Linux OpenSSH 服务管理环境准备准备两台虚拟机server 虚拟机并设置ip地址为10.1.8.10/24。client 虚拟机并设置ip地址为 10.1.8.11/24。设置主机名称和名称解析以client为例# 永久设置主机名# hostnamectl set-hostname client.cyw# 临时设置# hostname client.cyw# 验证# hostnameclient.cyw# 准备名称解析[cywclient ~17:34:50]# echo 10.1.8.10 server.cyw server10.1.8.11 client.cyw client/etc/hostsIP地址通过图形化配置nmtui过程省略。OpenSSH 服务介绍SSH 介绍SSH 全称是Secure ShellSSH协议是基于应用层的协议为远程登录会话和其他网络服务提供安全性的协议。实现此功能的传统方式如 telnet (终端仿真协议)、 rcp、ftp、 rlogin、rsh都是极为不安全的并且会使用明文传送密码。OpenSSH 提供了服务端后台程序和客户端工具用来加密远程控件和文件传输过程中的数据并由此来代替原来的类似服务。SSH 建立连接的过程主要分为下面几个阶段SSH协议版本协商阶段SSH目前包括SSH1和SSH2两个大版本。密钥和算法协商阶段SSH支持多种加密算法双方根据自己和对端支持的算法进行协商最终决定要使用的算法。认证阶段服务器和客户端互相进行身份验证。会话请求阶段客户端会向服务器端发送会话请求。会话请求分为这样几类申请对数据传送进行压缩、申请伪终端、启动 X11、TCP/IP 端口转发、启动认证代理等。交互会话阶段会话请求通过后服务器端和客户端进行信息的交互。例如运行 shell、执行命令、传递文件。加密类型对称加密加密和解密都使用一个钥匙。确保数据的完整性、速度快。非对称加密一对钥匙。公钥用来加密数据。私钥用来解密数据。确保数据的安全性。双向加密过程SSH协议是基于非对称加密方法的服务器和客户端都会生成自己的公钥和私钥。公钥用来加密数据。私钥用来解密数据。双向加密过程服务器创建密钥对。远程服务器会在/etc/ssh目录下生成一个名为多个密钥对例如ecdsa类型的密钥对ssh_host_ecdsa_key.pub 公钥和 ssh_host_ecdsa_key 私钥。之后每回启动sshd服务的时候系统会自动在此路径下查找公钥。客户端请求连接。服务器接到请求后把公钥传给客户端使用。客户端记录服务器公钥并计算自己的公私钥。客户端将服务器传来的公钥记录在**~/.ssh/known_hosts** 中若是已经记录有该服务器公钥则比对是否一致一致后就计算客户端自己的公私钥。[cywclient ~10:16:37]$sshserver The authenticity ofhostserver (10.1.8.10)cant be established. ECDSA key fingerprint is SHA256:7dcpZSnly4RZDtj6CwujeLrZCiEeHOuuABgRrgtP4w. ECDSA key fingerprint is MD5:67:19:cb:52:c7:4f:fc:25:e6:c3:ec:22:c3:61:73:ce. Are you sure you want tocontinueconnecting(yes/no)?yes# 作用# 1. 接收server提供的公钥使用这个公钥加密数据发送给对方。# 2. 校验对方的公钥是否正确。如果本地已经提前存储过对方的公钥了客户端使用服务器的公钥加密自己的公钥并发送给服务器。服务器端拥有客户端公钥自己私钥客户端拥有服务器公钥自己私钥组成了非对称加密系统。双向加解密。服务器发送数据用客户端公钥加密客户端收到数据后用自己私钥解密。客户端发送数据用服务器公钥加密服务器收到数据后用自己私钥解密。使用 ssh 访问远端CLIssh 工具演示方式一只指定IP或主机名# 通过IP地址[cywclient ~10:34:01]$ssh10.1.8.10 cyw10.1.8.10s password: Last login: Thu Jul 23 10:20:37 2026 from client.cyw [cywserver ~ 10:34:13]$ # 通过主机名称 [cywclient ~ 10:20:24]$ ssh server cywservers password: Last login: Thu Jul2309:39:422026from10.1.8.1[cywserver ~10:20:37]$方式二额外指定用户名# 指定root用户登录[cywclient ~10:34:50]$sshrootserver rootservers password: Last login: Wed Jul 22 17:12:57 2026 [rootserver ~ 10:35:11]# #或者 [cywclient ~ 10:35:24]$ ssh -l root server rootservers password: Last login: Thu Jul2310:35:112026from client.cyw[rootserver ~10:35:38]#方式三额外指定命令# 同时指定用户和命令[cywclient ~10:35:46]$sshcywserverhostnamecywservers password: server.cyw # 注意shell提示符仍然是本机。 [cywclient ~ 10:36:12]$ [cywclient ~ 10:36:26]$ ssh rootserver hostname;id #多个命令要加引号代表是个整体两个命令之间用分号隔开 rootservers password: server.cywuid0(root)gid0(root)组0(root)环境unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023[cywclient ~10:37:16]$ssh工具配置文件参考SSH_CONFIG(5)。