linux之ssh

SSH远程连接协议

SSH远程管理

定义

  • SSH（Secure Shell ）是一种安全通道协议，主要用来实现字符界面的远程的登录、远程复制等功能。

  • SSH协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入的用户口令。因此SSH协议具有很好的安全性。

优点

  • 安全性：数据传输是加密的，可以防止信息泄露

  • 身份验证：防止未经授权的用户访问远程系统

  • 远程管理：可通过SSH协议登录远程服务器并执行命令，无需直接物理访问设备

  • 端口转发：SSH支持端口转发功能，可以安全地传输其它协议和应用程序

  • 传输速度：数据传输是经过压缩的，可以提高传输速度

ssh服务的最佳设置

  1. 建议使用非默认端口 22

  2. 禁止使用protocol version 1

  3. 限制可登录用户 白名单

  4. 设定空闲会话超时时长

  5. 利用防火墙设置ssh访问策略

  6. 仅监听特定的IP地址 公网 内网

  7. 基于口令认证时，使用强密码策略，比如：tr -dc A-Za-z0-9_ < /dev/urandom | head -c 12| xargs

  8. 使用基于密钥的认证

  9. 禁止使用空密码

  10. 禁止root用户直接登录

  11. 限制ssh的访问频度和并发在线数

  12. 经常分析日志 分离

客户端与服务器所使用的软件

  • 客户端软件

    • Putty、Xshell、CRT、MobaXterm

  • 服务器软件

    • OpenSSH 是实现 SSH 协议的开源软件项目，适用于各种 UNIX、Linux 操作系统。

    • CentOS 7系统默认已安装openssh相关软件包，并已将 sshd 服务添加为开机自启动。

SSH服务开启、端口号和配置文件路径

  • 开启SSH服务

systemctl start sshd

  • SSH服务的默认端口号：22

  • SSH服务的配置文件路径

    • 服务器端：

    /etc/ssh/sshd_config                #针对服务端的配置文件

    • 客户端

    /etc/ssh/ssh_config                 #针对客户端的配置文件

SSH程序名和主程序进程

sshd                    #程序名
/usr/sbin/sshd          #服务端主进程

加密方式

  • 对称加密

  1. 概念

采用单钥密码系统的加密方法，同一个密钥可以同时用作信息的加密和解密，这种加密方法称为对称加密，由于其速度快，对称性加密通常在消息发送方需要加密大量数据时使用

  1. 常用算法

DES、3DES、TDEA、Blowfish、RC2、RC4、RC5、IDEA、SKIPJACK等

  1. 特点

    1. 加密方和解密方使用同一个密钥

    2. 加密解密的速度比较快，适合数据比较长时的使用；

    3. 密钥传输的过程不安全，且容易被破解，密钥管理也比较麻烦；

  2. 优点

    1. 算法公开

    2. 计算量小

    3. 加密速度快

    4. 加密效率高

  3. 缺点

    1. 在数据传送前，发送方和接收方必须商定好秘钥，然后使双方都能保存好秘钥

    2. 其次如果一方的秘钥被泄露，那么加密信息也就不安全了

    3. 每对用户每次使用对称加密算法时，都需要使用其他人不知道的独一秘钥，这会使得收、发双方所拥有的钥匙数量巨大，密钥管理成为双方的负担

  • 非对称加密

  1. 概念

非对称加密算法需要两个密钥：公开密钥（publickey:简称公钥）和私有密钥（privatekey:简称私钥）。公钥与私钥是一对，如果用公钥对数据进行加密，只有用对应的私钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。

