将跳板机的/root/.ssh/id_rsa.pub公钥发送到远程服务器172.16.0.1的Wen用户上。 shell> ssh-copy-id -i /root/.ssh/id_rsa.pub Wen@172.16.0.1
- # 跳板机首次远程连接服务器-02过程
# 在跳板机wenCheng操作 例1：交互式生成密钥对 [root@wenCheng ~]# ssh-keygen # 可自定义参数 -t rsa -b 4096 -C WenCheng Generating public/private rsa key pair. Enter file in which to save the key (/root/.ssh/id_rsa): # 回车，默认key保存路径/root/.ssh/id_rsa;可自定义，如/root/.ssh/WenCheng_rsa Enter passphrase (empty for no passphrase): # 回车，默认key不设置密码；建议设置密码 Enter same passphrase again: Your identification has been saved in /root/.ssh/id_rsa. Your public key has been saved in /root/.ssh/id_rsa.pub. The key fingerprint is: SHA256:zyMrRak1AcDZf9SzJKKXLGwJwNjJfsdztHzF08t+URI root@wenCheng The key's randomart image is: +---[RSA 2048]----+ | =.+.+.. o .E. | |. = + . + o B o .| | . + B B + = o.| | . . X & o . o. | | . o OS+ . .| | . .o . .| | .. + . | | . o . | | .. | +----[SHA256]-----+ [root@wenCheng ~]# ssh-keygen -l -f .ssh/id_rsa.pub # 查看生成公钥指纹 2048 SHA256:zyMrRak1AcDZf9SzJKKXLGwJwNjJfsdztHzF08t+URI root@wenCheng (RSA) [root@wenCheng ~]# ls -l .ssh/ -rw-------. 1 root root 1679 Jun 18 17:23 id_rsa -rw-r--r--. 1 root root 395 Jun 18 17:23 id_rsa.pub [root@wenCheng ~]# ssh-copy-id -i .ssh/id_rsa.pub root@172.16.70.187 # 将生成的公钥保存至172.16.70.187的root用户的/root/.ssh/authorized_keys /usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: ".ssh/id_rsa.pub" The authenticity of host '172.16.70.187 (172.16.70.187)' can't be established. ECDSA key fingerprint is SHA256:c/5+RMbf79VeNEzwtdtk9cvRoWIDDRg890ew82Hfj+g. ECDSA key fingerprint is MD5:41:ce:da:7c:7d:ce:93:ed:6f:c3:1d:81:6d:02:18:3b. Are you sure you want to continue connecting (yes/no)? yes /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed /usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys root@172.16.70.187's password: # root@172.16.70.187登入密码 Number of key(s) added: 1 Now try logging into the machine, with: "ssh 'root@172.16.70.187'" and check to make sure that only the key(s) you wanted were added. # 在Server-02操作 [root@Server-02 ~]# ssh-keygen -l -f .ssh/authorized_keys 2048 SHA256:zyMrRak1AcDZf9SzJKKXLGwJwNjJfsdztHzF08t+URI root@wenCheng (RSA) =================================================================================== 例2：非交互式生成密钥对 [root@wenCheng ~]# ssh-keygen -f .ssh/id_rsa -N '' Generating public/private rsa key pair. Your identification has been saved in .ssh/id_rsa. Your public key has been saved in .ssh/id_rsa.pub. The key fingerprint is: SHA256:/fbMSIjWa4wzqiuBs8y7bbvTk4DK4Qc3BB37rf4JGn0 root@wenCheng The key's randomart image is: +---[RSA 2048]----+ | ... | | . .. | | .. | | .. . . | | .o . .S . | |o+.