[cywclient ~10:40:39]$manssh_config~/.ssh/config用户自己的配置优先级高于全局配置。文件权限不得高于644。/etc/ssh/ssh_config全局配置应用于所有用户。示例[cywclient ~18:56:56]$mkdir-m700.ssh[cywclient ~18:57:47]$vim~/.ssh/config[cywclient ~18:59:15]$.ssh/known_hosts Host * StrictHostKeyChecking no User root PreferredAuthentications passwordssh[cywclient ~19:00:50]$chmod600.ssh/config# 清空其他主机秘钥[cywclient ~19:01:19]$.ssh/known_hosts# 再次登录不会提示主机key是否校验验证用户也是root[cywclient ~19:01:31]$sshserver Warning: Permanently addedserver,10.1.8.10(ECDSA)to the list of known hosts. rootservers password: Last login: Thu Jul2318:55:202026from server.cyw[rootserver ~19:01:40]#参数说明Host*匹配所有目标服务器。StrictHostKeyChecking no连接目标服务器不校验主机key直接接受。User root连接目标服务器默认使用cyw账户。PreferredAuthentications password连接目标服务器使用密码认证。IdentityFile指定私钥位置。配置文件权限建议设置为只能用户自己读写。[cywclient ~11:15:10]$chmod777~/.ssh/config[cywclient ~11:15:51]$sshserver Bad owner or permissions on /home/cyw/.ssh/config[cywclient ~11:15:59]$chmod600~/.ssh/config[cywclient ~11:16:09]$sshserver rootservers password: Last login: Thu Jul2311:09:262026from client.cyw配置 ssh 密钥认证使用密钥登录避免输入密码更安全。配置过程#配置前需要先 [cywclient ~ 19:16:28]$ vim ~/.ssh/config#将PreferredAuthentications password屏蔽# PreferredAuthentications password# 客户端生成密钥对[cywclient ~11:18:15]$ ssh-keygen Generating public/private rsa key pair.# 私钥保存位置Enterfileinwhichto save the key(/home/cyw/.ssh/id_rsa):回车# 私钥加密密码回车表示不加密Enter passphrase(emptyforno passphrase):回车# 再次回车Enter same passphrase again:回车 Your identification has been savedin/home/cyw/.ssh/id_rsa. Your public key has been savedin/home/cyw/.ssh/id_rsa.pub. The key fingerprint is: SHA256:yTAIHeiJsRR1SYdLsuTudEiMh2gPhd5JDtHt19NpnLM cywclient.cyw The keys randomart image is: ---[RSA 2048]---- | oBo. | |..Bo*. | |%.B . o o | |*oX o B | |. * . . S o o | | . E | | o . | | . | | | ----[SHA256]----- # 查看生成的文件 [cywclient ~ 11:28:10]$ ls .ssh config id_rsa id_rsa.pub known_hosts # 将公钥推动给目标服务器上的目标用户 [cywclient ~ 11:30:27]$ ssh-copy-id cywserver /usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: /home/cyw/.ssh/id_rsa.pub /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed /usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys cywservers password: Number of key(s)added:1Now try logging into the machine, with:ssh cywserverand check tomakesure that only the key(s)you wanted were added.