  1. 常用算法

    1. RSA（RSA algorithm）：目前使用最广泛的算法

    2. DSA（Digital Signature Algorithm）：数字签名算法，和 RSA 不同的是 DSA仅能用于数字签名，不能进行数据加密解密，其安全性和RSA相当，但其性能要比RSA快

    3. ECC（Elliptic curve cryptography，椭圆曲线加密算法）

    4. ECDSA：Elliptic Curve Digital Signature Algorithm，椭圆曲线签名算法，是ECC和 DSA的结合，相比于RSA算法，ECC 可以使用更小的秘钥，更高的效率，提供更高的安全保障

  2. 原理

  • 客户端向服务端发起连接请求

  • 服务端收到请求后，将会话id和服务端的公钥交给客户端

  • 客户端接收后，将会话id和客户端的公钥进行异或运算得到回复信息Res(Res=会话id^客户端公钥）

  • 客户端再将Res用服务端的公钥加密，得到密文U（U=Res+服务端的公钥id）,并将密文U交给服务端

  • 服务端用服务端私钥将密文U解密，得到回复信息Res

  • 服务端将Res和会话id进行异或运算，得到客户端的公钥

OpenSSH服务端配置文件格式

sshd_config配置文件的常用选项

[root@localhost ~]# vim /etc/ssh/sshd_config
​
#Port 22                                    #端口号为22
#AddressFamily any
#ListenAddress 0.0.0.0                      #监听地址为任意网段，也可以指定OpenSSH服务器的具体IP
​
​
#LoginGraceTime 2m                          #登录验证时间为2分钟
#PermitRootLogin yes                        #允许root用户登录
#StrictModes yes                            #检查.ssh/文件的所有者，权限等
#MaxAuthTries 6                             #最大重试次数为6
#MaxSessions 10                             #同一个连接最大会话为10个
​
#PubkeyAuthentication yes                   #基于key验证
​
UseDNS yes                                  #提高速度可改为no   内网改为no  禁用反向解析
​

黑名单和白名单限制配置

Allowusers……    #仅允许某某用户登陆（白名单）
​
Denyusers ……    #禁止某些用户登录，用法于AllowUsers 类似（黑名单，注意不要同时使用）

使用SSH程序

登录方式

准备工作

#服务端准备工作
[root@Root2 ~]# systemctl disable firewalld
[root@Root2 ~]# setenforce 0
#客户端准备工作
[root@Root1 ~]# systemctl disable firewalld
[root@Root1 ~]# setenforce 0
​
# 一定要关闭防火墙和降低限制，否则ssh服务无法重启！

默认端口登录远程主机
ssh 远程主机用户名@远程主机名或IP地址 -p 端口号
-p          #指定登录端口号（当服务端的端口号为非默认22时，需要使用-P来指定自定义的端口号）
[root@localhost ~]# ssh 192.168.137.200             #输入远程主机IP地址
The authenticity of host '192.168.137.200 (192.168.137.200)' can't be established.
ECDSA key fingerprint is SHA256:xI7IIfZIDyIu4JSxmY/+NIgNPdMoDdRCjOuzlJ3L9rk.
ECDSA key fingerprint is MD5:c3:14:88:de:b3:14:01:f3:ad:90:4a:80:0f:02:fc:d9.
Are you sure you want to continue connecting (yes/no)? yes  #确认是否连接
Warning: Permanently added '192.168.137.200' (ECDSA) to the list of known hosts.
root@192.168.137.200's password:                    #输入远程主机登录密码 
Last login: Mon Apr 29 09:21:28 2024 from 192.168.137.100
非默认端口登录远程主机

生产环境中作为安全加固设置必须配置

服务端
[root@Root2 ~]# vim /etc/ssh/sshd_config 
​
Port 224                            #ssh协议端口号更改为224
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::
​
​
客户端
[root@Root1 ~]# vim /etc/ssh/sshd_config 
Port 224                            #ssh协议端口号更改为224，与服务端匹配
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::
​
[root@Root1 ~]# ssh 192.168.137.200 -p 224                                                          #指定224端口号远程连接root2服务端
The authenticity of host '[192.168.137.200]:224 ([192.168.137.200]:224)' can't be established.
ECDSA key fingerprint is SHA256:xI7IIfZIDyIu4JSxmY/+NIgNPdMoDdRCjOuzlJ3L9rk.
ECDSA key fingerprint is MD5:c3:14:88:de:b3:14:01:f3:ad:90:4a:80:0f:02:fc:d9.
Are you sure you want to continue connecting (yes/no)? yes                                          #手动确认是否连接服务端
Warning: Permanently added '[192.168.137.200]:224' (ECDSA) to the list of known hosts.
root@192.168.137.200's password:                                                                    #输入服务端登录密码
Last login: Mon Apr 29 15:56:48 2024 from 192.168.137.100
[root@Root2 ~]#                                                                                     #远程登录root2服务端成功
​
免密码远程登录主机

  • 目的：使主机与主机之间远程登录时不再需要输入登录密码，增加操作的便利度

这里只是免密码登录而不是密钥登录，依旧保证密钥传输的安全性

  • 未设置免密码登录时的状态

[root@Root1 ~]# ssh 192.168.137.200 -p 224
root@192.168.137.200's password:                    #这里依旧需要输入服务端的登录密码
​

  • 扩展

    • -t ：可以选择密钥的算法

    • [root@Root1 .ssh]# ssh-keygen --help
unknown option -- -
usage: ssh-keygen [-q] [-b bits] [-t dsa | ecdsa | ed25519 | rsa | rsa1][-N new_passphrase] [-C comment] [-f output_keyfile]
#举例：
ssh-keygen -t dsa/ecdsa/rsa/rsa1
#如果不选择-t，就默认选择rsa算法

