RHEL/CentOS6.6SSHD服务安装、配置、使用

 

RHEL/CentOS6.6SSHD服务安装、配置、使用

 

SSHD安装

配置文件位置，端口

服务启动关闭的脚本

此服务的使用方法

修改配置文件，实战举例

一、SSHD服务安装、配置、使用

SSHD服务

介绍：SSH 协议：安全外壳协议。为 Secure Shell 的缩写。SSH 为建立在应用层和传输层基础上的安全协议。

作用：sshd服务使用SSH协议可以用来进行远程控制， 或在计算机之间传送文件

相比较之前用telnet方式来传输文件要安全很多，因为telnet使用明文传输，是加密传输。

服务安装：

需要安装OpenSSH 四个安装包：

OpenSSH软件包，提供了服务端后台程序和客户端工具，用来加密远程控件和文件传输过程中的数据，并由此来代替原来的类似服务。

安装包：

OpenSSH服务需要4 个软件包

openssh-5.3p1-114.el6_7.x86_64：包含OpenSSH服务器及客户端需要的核心文件

openssh-clients-5.3p1-114.el6_7.x86_64：OpenSSH客户端软件包

openssh-server-5.3p1-114.el6_7.x86_64：OpenSSH服务器软件包

openssh-askpass-5.3p1-114.el6_7.x86_64：支持对话框窗口的显示，是一个基于X 系统的密码

诊断工具

[root@openstackPackages]# ls /media/cdrom/Packages/openssh*

/media/cdrom/Packages/openssh-5.3p1-104.el6.x86_64.rpm

/media/cdrom/Packages/openssh-askpass-5.3p1-104.el6.x86_64.rpm

/media/cdrom/Packages/openssh-clients-5.3p1-104.el6.x86_64.rpm

/media/cdrom/Packages/openssh-server-5.3p1-104.el6.x86_64.rpm

 

找到软件包存放位置之后，下面我们来安装软件包：

安装方法有两种：

1、配置yum源，通过

yuminstall openssh openssh-clients openssh-server openssh-askpass -y

来安装

前提：系统以及配置好yum源，（本地源or网络源） 推荐用yum来安装

设置开机自动挂载系统镜像文件

echo“/dev/cdrom   /media/cdrom   iso9660 defaults  0 0”>>//etc/fstab

你的光驱设备        挂载点        挂载格式   默认         默认

 

2、本地直接安装rpm包文件：

rpm–ivh /media/cdrom/Packages/openssh*.rpm

可能需要解决依赖关系

确认软件包是否已经安装：

rpm-qa | grep openssh

openssh-askpass-5.3p1-114.el6_7.x86_64

openssh-clients-5.3p1-114.el6_7.x86_64

openssh-5.3p1-114.el6_7.x86_64

openssh-server-5.3p1-114.el6_7.x86_64

 

查看软件安装生产的文件：

rpm-ql openssh

/etc/ssh

/etc/ssh/moduli

/usr/bin/ssh-keygen

/usr/libexec/openssh

/usr/libexec/openssh/ssh-keysign

/usr/share/doc/openssh-5.3p1

 

OpenSSH配置文件

OpenSSH常用配置文件有两个/etc/ssh/ssh_config 和/etc/sshd_config。

ssh_config为客户端配置文件

sshd_config为服务器端配置文件

服务启动关闭脚本：

方法1：

[root@openstackssh]# service sshd restart/stop/start/status

方法2：

[root@openstackssh]# /etc/init.d/sshd restart/stop/start/status

开机启动服务：

[root@openstack~]# chkconfig sshd on

[root@openstack~]# chkconfig --list sshd

sshd                0:off 1:off 2:on 3:on 4:on 5:on 6:off

 

如何使用ssh来远程连接主机：

方法一、

1、ssh  [远程主机用户名] @[远程服务器主机名或IP地址]

如果用root进程登录远程主机可以这样：

[root@openstackssh]# ssh 192.168.137.160

普通用户：

[root@openstack ~]# useradd andyliu && echo123456 | passwd --stdin andyliu

Changing password for user andyliu.

passwd: all authentication tokens updatedsuccessfully.

 

[root@RHEL7 ssh]# ssh andy@192.168.137.160

andy@192.168.137.160's password:

Last login: Fri Aug 26 14:30:09 2016 from192.168.137.163

[andy@openstack ~]$

 

第一次登录服务器时系统没有保存远程主机的信息，为了确认该主机身份会提示用户是否继续连

接，输入yes 后登录，这时系统会将远程服务器信息写入用户主目录下的$HOME/.ssh/known_hosts文件中，下次再进行登录时因为保存有该主机信息就不会再提示了

[root@RHEL7log]# cat ~/.ssh/known_hosts

192.168.137.160ssh-rsaAAAAB3NzaC1yc2EAAAABIwAAAQEAvlQeUC7sodqZIdYgDlCfp7LyWu7luyr/rr7XRk8b2ljw+eS/Bh1XI9BoE2CmDFnp1kbIbioet0p/UPtKZJuNWI7mfgsMk4tjgbRcGqbHZTfbUPdAb/2e1/rNqEwTiK5n09P0aSMg9VpqNQlYf8+M3W8DeemXO1PxW+s03iU5BgPxVHiZn4QZdwtyW5H5baA89EIRoNusfD1dP107BdfLapLmjR1pKeNDLQ8s5e5yvNsQO3LH0WkGKhJfMyiVJqB1hfMYrOXBStpldQNB+vwMHJeM/aNUvhU6E7d+cjv4lb39u/fYQLiVe/hw/02w6Eg0NsQ7e99/Thnry8nhVFPCW