# 验证[cywclient ~11:31:08]$sshcywserverhostnameserver.cyw[cywclient ~11:32:03]$# 推送公钥相当于# 将公钥内容保存到目标服务器上目标用户家目录下.ssh/authorized_keys中[cywclient ~11:32:08]$cat.ssh/id_rsa.pub ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDaOT3w1XW8kNGQFALSzlw6UF5BWdqXsgNmXIrhJnBI8tqrOQXiZ/6LU1zkgdKM2NL/IpQ0sy2/WIVlCOAuCDeh1tPJL9oExI4w51SAp5hcDNw5L2yDDEScogdQTeLB6PhasUgYWkznQGq7oZ1NeTlDdOA4iFEBFMqik1j0wM2tnhS/Q/DC/7yJyIgGvNrIIq4lvGqRAyUKJR8wyClFbYYLE6WII6BZtatPl7CLJZ751lmKOYFrQ8RZjkCRxK/Mf1tLfvo5HYCz0m14xyk7zFLL2eTjL6ZNv2oxBG7MquDbpySJ349yH/wEFqbKKtHIfE6epYN0TQc7eCJz//x cywclient.cyw# 在server端查看[cywserver ~11:33:59]$cat.ssh/authorized_keys ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDaOT3w1XW8kNGQFALSzlw6UF5BWdqXsgNmXIrhJnBI8tqrOQXiZ/6LU1zkgdKM2NL/IpQ0sy2/WIVlCOAuCDeh1tPJL9oExI4w51SAp5hcDNw5L2yDDEScogdQTeLB6PhasUgYWkznQGq7oZ1NeTlDdOA4iFEBFMqik1j0wM2tnhS/Q/DC/7yJyIgGvNrIIq4lvGqRAyUKJR8wyClFbYYLE6WII6BZtatPl7CLJZ751lmKOYFrQ8RZjkCRxK/Mf1tLfvo5HYCz0m14xyk7zFLL2eTjL6ZNv2oxBG7MquDbpySJ349yH/wEFqbKKtHIfE6epYN0TQc7eCJz//x cywclient.cyw# 推给目标主机root用户[rootserver ~11:33:44]# mkdir -m 700 .ssh[rootserver ~11:33:59]# cp ~cyw/.ssh/authorized_keys .ssh# 客户端验证[cywclient ~11:33:17]$sshrootserverhostnameserver.cyw以非交互方式生成密钥对[cywclient ~11:35:54]$ ssh-keygen-trsa-N-fid_rsa_new Generating public/private rsa key pair. Your identification has been savedinid_rsa_new. Your public key has been savedinid_rsa_new.pub. The key fingerprint is: SHA256:tnb0a0rhEom1dwgncgDEFEYvfkQf5ZpQtSD/cVHTmf0 cywclient.cyw The keys randomart image is: ---[RSA2048]----|Bo oo..o.||..o * ..o||.B..||.o * X E||.o S *.||..* || .||...||.o.|----[SHA256]-----[cywclient ~11:37:52]$ls*new* id_rsa_new id_rsa_new.pub其他选项# -i 指定私钥位置[cywclient ~11:38:08]$mv.ssh/id_rsa /tmp/[cywclient ~11:38:46]$ssh-i/tmp/id_rsa rootserverhostnameserver.cyw# 如果找不到密钥则使用密码登录# -p 选项指定目标服务器 sshd 服务端口号默认22[cywclient ~11:40:21]$ssh-lroot-p1022serverhostnamerootservers password: server.cyw控制工具的执行行为有两种方式工具选项工具的配置文件默认排故故障配置密钥登录后远程登录仍要需要输入密码验证。[cywclient ~13:49:43]$sshrootserverhostnamerootservers password:模拟将目标主机上目标用户的家目录的权限改为777。[rootserver ~13:53:01]# chmod 777 /root处理过程查看日志# 客户端登录的时候监控服务端日志[rootserver ~13:59:49]# tail -f /var/log/secure......Jul3116:13:41 server sshd[3693]:Authentication refused: bad ownership or modesfordirectory /root......发现提示文件权限有问题。查找文件权限[rootserver ~14:00:44]# ls -ld /rootdrwxrwxrwx.15root root40967月2313:54 /root#更改权限[rootserver ~14:02:42]# chmod 550 /root[rootserver ~14:04:04]# ls -ld /rootdr-xr-x---.15root root40967月2313:54 /root加固 SSH 服务补充客户端工具修改完配置文件后下次执行客户端工具立刻生效。ssh 工具 /etc/ssh/ssh_config或者~/.ssh/config服务器修改完配置文件后服务程序一直在运行systemctl reload/restart sshd配置文件sshd服务配置文件/etc/ssh/sshd_config。帮助sshd_config(5)常见配置PermitRootLogin prohibit-password禁止root用户通过密码登录。