  • 操作步骤

    • root1为客户端

    • root2为服务端

  1. 在客户端生成密钥文件

[root@Root1 ~]# ssh-keygen                                      #免密码交互设置命令
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):        #第一次交互：指定密钥保存路径，可自定义，这里直接回车选择默认路径
Enter passphrase (empty for no passphrase):                     #第二次交互：提示密钥文件密码为空（未设置），询问是否设置密钥文件的密码，如果不                                                                            需要设置直接回车进入下一步
Enter same passphrase again:                                    #第三次交互：再次确认是否不设置密钥文件密码，回车确认不需要，完成生成密钥文件
Your identification has been saved in /root/.ssh/id_rsa.        #私钥文件路径
Your public key has been saved in /root/.ssh/id_rsa.pub.        #公钥文件路径
The key fingerprint is:
SHA256:GUULHPimIOZxS5apdT6hjqmE2yTm6QDOxOZ5ax5FQzc root@Root1
The key's randomart image is:
+---[RSA 2048]----+
|     . Eooo      |
|    . o oo .     |
|     = .. .      |
|. + X + oo       |
|.* O B +S        |
|O + + +          |
|+B.*   .         |
|===.+            |
|+=+o             |
+----[SHA256]-----+
​
[root@Root1 ~]# cd /root/.ssh
[root@Root1 .ssh]# ls
id_rsa                                                          #私钥文件
id_rsa.pub                                                      #公钥文件
​

  1. 将客户端的公钥远程复制到服务端

  • 复制命令

ssh-copy-id -i 公钥文件  [用户名]@IP地址 
#将密钥文件传过去
#下次就可以免密登录
#以root用户登录时 可省略
#-i为传输公钥文件的选项

  • 传输过程

[root@Root1 .ssh]# ssh-copy-id -i id_rsa.pub 192.168.137.200 -p 224
#将主机root1的公钥文件远程传输给root2服务端，这里也可以-p，因为端口被自定义为224了，如果是默认22，就不需要-p
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "id_rsa.pub"
The authenticity of host '[192.168.137.200]:224 ([192.168.137.200]:224)' can't be established.
ECDSA key fingerprint is SHA256:xI7IIfZIDyIu4JSxmY/+NIgNPdMoDdRCjOuzlJ3L9rk.
ECDSA key fingerprint is MD5:c3:14:88:de:b3:14:01:f3:ad:90:4a:80:0f:02:fc:d9.
Are you sure you want to continue connecting (yes/no)? yes              #提示是否建立连接
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@192.168.137.200's password:                                        #输入服务端登录密码
​
Number of key(s) added: 1                                               #提示信息表示传输成功
​
Now try logging into the machine, with:   "ssh -p '224' '192.168.137.200'"
and check to make sure that only the key(s) you wanted were added.
​

  • 验证

#公钥传输后的结果
[root@Root1 .ssh]# ssh 192.168.137.200 -p 224
Last login: Mon Apr 29 16:05:36 2024 from 192.168.137.101
#公钥传输前的结果
[root@Root1 ~]# ssh 192.168.137.200 -p 224
root@192.168.137.200's password:            
​
#作为对比，传输公钥后不再需要输入登录密码已经进入root2主机了，说明配置成功了

SSH远程控制服务端

命令

ssh 目标设备的IP地址 命令
#远程控制目标主机使用命令 并将命令执行结果返回本机
​
​
#主机root2的IP地址为192.168.137.200
[root@Root1 .ssh]# ssh 192.168.137.200 -p 224 ls                #查看主机B家目录下有哪些目录或文件 
anaconda-ks.cfg
core.1891
initial-setup-ks.cfg
公共
模板
视频
图片
文档
下载
音乐
桌面
[root@Root1 .ssh]#                                              #这里并没有切换到root2，说明已经通过客户端root1远程控制服务端root2
​

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/pingmian/6515.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

WPF之绑定验证（错误模板使用）

WPF之绑定验证（错误模板使用）

1&#xff0c;前言&#xff1a; 默认情况下&#xff0c;WPF XAML 中使用的绑定并未开启绑定验证&#xff0c;这样导致用户在UI上对绑定的属性进行赋值时即使因不符合规范内部已抛出异常&#xff08;此情况仅限WPF中的数据绑定操作&#xff09;&#xff0c;也被程序默认忽略&…
阅读更多...
《苍穹外卖》前端课程知识点记录