RSA算法基于一个十分简单的数论事实：将两个大素数相乘十分容易，但是想要对其乘积进行因式分解却极其困难，因此可以将乘积公开作为加密密钥。

 

方法二、

ssh-l [远程主机用户名] [远程服务器主机名或IP 地址]

例：[root@RHEL7 ssh]# ssh -l andy 192.168.137.160

andy@192.168.137.160's password:

Last login: Fri Aug 26 14:26:44 2016 from192.168.137.163

-l login_name

 

 

3、SSHD配置文件及安全配置:

注：参数前面有#，表示是默认值。 当然#号也表示注示。

/etc/ssh/sshd_config配置文件

Port22

设置sshd 监听端口号

#  SSH 预设使用 22 这个port，也可以使用多个port，即重复使用 port 这个设定项目！ #  例如想要开放 sshd 端口为 22和 222 ，则多加一行内容为： Port 222  即可 #  然后重新启动 sshd 这样就好了。 建议大家修改 port number 为其它端口。防止别人暴力破解。

例：修改sshd服务默认监听的端口为222

vim/etc/ssh/sshd_config 

改：

Port22

为：

Port222

[root@openstackssh]# service sshd restart

测:

 [root@openstack~]# netstat -tluntp | grep sshd

tcp        0      0127.0.0.1:6010              0.0.0.0:*                  LISTEN     2309/sshd           

tcp        0      00.0.0.0:220                0.0.0.0:*                  LISTEN      2729/sshd          

tcp        0      0::1:6010                   :::*                       LISTEN      2309/sshd          

tcp        0      0:::220                     :::*                       LISTEN      2729/sshd   

修改完端口默认端口后，登录方法：

[root@RHEL7 ssh]# ssh andy@192.168.137.160 -p 220

andy@192.168.137.160's password:

Last login: Fri Aug 26 14:34:09 2016 from192.168.137.163

[andy@openstack ~]$

 

ListenAddress0.0.0.0

设置sshd 服务器绑定的IP 地址，0.0.0.0表示侦听所有地址

比如192.168.0.63 这个机器只允许0.64来远程登录，那么可以设置

ListenAddress192.168.137.160

 

Protocol2

#  选择的 SSH 协议版本，可以是 1 也可以是 2 ，CentOS 5.x 预设是仅支援 V2。 安全考虑，设置为最新的协议版本   #HostKey  /etc/ssh/ssh_host_key 设置包含计算机私人密匙的文件   SyslogFacility  AUTHPRIV #  当有人使用 SSH 登入系统的时候，SSH 会记录信息，这个信息要记录的类型为AUTHPRIV。   登录系统的默认日志存放在哪？   sshd服务日志存放在： /var/log/secure 。 例：  为什么sshd配置文件中没有指定日志，但日志却存放在了： /var/log/secure  ？ [root@openstack  ssh]# vim /etc/rsyslog.conf   查看： #  The authpriv file has restricted access. authpriv.*                                               /var/log/secure #LogLevel  INFO #  登录记录的等级！INFO级别以上。

 

安全调优的重点：

LoginGraceTime2m       #grace 优雅

#  当使用者连上 SSH server 之后，会出现输入密码的画面，在该画面中， #  在多久时间内没有成功连上 SSH server 就强迫断线！若无单位则默认时间为秒！ 可以根据实际情况来修改实际

#PermitRootLogin yes

#是否允许root 登入！预设是允许的，但是建议设定成 no ！

真实的生产环境服务器，是不允许root账号登陆的！！！

 

PasswordAuthenticationyes

#密码验证当然是需要的！所以这里写 yes，也可以设置为no

#在真实的生产服务器上，根据不同安全级别要求，有的是设置不需要密码登陆的，通过认证的秘钥来登陆

 

#PermitEmptyPasswords no

#若上面那一项如果设定为 yes 的话，这一项就最好设定为 no ，

#这个项目在是否允许以空的密码登入！当然不许！

 

#PrintMotd yes

#登入后是否显示出一些信息呢？例如上次登入的时间、地点等等，预设是 yes

#亦即是打印出 /etc/motd 这个文档的内容。

例：给sshd服务添加一些警告信息

[root@openstack~]# cat /etc/motd

[root@openstack~]# echo 'Warning ! From now on, all of your operation has been 4record!'>/etc/motd

测试：

[root@RHEL7log]# ssh andy@192.168.137.160

andy@192.168.137.160'spassword:

Lastlogin: Fri Aug 26 14:41:47 2016 from 192.168.137.163

Warning! From now on, all of your operation has been record!

警告！从现在开始，你所有的操作已经被记录！

 

#  PrintLastLog yes #  显示上次登入的信息！预设也是 yes  ！

例：

[root@RHEL7log]# ssh andy@192.168.137.160

Lastlogin: Fri Aug 26 14:41:47 2016 from 192.168.137.163  #就是这个信息

 

#UseDNS yes

#一般来说，为了要判断客户端来源是正常合法的，因此会使用 DNS 去反查客户端的主机名

 # 不过如果是在内网互连，这项目设定为 no 会让联机速度比较快。

 

本文转自 OpenStack2015 51CTO博客，原文链接：http://blog.51cto.com/andyliu/1852867，如需转载请自行联系原作者