PermitRootLogin no禁止 root 用户登录。root用户权限不受限制。root用户存在每个linux系统只需要猜密码就可以。从审计角度来看很难跟踪哪个授权用户以root身份登录并进行了更改。 如果用户必须以普通用户身份登录并切换到root帐户则会生成一个日志事件可用于帮助提供问责制。PasswordAuthentication no禁止用户使用密码登录。AllowUsers exampleuser允许特定用户登录该用户可以提权为root。UseDNS no客户端连接服务器的时候服务器不需要反向解析服务端IP地址提高连接速度。1. 禁止 root 密码登录环境准备提前配置好 root 秘钥登录。[rootserver ~17:10:48]# vim /etc/ssh/sshd_config#PermitRootLogin yes# 添加一行PermitRootLogin prohibit-password#禁止root用密码登录#重启服务[rootserver ~17:12:34]# systemctl reload sshd连接测试# 即使使用正确的密码也无法远程登录[cywclient ~17:07:50]$sshrootserver Permission denied, please try again. rootservers password: Permission denied, please try again. rootservers password: Permission denied(publickey,gssapi-keyex,gssapi-with-mic,password).# 如果配置了秘钥登录则需要使用选项强制密码认证[cywclient ~17:14:49]$ssh-oPreferredAuthenticationspassword rootserver2. 禁止 root 登录环境准备[rootserver ~17:12:37]# vim /etc/ssh/sshd_config#PermitRootLogin yes# 添加一行PermitRootLogin no# 重启服务[rootserver ~17:15:42]# systemctl reload sshd连接测试不管是密码还是秘钥都无法登录# 即使配置了免密登录也无法远程登录[cywclient ~17:14:56]$sshrootserver rootservers password: Permission denied, please try again. rootservers password: Permission denied, please try again. rootservers password: Permission denied (publickey,gssapi-keyex,gssapi-with-mic,password). # 但是可以使用普通用户登录然后提权为root用户 [cywclient ~ 17:18:34]$ ssh cywserver cywservers password: Last login: Thu Jul2317:18:312026from client.cyw[cywserver ~17:18:40]$su-lroot 密码[rootserver ~17:20:51]#3. 禁止密码登录环境准备[rootserver ~17:16:40]# vim /etc/ssh/sshd_config# 注释原有行#PasswordAuthentication yes# 添加新行设置为noPasswordAuthentication no[rootserver ~17:23:05]# systemctl reload sshd连接测试秘钥可以登录# cyw账户未配置密钥登录直接拒绝[cywclient ~17:26:55]$ssh-oPreferredAuthenticationspassword cywserver Permission denied(publickey,gssapi-keyex,gssapi-with-mic).# 秘钥登录仍然支持[cywclient ~17:28:18]$sshrootserver Last login: Thu Jul2317:20:5020264. 只允许特定用户登录环境准备laowang用户也可以秘钥登录。[rootserver ~19:41:11]# useradd laowang[rootserver ~19:42:31]# echo 123 | passwd --stdin laowang更改用户 laowang 的密码 。 passwd所有的身份验证令牌已经成功更新。[rootserver ~19:42:51]# mkdir -m 700 /home/laowang/.ssh[rootserver ~19:43:37]# cp .ssh/authorized_keys /home/laowang/.ssh/[rootserver ~19:44:01]# chown -R laowang:laowang /home/laowang/.ssh/配置sshd服务rootserver ~ 19:44:43]# vim /etc/ssh/sshd_config # 最后添加一行 AllowUsers cyw [rootserver ~ 19:45:55]# systemctl reload sshd测试连接cyw 可以通过秘钥认证登录laowang不管通过什么方式认证都不可以登录。[cywclient ~19:41:43]$sshlaowangserverhostnamePermission denied(publickey,gssapi-keyex,gssapi-with-mic).[cywclient ~19:46:54]$sshcywserverhostnameserver.cyw