《苍穹外卖》前端课程知识点记录

一、VUE基础知识 基于脚手架创建前端工程 1. 环境要求 安装node.js&#xff1a;Node.js安装与配置&#xff08;详细步骤&#xff09;_nodejs安装及环境配置-CSDN博客查看node和npm的版本号 安装Vue CLI&#xff1a;Vue.js安装与创建默认项目&#xff08;详细步骤&#xff09;…
阅读更多...
分享一篇关于AGI的短文：苦涩的教训

分享一篇关于AGI的短文：苦涩的教训

学习强化学习之父、加拿大计算机科学家理查德萨顿&#xff08; Richard S. Sutton &#xff09;2019年的经典文章《The Bitter Lesson&#xff08;苦涩的教训&#xff09;》。 文章指出&#xff0c;过去70年来AI研究走过的最大弯路&#xff0c;就是过于重视人类既有经验和知识&…
阅读更多...
探究Android的多分辨率支持以及各种类型图标尺寸大小

探究Android的多分辨率支持以及各种类型图标尺寸大小

术语和概念 屏幕尺寸 屏幕的物理尺寸&#xff0c;以屏幕的对角线长度作为依据&#xff08;比如 2.8寸&#xff0c; 3.5寸&#xff09;。 简而言之&#xff0c; Android把所有的屏幕尺寸简化为三大类&#xff1a;大&#xff0c;正常&#xff0c;和小。 程序可以针对这三种尺寸…
阅读更多...
Docker部署nginx并且实现https访问

Docker部署nginx并且实现https访问

实验环境&#xff1a; 在已有的docker环境和nginx镜像的基础上进行操作 1、生成私钥 &#xff08;1&#xff09;openssl genrsa -out key.pem 2048 生成证书签名请求 (CSR) 并自签证书: &#xff08;2&#xff09;openssl req -new -x509 -key key.pem -out cert.pem -day…
阅读更多...
DDD：根据maven的脚手架archetype生成ddd多模块项目目录结构

DDD：根据maven的脚手架archetype生成ddd多模块项目目录结构

随着领域驱动的兴起&#xff0c;很多人都想学习如何进行ddd的项目开发&#xff0c;那ddd的项目结构是怎么样的&#xff1f;又是如何结合SpringBoot呢&#xff1f;那么针对这个问题&#xff0c;笔者使用maven的archetype封装一个相对通用的ddd的项目目录&#xff0c;方便一键生成…
阅读更多...
karpathy Let‘s build GPT

karpathy Let‘s build GPT

1 introduction 按照karpathy的教程&#xff0c;一步步的完成transformer的构建&#xff0c;并在这个过程中&#xff0c;加深对transformer设计的理解。 karpathy推荐在进行网络设计的过程中&#xff0c;同时利用jupyter notebook进行快速测试和python进行主要的网络的构建。 …
阅读更多...
STM32标准库SPI通信协议与W25Q64

STM32标准库SPI通信协议与W25Q64

目录 一、SPI通信 1.SPI通信简介 2.硬件电路 3.移位示意图 4.SPI基本时序图 &#xff08;1&#xff09;起始和终止 &#xff08;2&#xff09;交换一个字节 模式0&#xff1a; 模式1&#xff1a;​编辑 模式2&#xff1a;​编辑 模式3&#xff1a;​编辑 5.SPI时序 …
阅读更多...
初识C语言——第九天

初识C语言——第九天

ASCII定义 在 C 语言中&#xff0c;每个字符都对应一个 ASCII 码。ASCII 码是一个字符集&#xff0c;它定义了许多常用的字符对应的数字编码。这些编码可以表示为整数&#xff0c;也可以表示为字符类型。在 C 语言中&#xff0c;字符类型被定义为一个整数类型&#xff0c;它占…
阅读更多...
数据仓库实验三：分类规则挖掘实验

数据仓库实验三：分类规则挖掘实验

目录 一、实验目的二、实验内容和要求三、实验步骤1、创建数据库和表2、决策树分类规则挖掘&#xff08;1&#xff09;新建一个 Analysis Services 项目 jueceshu&#xff08;2&#xff09;建立数据源视图&#xff08;3&#xff09;建立挖掘结构 DST.dmm&#xff08;4&#xff…
阅读更多...
43 单例模式

43 单例模式

目录 1.什么是单例模式 2.什么是设计模式 3.特点 4.饿汉和懒汉 5.峨汉实现单例 6.懒汉实现单例 7.懒汉实现单例&#xff08;线程安全&#xff09; 8.STL容器是否线程安全 9.智能指针是否线程安全 10.其他常见的锁 11.读者写者问题 1. 什么是单例模式 单例模式是一种经典的&a…
阅读更多...
线性数据结构-手写队列-哈希(散列)Hash

