文章详细介绍了SSH远程管理的定义、优点、客户端与服务器的使用，以及如何配置OpenSSH服务端，包括sshd_config的配置选项如AllowUser和DenyUser。此外，还讲解了SSH客户端的使用，如SSH远程登录、SCP远程复制和sftp操作。接着，文章讨论了sshd服务的验证方式，特别是密钥对验证的步骤。最后，阐述了TCPWrappers访问控制机制，包括其保护方式、查看链接库、访问策略和基本规则。
SSH远程管理、TCP Wrappers 访问控制
一、SSH远程管理
1、定义
- SSH（Secure Shell ）是一种安全通道协议，主要用来实现字符界面的远程的登录、远程复制等功能。
- SSH协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入的用户口令。因此SSH协议具有很好的安全性。
2、优点
- 数据传输是加密的，可以防止信息泄漏
- 数据传输是压缩的，可以提高传输速度
3、客户端与服务器
-
SSH的客户端有：Putty、Xshell、CRT
-
SSH的服务端：OpenSSH
-
OpenSSH 是实现 SSH 协议的开源软件项目，适用于各种 UNIX、Linux 操作系统。
-
CentOS 7系统默认已安装openssh相关软件包，并已将 sshd 服务添加为开机自启动。
4、SHH服务的开启、端口号和配置文件
SSH服务的开启
执行“ystemctl start sshd”命令即可启动 sshd 服务
-
SSH服务的端口号
sshd 服务使用的默认端口号为 22
-
SSH服务的配置文件
sshd_config 是针对服务端的配置文件
ssh_config 是针对客户端的配置文件
二、配置OpenSSH服务端
1、sshd_config配置文件的常用选项
vim /etc/ssh/sshd_config
Port 22 #监听的端口为22
ListenAddress 0.0.0.0 #监听地址为任意网段，也可以指定OpenSSH服务器的具体IP
LoginGraceTime 2m #登录验证时间为2分钟
PermitRootLogin no #禁止root用户直接ssh登录
MaxAuthTries 6 #验证密码的最大重试次数为 6
PermitEmptyPasswords no #禁止无密码的用户登录
UseDNS no #禁用 DNS 反向解析，以提高服务器的响应速度
AllowUsers zhangsan lisi wangwu@61.23.24.25
#只允许zhangsan、lisi、wangwu用户登录，且其中wangwu用户仅能够从IP地址为61.23.24.25 的主机远程登录
#（此操作相当设置了一个白名单，仅允许白名单中的用户登陆）
DenyUsers zhangsan
#禁止某些用户登录，用法于AllowUsers 类似
#（注意不要同时使用，此操作相当设置了一个黑名单，禁止黑名单中的用户登陆）
2、AllowUser和DenyUser
-
Allowusers…… #仅允许某某用户登陆（此操作相当设置了一个白名单，仅允许白名单中的用户登陆）
-
Denyusers …… #禁止某些用户登录，用法于AllowUsers 类似（注意不要同时使用此操作相当设置了一个黑名单，禁止黑名单中的用户登陆）
三、使用SSH客户端程序
1、SSH远程登录
- 当用户第一次登录SSH服务器时，必须接受服务器发来的ECDSA秘钥（根据提示输入"yes"）后才能继续验证。
- 接收的秘钥信息将保存到 ~/.ssh/known_hosts 文件中，密码验证成功后，即可登录目标服务器的命令环境中了。
SSH [选项] 用户@192.168.92.10
-p 指定远程服务器上的端口，不指定的话默认是22号端口
2、SCP远程复制（跨主机复制内容）
##下行复制：将远程主机的/etc/passwd文件复制到本机##
scp root@192.168.92.10:/etc/123.txt ./aa
##上行复制：将本机的/etc/ssh目录复制到远程主机##
scp - r - P288 /etc/passwd/ root@192.168.92.10:/opt # - r： 复制目录 、 -P：指定端口号
3、sftp 安全 FTP远程复制
- 由于使用了加密/解密技术，所以传输效率比普通的FTP要低，但安全性更高。操作语法sftp和ftp几乎一样
sftp xc04@192.168.92.10
xc04@192.168.184.40's password:
Connected to 192.168.184.40.