给远程连接加层加密铠甲，OpenSSH 全攻略
Linux OpenSSH 服务管理环境准备准备两台虚拟机server 虚拟机并设置ip地址为10.1.8.10/24。client 虚拟机并设置ip地址为 10.1.8.11/24。设置主机名称和名称解析以client为例# 永久设置主机名# hostnamectl set-hostname client.cyw# 临时设置# hostname client.cyw# 验证# hostnameclient.cyw# 准备名称解析[cywclient ~17:34:50]# echo 10.1.8.10 server.cyw server10.1.8.11 client.cyw client/etc/hostsIP地址通过图形化配置nmtui过程省略。OpenSSH 服务介绍SSH 介绍SSH 全称是Secure ShellSSH协议是基于应用层的协议为远程登录会话和其他网络服务提供安全性的协议。实现此功能的传统方式如 telnet (终端仿真协议)、 rcp、ftp、 rlogin、rsh都是极为不安全的并且会使用明文传送密码。OpenSSH 提供了服务端后台程序和客户端工具用来加密远程控件和文件传输过程中的数据并由此来代替原来的类似服务。SSH 建立连接的过程主要分为下面几个阶段SSH协议版本协商阶段SSH目前包括SSH1和SSH2两个大版本。密钥和算法协商阶段SSH支持多种加密算法双方根据自己和对端支持的算法进行协商最终决定要使用的算法。认证阶段服务器和客户端互相进行身份验证。会话请求阶段客户端会向服务器端发送会话请求。会话请求分为这样几类申请对数据传送进行压缩、申请伪终端、启动 X11、TCP/IP 端口转发、启动认证代理等。交互会话阶段会话请求通过后服务器端和客户端进行信息的交互。例如运行 shell、执行命令、传递文件。加密类型对称加密加密和解密都使用一个钥匙。确保数据的完整性、速度快。非对称加密一对钥匙。公钥用来加密数据。私钥用来解密数据。确保数据的安全性。双向加密过程SSH协议是基于非对称加密方法的服务器和客户端都会生成自己的公钥和私钥。公钥用来加密数据。私钥用来解密数据。双向加密过程服务器创建密钥对。远程服务器会在/etc/ssh目录下生成一个名为多个密钥对例如ecdsa类型的密钥对ssh_host_ecdsa_key.pub 公钥和 ssh_host_ecdsa_key 私钥。之后每回启动sshd服务的时候系统会自动在此路径下查找公钥。客户端请求连接。服务器接到请求后把公钥传给客户端使用。客户端记录服务器公钥并计算自己的公私钥。客户端将服务器传来的公钥记录在**~/.ssh/known_hosts** 中若是已经记录有该服务器公钥则比对是否一致一致后就计算客户端自己的公私钥。[cywclient ~10:16:37]$sshserver The authenticity ofhostserver (10.1.8.10)cant be established. ECDSA key fingerprint is SHA256:7dcpZSnly4RZDtj6CwujeLrZCiEeHOuuABgRrgtP4w. ECDSA key fingerprint is MD5:67:19:cb:52:c7:4f:fc:25:e6:c3:ec:22:c3:61:73:ce. Are you sure you want tocontinueconnecting(yes/no)?yes# 作用# 1. 接收server提供的公钥使用这个公钥加密数据发送给对方。# 2. 校验对方的公钥是否正确。如果本地已经提前存储过对方的公钥了客户端使用服务器的公钥加密自己的公钥并发送给服务器。服务器端拥有客户端公钥自己私钥客户端拥有服务器公钥自己私钥组成了非对称加密系统。双向加解密。服务器发送数据用客户端公钥加密客户端收到数据后用自己私钥解密。客户端发送数据用服务器公钥加密服务器收到数据后用自己私钥解密。使用 ssh 访问远端CLIssh 工具演示方式一只指定IP或主机名# 通过IP地址[cywclient ~10:34:01]$ssh10.1.8.10 cyw10.1.8.10s password: Last login: Thu Jul 23 10:20:37 2026 from client.cyw [cywserver ~ 10:34:13]$ # 通过主机名称 [cywclient ~ 10:20:24]$ ssh server cywservers password: Last login: Thu Jul2309:39:422026from10.1.8.1[cywserver ~10:20:37]$方式二额外指定用户名# 指定root用户登录[cywclient ~10:34:50]$sshrootserver rootservers password: Last login: Wed Jul 22 17:12:57 2026 [rootserver ~ 10:35:11]# #或者 [cywclient ~ 10:35:24]$ ssh -l root server rootservers password: Last login: Thu Jul2310:35:112026from client.cyw[rootserver ~10:35:38]#方式三额外指定命令# 同时指定用户和命令[cywclient ~10:35:46]$sshcywserverhostnamecywservers password: server.cyw # 注意shell提示符仍然是本机。 [cywclient ~ 10:36:12]$ [cywclient ~ 10:36:26]$ ssh rootserver hostname;id #多个命令要加引号代表是个整体两个命令之间用分号隔开 rootservers password: server.cywuid0(root)gid0(root)组0(root)环境unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023[cywclient ~10:37:16]$ssh工具配置文件参考SSH_CONFIG(5)。