+. . o o | |*o+o++.Eooo + | |o=o+++o.= o+ = | | o=**+++ +. . + | +----[SHA256]-----+ [root@wenCheng ~]# ls -l .ssh/ -rw-------. 1 root root 1679 Jun 18 17:47 id_rsa -rw-r--r--. 1 root root 395 Jun 18 17:47 id_rsa.pub [root@wenCheng ~]# ssh-keygen -l -f .ssh/id_rsa.pub 2048 SHA256:/fbMSIjWa4wzqiuBs8y7bbvTk4DK4Qc3BB37rf4JGn0 root@wenCheng (RSA) [root@Server-02 ~]# ls -l .ssh/ -rw-------. 1 root root 395 Jun 18 17:49 authorized_keys [root@Server-02 ~]# [root@Server-02 ~]# ssh-keygen -l -f .ssh/authorized_keys 2048 SHA256:/fbMSIjWa4wzqiuBs8y7bbvTk4DK4Qc3BB37rf4JGn0 root@wenCheng (RSA)
- 跳板机批量实现非交互式双机互信。
#跳板机root@172.16.70.182需要和root@172.16.70.186~root@172.16.70.190配置双机互信
[root@wenCheng ~]# cat ~/sshKey.sh
#!/bin/bash
# 创建密钥对
ssh-keygen -t rsa -b 4096 -C WenCheng -f ~/.ssh/wencheng_rsa -P "123456" &>/dev/null
# 是否安装sshpass
rpm -q sshpass &>/dev/null || yum -y install sshpass &>/dev/null
#批量分发公钥
for ip in `grep Server all_hosts | awk '{print $2}'`
do
echo "==== hsot $ip ===="
# ssh-keyscan $ip >> ~/.ssh/known_hosts 2 > /dev/null
sshpass -p 'centos' ssh-copy-id -i /root/.ssh/wencheng_rsa.pub -o StrictHostKeyChecking=no root@$ip &>/dev/null
REVAL=$?
if [ $REVAL -eq 0 ]
then
echo -e " 33[32m Send publickey to host $ip success!!! 33[0m"
echo
else
echo -e " 33[41;37m Send publickey to host $ip fail!!! 33[0m"
echo
fi
done
[root@wenCheng ~]# cat ~/all_hosts
hostname ip
Server-01 172.16.70.186
Server-02 172.16.70.187
Server-03 172.16.70.188
Server-04 172.16.70.189
Server-05 172.16.70.190
[root@wenCheng ~]# ls .ssh/
id_rsa id_rsa.pub known_hosts wencheng_rsa wencheng_rsa.pub
[root@wenCheng ~]# ssh -i .ssh/wencheng_rsa 172.16.70.186
Enter passphrase for key '.ssh/wencheng_rsa': # 私钥密码 123456
Last login: Mon Jun 21 15:58:06 2021 from 172.16.70.182
[root@Server-01 ~]# hostname -I
172.16.70.186
虽然上面脚本实现了批量互信，但每次指定私钥的时候还得输入这个passphrase密码，此时该如何解决？
- ssh-agent可以通过ssh-add命令向ssh-agent注册本机的私钥，ssh-agent会自动推导出这个私钥的指纹(实际上是ssh-add计算的)保存在自己的小本本里(内存)，以后只要ssh连接某主机(某用户)，将自动转发给ssh-agent，ssh-agent将自动从它的小本本里查找私钥的指纹并将其发送给服务端(sshd端)。如此一来，ssh客户端就无需再指定使用哪个私钥文件去连接。
- 总的看上去，ssh-agent的角色就是帮忙存储、查找并发送对应的指纹而已，也就是说它是一个连接的转发人，扮演的是一个代理的角色。
- ssh-agent命令基本用法。
ssh-agent就是一个密钥管理器，运行ssh-agent以后，使用ssh-add将私钥交给ssh-agent保管，其他程序需要身份验证的时候可以将验证申请交给ssh-agent来完成整个认证过程。 ssh-agent [options] [command [arg ...] -a bind_address：bind the agent to the UNIX-domain socket bind_address. -c：生成C-shell风格的命令输出。 -d：调试模式。 -k：把ssh-agent进程杀掉。 -s：生成Bourne shell 风格的命令输出。 -t life：设置默认值添加到代理人的身份最大寿命。 例：运行ssh-agent shell> eval `ssh-agent` shell> eval "$(ssh-agent)"
- ssh-add命令基本用法。