sftp> ls
sftp> get 文件名 #下载文件
sftp> put 文件名 #上传文件
sftp> exit #退出
四、sshd服务支持验证方式
1、密码验证
- 对服务器中本地系统用户的登录名称、密码进行验证。简便，但可能会被暴力破解
2、密钥对验证
-
要求提供相匹配的密钥信息才能通过验证。通常先在客户端中创建一对密钥文件（公钥、私钥），然后将公钥文件放到服务器中的指定位置。远程登录时，系统将使用公钥、私钥进行加密/解密关联验证。能增强安全性，且可以免交互登录。
-
公钥和私钥的关系：
公钥和私钥是成对生成的，这两个密钥互不相同，可以互相加密和解密。
不能根据一个密钥来推算出另一个密钥。
公钥对外公开，私钥只有私钥的持有人才知道。
-
当密码验证、密钥对验证都启用时，服务器将优先使用密钥对验证。可根据实际情况设置验证方式。
vim /etc/ssh/sshd_config #编辑服务端主配置文件
PasswordAuthentication yes #启用密码验证
PubkeyAuthentication yes #启用密钥对验证
AuthorizedKeysFile .ssh/authorized_keys #指定公钥库文件
3、验证密钥对步骤
- 在客户端创建密钥对
- 通过ssh-keygen工具为当前用户创建密钥对文件。
可用的加密算法为RSA、ECDSA或DSA等（ssh-keygen命令的“-t”选项用于指定算法类型）。
客户端（192.168.92.10）
1.在客户端创建密钥对
2.上传公钥文件到服务器中的用户家目录下的 .ssh目录（使用ssh-copy-id 命令可直接创建） 中 并以authorized_keys（使用ssh-copy-id 命令可直接创建）文件中
//切换到 想要在服务端 远程登录 客户端的用户xc04
[root@localhost ~]# su - xc04
//查看隐藏文件.ssh，确认.ssh是700权限
[xc04@localhost ~]$ ll -A
………………
drwx------.2 test test 6 4月 20 21:50 .ssh
//切换到默认密钥对文件生成的目录下
//以rsa加密算法生成密钥对。
[xc04@localhost ~]$ cd .ssh/
[xc04@localhost .ssh]$ ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/home/xc04/.ssh/id_rsa): //指定生成密钥对的位置，直接回车使用默认位置。
Enter passphrase (empty for no passphrase): //设置密钥的密码（直接回车设置为空可在登陆时免交互界面直接登录成功）
Enter same passphrase again: //再次确认密钥的密码。
Your identification has been saved in /home/test/.ssh/id_rsa.
Your public key has been saved in /home/test/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:Rnmno8bFVRxhQu6MhhWEs7QkX02KDFC5ERECiBIq0Fc test@localhost.localdomain
The key's randomart image is:
+---[RSA 2048]----+
|++..o+E= oo++.=o |
|* . ..+o=o.+.+. |
|+ . B==+ + |
|. ..+= B |
| S B o |
| o + . |
| + |
| . |
| |
+----[SHA256]-----+
//id_ ecdsa是私钥文件，权限默认为600;id_ecdsa.pub是公钥文件，用来提供给SsH服务器。
//可以切换到密钥默认保存位置去查看有无
[xc04@localhost ~]$ cd /root/ssh
[xc04@localhost .ssh]$ ll -A
总用量 8
-rw-------. 1 test test 1766 4月 20 21:52 id_rsa
-rw-r--r--. 1 test test 408 4月 20 21:52 id_rsa.pub
//查看公钥文件内容
[xc04@localhost .ssh]$ cat id_rsa.pub
//将生成的公钥文件传送给服务器端（默认传输到登陆的用户的家目录当中的.ssh/目录下）
[xc04@localhost .ssh]$ ssh-copy-id -i id_rsa.pub root@192.168.92.13
/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "id_rsa.pub"
The authenticity of host '192.168.145.15 (192.168.145.15)' can't be established.
ECDSA key fingerprint is SHA256:xCkXyzzjd/s4qiwn9WkTH5Dg7d8/Sl7wktX2cnMU5zw.
ECDSA key fingerprint is MD5:6e:42:84:ba:2c:fb:2e:c7:39:82:a8:4f:02:a7:e8:8b.
Are you sure you want to continue connecting (yes/no)? yes
/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
xc04@192.168.92.13's password:
Number of key(s) added: 1
Now try logging into the machine, with: "ssh 'xc04@192.168.92.10'"
and check to make sure that only the key(s) you wanted were added.