[cywclient ~10:40:39]$manssh_config~/.ssh/config用户自己的配置优先级高于全局配置。文件权限不得高于644。/etc/ssh/ssh_config全局配置应用于所有用户。示例[cywclient ~18:56:56]$mkdir-m700.ssh[cywclient ~18:57:47]$vim~/.ssh/config[cywclient ~18:59:15]$.ssh/known_hosts Host * StrictHostKeyChecking no User root PreferredAuthentications passwordssh[cywclient ~19:00:50]$chmod600.ssh/config# 清空其他主机秘钥[cywclient ~19:01:19]$.ssh/known_hosts# 再次登录不会提示主机key是否校验验证用户也是root[cywclient ~19:01:31]$sshserver Warning: Permanently addedserver,10.1.8.10(ECDSA)to the list of known hosts. rootservers password: Last login: Thu Jul2318:55:202026from server.cyw[rootserver ~19:01:40]#参数说明Host*匹配所有目标服务器。StrictHostKeyChecking no连接目标服务器不校验主机key直接接受。User root连接目标服务器默认使用cyw账户。PreferredAuthentications password连接目标服务器使用密码认证。IdentityFile指定私钥位置。配置文件权限建议设置为只能用户自己读写。[cywclient ~11:15:10]$chmod777~/.ssh/config[cywclient ~11:15:51]$sshserver Bad owner or permissions on /home/cyw/.ssh/config[cywclient ~11:15:59]$chmod600~/.ssh/config[cywclient ~11:16:09]$sshserver rootservers password: Last login: Thu Jul2311:09:262026from client.cyw配置 ssh 密钥认证使用密钥登录避免输入密码更安全。配置过程#配置前需要先 [cywclient ~ 19:16:28]$ vim ~/.ssh/config#将PreferredAuthentications password屏蔽# PreferredAuthentications password# 客户端生成密钥对[cywclient ~11:18:15]$ ssh-keygen Generating public/private rsa key pair.# 私钥保存位置Enterfileinwhichto save the key(/home/cyw/.ssh/id_rsa):回车# 私钥加密密码回车表示不加密Enter passphrase(emptyforno passphrase):回车# 再次回车Enter same passphrase again:回车 Your identification has been savedin/home/cyw/.ssh/id_rsa. Your public key has been savedin/home/cyw/.ssh/id_rsa.pub. The key fingerprint is: SHA256:yTAIHeiJsRR1SYdLsuTudEiMh2gPhd5JDtHt19NpnLM cywclient.cyw The keys randomart image is: ---[RSA 2048]---- | oBo. | |..Bo*. | |%.B . o o | |*oX o B | |. * . . S o o | | . E | | o . | | . | | | ----[SHA256]----- # 查看生成的文件 [cywclient ~ 11:28:10]$ ls .ssh config id_rsa id_rsa.pub known_hosts # 将公钥推动给目标服务器上的目标用户 [cywclient ~ 11:30:27]$ ssh-copy-id cywserver /usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: /home/cyw/.ssh/id_rsa.pub /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed /usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys cywservers password: Number of key(s)added:1Now try logging into the machine, with:ssh cywserverand check tomakesure that only the key(s)you wanted were added.