线性数据结构-手写队列-哈希(散列)Hash

什么是hash散列&#xff1f; 哈希表的存在是为了解决能通过O(1)时间复杂度直接索引到指定元素。这是什么意思呢&#xff1f;通过我们使用数组存放元素&#xff0c;都是按照顺序存放的&#xff0c;当需要获取某个元素的时候&#xff0c;则需要对数组进行遍历&#xff0c;获取到指…
阅读更多...
【skill】onedrive的烦人问题

【skill】onedrive的烦人问题

Onedrive的迷惑行为 安装Onedrive&#xff0c;如果勾选了同步&#xff0c;会默认把当前用户的数个文件夹&#xff08;桌面、文档、图片、下载 等等&#xff09;移动到安装时提示的那个文件夹 查看其中的一个文件的路径&#xff1a; 这样一整&#xff0c;原来的文件收到严重影…
阅读更多...
吴恩达2022机器学习专项课程C2（高级学习算法）W1（神经网络）：2.1神经元与大脑

吴恩达2022机器学习专项课程C2（高级学习算法）W1（神经网络）：2.1神经元与大脑

目录 神经网络1.初始动机*2.发展历史3.深度学习*4.应用历程 生物神经元1.基本功能2.神经元的互动方式3.信号传递与思维形成4.神经网络的形成 生物神经元简化1.生物神经元的结构2.信号传递过程3.生物学术语与人工神经网络 人工神经元*1.模型简化2.人工神经网络的构建3.计算和输入…
阅读更多...
Java与Go: 生产者消费者模型

Java与Go: 生产者消费者模型

什么是生产者消费者模型 生产者-消费者模型&#xff08;也称为生产者-消费者问题&#xff09;是一种常见的并发编程模型&#xff0c;用于处理多线程或多进程之间的协同工作。该模型涉及两个主要角色&#xff1a;生产者和消费者&#xff0c;一个次要角色&#xff1a;缓冲区。 生…
阅读更多...
18 内核开发-内核重点数据结构学习

18 内核开发-内核重点数据结构学习

课程简介&#xff1a; Linux内核开发入门是一门旨在帮助学习者从最基本的知识开始学习Linux内核开发的入门课程。该课程旨在为对Linux内核开发感兴趣的初学者提供一个扎实的基础&#xff0c;让他们能够理解和参与到Linux内核的开发过程中。 课程特点&#xff1a; 1. 入门级别&…
阅读更多...
办公数据分析利器：Excel与Power Query透视功能

办公数据分析利器：Excel与Power Query透视功能

数据分析利器&#xff1a;Excel与Power Query透视功能 Excel透视表和Power Query透视功能是强大的数据分析工具&#xff0c;它们使用户能够从大量数据中提取有意义的信息和趋势&#xff0c;可用于汇总、分析和可视化大量数据。 本文通过示例演示Power Query透视功能的一个小技…
阅读更多...
Linux专栏08：Linux基本指令之压缩解压缩指令

Linux专栏08：Linux基本指令之压缩解压缩指令

博客主页&#xff1a;Duck Bro 博客主页系列专栏&#xff1a;Linux专栏关注博主&#xff0c;后期持续更新系列文章如果有错误感谢请大家批评指出&#xff0c;及时修改感谢大家点赞&#x1f44d;收藏⭐评论✍ Linux基本指令之压缩解压缩指令 编号&#xff1a;08 文章目录 Linu…
阅读更多...
Spring Boot与OpenCV：融合机器学习的智能图像与视频处理平台

Spring Boot与OpenCV：融合机器学习的智能图像与视频处理平台

&#x1f9d1; 作者简介&#xff1a;阿里巴巴嵌入式技术专家&#xff0c;深耕嵌入式人工智能领域&#xff0c;具备多年的嵌入式硬件产品研发管理经验。 &#x1f4d2; 博客介绍&#xff1a;分享嵌入式开发领域的相关知识、经验、思考和感悟&#xff0c;欢迎关注。提供嵌入式方向…
阅读更多...
【模板】二维前缀和

【模板】二维前缀和

原题链接&#xff1a;登录—专业IT笔试面试备考平台_牛客网 目录 1. 题目描述 2. 思路分析 3. 代码实现 1. 题目描述 2. 思路分析 二维前缀和板题。 二维前缀和&#xff1a;pre[i][j]a[i][j]pre[i-1][j]pre[i][j-1]-pre[i-1][j-1]; 子矩阵 左上角为(x1,y1) 右下角(x2,y2…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023