把专用密钥添加到ssh-agent的高速缓存中 ssh-add [options] [file ...] -D：删除ssh-agent中的所有密钥. -d：从ssh-agent中的删除密钥 -e pkcs11：删除PKCS#11共享库pkcs1提供的钥匙。 -s pkcs11：添加PKCS#11共享库pkcs1提供的钥匙。 -L：显示ssh-agent中的公钥 -l：显示ssh-agent中的密钥 -t life：对加载的密钥设置超时时间，超时ssh-agent将自动卸载密钥 -X：对ssh-agent进行解锁 -x：对ssh-agent进行加锁
使用ssh-agent和ssh-add命令完美解决。
# 跳板机使用指定公钥远程连接服务器 [root@wenCheng ~]# ls .ssh/ id_rsa id_rsa.pub known_hosts wencheng_rsa wencheng_rsa.pub [root@wenCheng ~]# eval `ssh-agent` Agent pid 16800 [root@wenCheng ~]# ssh-add .ssh/wencheng_rsa Enter passphrase for .ssh/wencheng_rsa: # 只在这里输入私钥一次密码 Identity added: .ssh/wencheng_rsa (.ssh/wencheng_rsa) [root@wenCheng ~]# ssh-add -l 4096 SHA256:m9Og2cC65AIfkT6/jXa/L09BUzBsyOV4V9t0XEmNK/0 .ssh/wencheng_rsa (RSA) [root@wenCheng ~]# ssh 172.16.70.186 # 无需再输私钥密码 Last failed login: Mon Jun 21 16:11:53 CST 2021 from 172.16.70.182 on ssh:notty There were 2 failed login attempts since the last successful login. Last login: Mon Jun 21 15:59:50 2021 from 172.16.70.182 [root@Server-01 ~]# hostname -I 172.16.70.186 [root@Server-01 ~]# logout Connection to 172.16.70.186 closed. [root@wenCheng ~]# ssh 172.16.70.187 # 无需再输私钥密码 Last login: Mon Jun 21 15:58:10 2021 from 172.16.70.182 [root@Server-02 ~]# hostname -I 172.16.70.187
- 查询ssh-agent PID 并结束进程
[root@wenCheng ~]# pgrep -l -f ssh-agent 16797 ssh-agent 16800 ssh-agent [root@wenCheng ~]# ps -ef | grep ssh-agent root 16797 1 0 16:13 ? 00:00:00 ssh-agent root 16800 1 0 16:13 ? 00:00:00 ssh-agent [root@wenCheng ~]# ssh-agent -k [root@wenCheng ~]# pkill ssh-agent
- SSH 别名设置，此方法配合ssh 免密码登录 密钥登录可以快速登录服务器。
[root@wenCheng ~]# cat .ssh/config
Host Server-01
HostName 172.16.70.186
User root
Port 22
IdentityFile ~/.ssh/wencheng_rsa
Host Server-02
Hostname 172.16.70.187
User root
Port 22
IdentityFile ~/.ssh/wencheng_rsa
解析：
Host：别名
HostName：指定登录的主机名或IP地址
Port：指定登录的端口号
User：登录用户名
IdentityFile：登录的私钥文件
[root@wenCheng ~]# eval `ssh-agent`
Agent pid 18137
[root@wenCheng ~]# ssh-add .ssh/wencheng_rsa
Enter passphrase for .ssh/wencheng_rsa: # 前面已设置的密码 123456
Identity added: .ssh/wencheng_rsa (.ssh/wencheng_rsa)
[root@wenCheng ~]# ssh-add -l
4096 SHA256:m9Og2cC65AIfkT6/jXa/L09BUzBsyOV4V9t0XEmNK/0 .ssh/wencheng_rsa (RSA)
# 使用别名远程登录172.16.70.186，172.16.70.187 也已无需反复输入key密码
[root@wenCheng ~]# ssh Server-01
Last login: Tue Jun 22 16:14:04 2021 from 172.16.70.182
[root@Server-01 ~]# hostname -I
172.16.70.186
[root@Server-01 ~]# logout
Connection to 172.16.70.186 closed.
[root@wenCheng ~]# ssh Server-02
Last login: Tue Jun 22 16:13:51 2021 from 172.16.70.182
[root@Server-02 ~]# hostname -I
172.16.70.187
附：ssh排查问题
1.判断物理链路是否通ping 本身是icmp协议 2.判断服务是否正常 telnet 172.16.70.186 3.Linux防火墙 systemctl status firewalld 4.打开ssh的调测进行观察 ssh -vvv Wen@172.16.70.186