# 验证[cywclient ~11:31:08]$sshcywserverhostnameserver.cyw[cywclient ~11:32:03]$# 推送公钥相当于# 将公钥内容保存到目标服务器上目标用户家目录下.ssh/authorized_keys中[cywclient ~11:32:08]$cat.ssh/id_rsa.pub ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDaOT3w1XW8kNGQFALSzlw6UF5BWdqXsgNmXIrhJnBI8tqrOQXiZ/6LU1zkgdKM2NL/IpQ0sy2/WIVlCOAuCDeh1tPJL9oExI4w51SAp5hcDNw5L2yDDEScogdQTeLB6PhasUgYWkznQGq7oZ1NeTlDdOA4iFEBFMqik1j0wM2tnhS/Q/DC/7yJyIgGvNrIIq4lvGqRAyUKJR8wyClFbYYLE6WII6BZtatPl7CLJZ751lmKOYFrQ8RZjkCRxK/Mf1tLfvo5HYCz0m14xyk7zFLL2eTjL6ZNv2oxBG7MquDbpySJ349yH/wEFqbKKtHIfE6epYN0TQc7eCJz//x cywclient.cyw# 在server端查看[cywserver ~11:33:59]$cat.ssh/authorized_keys ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDaOT3w1XW8kNGQFALSzlw6UF5BWdqXsgNmXIrhJnBI8tqrOQXiZ/6LU1zkgdKM2NL/IpQ0sy2/WIVlCOAuCDeh1tPJL9oExI4w51SAp5hcDNw5L2yDDEScogdQTeLB6PhasUgYWkznQGq7oZ1NeTlDdOA4iFEBFMqik1j0wM2tnhS/Q/DC/7yJyIgGvNrIIq4lvGqRAyUKJR8wyClFbYYLE6WII6BZtatPl7CLJZ751lmKOYFrQ8RZjkCRxK/Mf1tLfvo5HYCz0m14xyk7zFLL2eTjL6ZNv2oxBG7MquDbpySJ349yH/wEFqbKKtHIfE6epYN0TQc7eCJz//x cywclient.cyw# 推给目标主机root用户[rootserver ~11:33:44]# mkdir -m 700 .ssh[rootserver ~11:33:59]# cp ~cyw/.ssh/authorized_keys .ssh# 客户端验证[cywclient ~11:33:17]$sshrootserverhostnameserver.cyw以非交互方式生成密钥对[cywclient ~11:35:54]$ ssh-keygen-trsa-N-fid_rsa_new Generating public/private rsa key pair. Your identification has been savedinid_rsa_new. Your public key has been savedinid_rsa_new.pub. The key fingerprint is: SHA256:tnb0a0rhEom1dwgncgDEFEYvfkQf5ZpQtSD/cVHTmf0 cywclient.cyw The keys randomart image is: ---[RSA2048]----|Bo oo..o.||..o * ..o||.B..||.o * X E||.o S *.||..* || .||...||.o.|----[SHA256]-----[cywclient ~11:37:52]$ls*new* id_rsa_new id_rsa_new.pub其他选项# -i 指定私钥位置[cywclient ~11:38:08]$mv.ssh/id_rsa /tmp/[cywclient ~11:38:46]$ssh-i/tmp/id_rsa rootserverhostnameserver.cyw# 如果找不到密钥则使用密码登录# -p 选项指定目标服务器 sshd 服务端口号默认22[cywclient ~11:40:21]$ssh-lroot-p1022serverhostnamerootservers password: server.cyw控制工具的执行行为有两种方式工具选项工具的配置文件默认排故故障配置密钥登录后远程登录仍要需要输入密码验证。[cywclient ~13:49:43]$sshrootserverhostnamerootservers password:模拟将目标主机上目标用户的家目录的权限改为777。[rootserver ~13:53:01]# chmod 777 /root处理过程查看日志# 客户端登录的时候监控服务端日志[rootserver ~13:59:49]# tail -f /var/log/secure......Jul3116:13:41 server sshd[3693]:Authentication refused: bad ownership or modesfordirectory /root......发现提示文件权限有问题。查找文件权限[rootserver ~14:00:44]# ls -ld /rootdrwxrwxrwx.15root root40967月2313:54 /root#更改权限[rootserver ~14:02:42]# chmod 550 /root[rootserver ~14:04:04]# ls -ld /rootdr-xr-x---.15root root40967月2313:54 /root加固 SSH 服务补充客户端工具修改完配置文件后下次执行客户端工具立刻生效。ssh 工具 /etc/ssh/ssh_config或者~/.ssh/config服务器修改完配置文件后服务程序一直在运行systemctl reload/restart sshd配置文件sshd服务配置文件/etc/ssh/sshd_config。帮助sshd_config(5)常见配置PermitRootLogin prohibit-password禁止root用户通过密码登录。