服务端（192.168.92.13）
3.重启服务端的ssh服务切换用查看家目录下自动生成的隐藏目录.ssh以及.ssh目录下的authorized_keys 文件的权限
//重启服务端的ssh服务
[root@host ~]# systemctl restart sshd
[root@host ~]# systemctl status sshd
[root@host ~]# su - xc04
mount: 只有 root 能执行该操作
//查看家目录下自动生成的隐藏文件.ssh，权限是700，需要与客户端的权限保持一致
[xc04@host ~]$ ll -A
//查看公钥认证文件的权限为600，与客户端生成的私钥文件的权限一致
[xc04@host ~]$ ll -A .ssh/
authorized_keys
//查看公钥认证文件的内容
[xc04@host .ssh]$ cat authorized_keys
客户端（192.168.92.10）
4.在客户端使用秘钥对验证
//以test用户登录客户端测试是否可以密钥登录
[test@localhost root]$ ssh test@192.168.92.13
Enter passphrase for key '/home/xc04/.ssh/id_rsa':
Last login: Thu Apr 20 21:55:59 2023
mount: 只有 root 能执行该操作
//查看当前登录主机的ip地址是否是服务端的ip地址
[test@host ~]$ ifconfig
ens32: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.92.13 netmask 255.255.255.0 broadcast 192.168.92.255
inet6 fe80::7b7f:119b:55ab:6f99 prefixlen 64 scopeid 0x20<link>
ether 00:0c:29:81:9f:c8 txqueuelen 1000 (Ethernet)
RX packets 6233 bytes 444447 (434.0 KiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 1242 bytes 143246 (139.8 KiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
4.在客户机设置ssh代理功能，实现免交互登录
- 设置没有密码的密钥对
[root@localhost ~]# ssh-keygen -t rsa/edcdsa
一路回车，不设置密码
- 若密钥对生成时设置密码，则可以创建ssh会话代理（该代理只在当前的会话有效）
[root@localhost ~] ssh-agent bash
[root@localhost ~] ssh-add
Enter passphrase for /root/.ssh/id_ecdsa: ## 输入密钥对的密码
Identity added：/root.ssh/id_ecdsa（/root.ssh/id_ecdsa）
- 设置指定主机免密
ssh-keygen -f ~/.ssh/id_ecdsa -P '' -q -t rsa/edcdsa
ssh-keygen指的是创建密钥对文件
-f ~/.ssh/id_ecdsa指的是生成公私钥文件位置
-P '' 指的是设置空密码-
-q指的是静默模式，不输出信息，免交互
-t rsa/edcdsa指的是加密算法的方式。
五、TCP Wrappers 访问控制
-
TCP Wrappers 将TCP服务程序 “ 包裹 ” 起来，代为监听TCP服务程序的端口，增加了一个安全检测过程，外来的连接请求必须先通过这层安全检测，获得许可后才能访问真正的服务程序。
-
大多数 Linux 发行版，TCP Wrappers 是默认提供的功能。
rpm -q tcp_wrappers #查询是否已安装
1、TCP Wrapper 保护机制的两种实现方式
- （1）、直接使用 tcpd 程序对其他服务程序进行保护，需要运行 tcpd程序。
- （2）、其他网络服务程序调用 libwrap.so.* 链接库，不需要运行 tcpd 程序。此方式的应用更加广泛，也更有效率。
2、查看程序的 libwrap.so.* 链接库（ldd命令）
ldd [参数] [文件]
root@localhost ~]# ldd $(which sshd) | grep wrap
libwrap.so.0 => /lib64/libwrap.so.0 (0x00007f171b1c2000)
[root@localhost ~]# ldd `which sshd` | grep wrap
libwrap.so.0 => /lib64/libwrap.so.0 (0x00007f7de0018000)
– -help 显示帮助信息
注： 文件需要写上绝对路径
我们不是很清楚文件的绝对路径时，可以使用which命令查询，也可以两条命令一起使用：ldd $(which sshd)
| 常用参数 | 说明 |
|---|---|
| -v | 详细信息模式，打印所有相关信息 |
| -u | 打印未使用的直接依赖 |
| -d | 执行重定位和报告任何丢失的对象 |
| -r | 执行数据对象和函数的重定位，并且报告任何丢失的对象和函数 |
3、TCP Wrappers 的访问策略
-
TCP Wrappers 机制的保护对象为各种网络服务程序，针对访问服务的客户端地址进行访问控制。
-
对应的两个策略文件为 /etc/hosts.allow 和 /etc/hosts.deny，分别用来设置允许和拒绝的策略。
格式：
[服务程序列表]:[客户端地址列表]
注：服务程序列表、客户机地址列表之间以冒号分隔，在每个列表内的多个项之间以逗号分隔。
服务程序列表的选项设置
- ALL：代表所有的服务。
- 单个服务程序：如"vsftpd"。
- 多个服务程序组成的列表：如"vsftpd, sshd"。（用逗号来连接）
客户端地址列表的选项设置
-
ALL：代表任何客户端地址。
-
LOCAL：代表本机地址。
其中客户端地址允许使用通配符*和？前者代表任意长度字符，后者仅代表一个字符。比如客户端地址是网段地址，可以有以下几种方式设置成网段地址：
192.168.80.*、192.168.80.0/255.255.255.0、192.168.80.而.benet.com、*.benet.com这两种区域地址设置的方式都表示benet.com 域名中的所有主机都可以使用。
4、TCP Wrappers 机制的基本原则
-
首先检查/etc/hosts.allow文件，如果找到相匹配的策略，则允许访问；否则继续检查/etc/hosts.deny文件，如果找到相匹配的策略，则拒绝访问；如果检查上述两个文件都找不到相匹配的策略，则允许访问。
-
允许所有，拒绝个别（相当于黑名单）只需在/etc/hosts.deny文件中添加相应的拒绝策略。
vim /etc/hosts.deny
sshd:192.168.92.13
-
允许个别，拒绝所有（相当于白名单）
除了在/etc/hosts.allow中添加允许策略之外，还需要在/etc/hosts.deny文件中设置“ALL:ALL”的拒绝策略。
若只希望IP地址为192.168.92.13的主机访问本机（192.168.92.10）sshd服务，其他地址被拒绝。
vi /etc/hosts.allow
sshd:192.168.92.13
vi /etc/hosts.deny
sshd:ALL
扫一扫
2109
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