PermitRootLogin no禁止 root 用户登录。root用户权限不受限制。root用户存在每个linux系统只需要猜密码就可以。从审计角度来看很难跟踪哪个授权用户以root身份登录并进行了更改。 如果用户必须以普通用户身份登录并切换到root帐户则会生成一个日志事件可用于帮助提供问责制。PasswordAuthentication no禁止用户使用密码登录。AllowUsers exampleuser允许特定用户登录该用户可以提权为root。UseDNS no客户端连接服务器的时候服务器不需要反向解析服务端IP地址提高连接速度。1. 禁止 root 密码登录环境准备提前配置好 root 秘钥登录。[rootserver ~17:10:48]# vim /etc/ssh/sshd_config#PermitRootLogin yes# 添加一行PermitRootLogin prohibit-password#禁止root用密码登录#重启服务[rootserver ~17:12:34]# systemctl reload sshd连接测试# 即使使用正确的密码也无法远程登录[cywclient ~17:07:50]$sshrootserver Permission denied, please try again. rootservers password: Permission denied, please try again. rootservers password: Permission denied(publickey,gssapi-keyex,gssapi-with-mic,password).# 如果配置了秘钥登录则需要使用选项强制密码认证[cywclient ~17:14:49]$ssh-oPreferredAuthenticationspassword rootserver2. 禁止 root 登录环境准备[rootserver ~17:12:37]# vim /etc/ssh/sshd_config#PermitRootLogin yes# 添加一行PermitRootLogin no# 重启服务[rootserver ~17:15:42]# systemctl reload sshd连接测试不管是密码还是秘钥都无法登录# 即使配置了免密登录也无法远程登录[cywclient ~17:14:56]$sshrootserver rootservers password: Permission denied, please try again. rootservers password: Permission denied, please try again. rootservers password: Permission denied (publickey,gssapi-keyex,gssapi-with-mic,password). # 但是可以使用普通用户登录然后提权为root用户 [cywclient ~ 17:18:34]$ ssh cywserver cywservers password: Last login: Thu Jul2317:18:312026from client.cyw[cywserver ~17:18:40]$su-lroot 密码[rootserver ~17:20:51]#3. 禁止密码登录环境准备[rootserver ~17:16:40]# vim /etc/ssh/sshd_config# 注释原有行#PasswordAuthentication yes# 添加新行设置为noPasswordAuthentication no[rootserver ~17:23:05]# systemctl reload sshd连接测试秘钥可以登录# cyw账户未配置密钥登录直接拒绝[cywclient ~17:26:55]$ssh-oPreferredAuthenticationspassword cywserver Permission denied(publickey,gssapi-keyex,gssapi-with-mic).# 秘钥登录仍然支持[cywclient ~17:28:18]$sshrootserver Last login: Thu Jul2317:20:5020264. 只允许特定用户登录环境准备laowang用户也可以秘钥登录。[rootserver ~19:41:11]# useradd laowang[rootserver ~19:42:31]# echo 123 | passwd --stdin laowang更改用户 laowang 的密码 。 passwd所有的身份验证令牌已经成功更新。[rootserver ~19:42:51]# mkdir -m 700 /home/laowang/.ssh[rootserver ~19:43:37]# cp .ssh/authorized_keys /home/laowang/.ssh/[rootserver ~19:44:01]# chown -R laowang:laowang /home/laowang/.ssh/配置sshd服务rootserver ~ 19:44:43]# vim /etc/ssh/sshd_config # 最后添加一行 AllowUsers cyw [rootserver ~ 19:45:55]# systemctl reload sshd测试连接cyw 可以通过秘钥认证登录laowang不管通过什么方式认证都不可以登录。[cywclient ~19:41:43]$sshlaowangserverhostnamePermission denied(publickey,gssapi-keyex,gssapi-with-mic).[cywclient ~19:46:54]$sshcywserverhostnameserver.cyw
