关于OpenSSH 你了解多少

已于 2024-06-22 19:55:52 修改
阅读量2k 收藏 18
点赞数 8
文章标签： linux
于 2024-06-22 19:54:56 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/weixin_52813907/article/details/139887251
版权

openssh

1. OpenSSH 简介

OpenSSH这一术语指系统中使用的Secure Shell软件的软件实施。用于在远程系统上安全运行shell。如果您在可提供ssh服务的远程Linux系统中拥有用户帐户，则ssh是通常用来远程登录到该系统的命令。ssh命令也可用于在远程系统中运行命令。

常见的远程登录工具有：

  • telnet
  • ssh
  • dropbear
telnet      //远程登录协议，23/TCP
    认证明文
    数据传输明文

ssh         //Secure SHell，应用层协议，22/TCP
    通信过程及认证过程是加密的，主机认证
    用户认证过程加密
    数据传输过程加密
    
dropbear    //嵌入式系统专用的SSH服务器端和客户端工具

2. SSH 认证方式

openssh有两种认证方式，分别是：

  • 基于口令认证
  • 基于密钥认证

3. openSSH 的工作模式

openSSH是基于C/S架构工作的。

服务器端 //sshd，配置文件在/etc/ssh/sshd_config
客户端 //ssh，配置文件在/etc/ssh/ssh_config
ssh-keygen //密钥生成器
ssh-copy-id //将公钥传输至远程服务器
scp //跨主机安全复制工具

4. Secure Shell 示例

//以当前用户身份创建远程交互式shell，然后在结束时使用exit命令返回到之前的shell
[root@110 ~]# ssh 192.168.160.110
The authenticity of host '192.168.160.110 (192.168.160.110)' can't be established.
ECDSA key fingerprint is SHA256:+JTDYBJIvptlQmuQrA4aBYA1vqLlslYGT9c0tOzeV64.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '192.168.160.110' (ECDSA) to the list of known hosts.
root@192.168.160.110's password: 
Last login: Mon Jul 18 22:37:30 2022 from 192.168.160.1
[root@yxt ~]# exit
logout
Connection to 192.168.160.110 closed.

//以远程用户身份（remoteuser）在远程主机（remotehost）上通过将输出返回到本地显示器的方式来执行单一命令
[root@110 ~]# ip a s ens33
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:22:f9:29 brd ff:ff:ff:ff:ff:ff
    inet 192.168.160.132/24 brd 192.168.160.255 scope global dynamic noprefixroute ens33
       valid_lft 1221sec preferred_lft 1221sec
    inet6 fe80::20c:29ff:fe22:f929/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
[root@110 ~]# ssh root@192.168.160.110 '/usr/sbin/ip a s ens33'
root@192.168.160.110's password: 
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:0c:29:b1:1b:4b brd ff:ff:ff:ff:ff:ff
    inet 192.168.160.110/24 brd 192.168.160.255 scope global ens33
       valid_lft forever preferred_lft forever

//w命令可以显示当前登录到计算机的用户列表。这对于显示哪些用户使用ssh从哪些远程位置进行了登录以及执行了何种操作等内容特别有用
[root@110 ~]# w
 17:06:06 up 15:13,  2 users,  load average: 0.06, 0.02, 0.00
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
root     tty1     -                13Jul22  6days  0.01s  0.01s -bash
root     pts/0    192.168.160.1    08:35    1.00s  0.17s  0.00s w

5. SSH 主机密钥

ssh通过公钥加密的方式保持通信安全。当某一ssh客户端连接到ssh服务器时，在该客户端登录之前，服务器会向其发送公钥副本。这可用于为通信渠道设置安全加密，并可验证客户端的服务器。

当用户第一次使用ssh连接到特定服务器时，ssh命令可在用户的/.ssh/known_hosts文件中存储该服务器的公钥。在此之后每当用户进行连接时，客户端都会通过对比/.ssh/known_hosts文件中的服务器条目和服务器发送的公钥，确保从服务器获得相同的公钥。如果公钥不匹配，客户端会假定网络通信已遭劫持或服务器已被入侵，并且中断连接。

这意味着，如果服务器的公钥发生更改（由于硬盘出现故障导致公钥丢失，或者出于某些正当理由替换公钥），用户则需要更新其~/.ssh/known_hosts文件并删除旧的条目才能够进行登录。

//主机ID存储在本地客户端系统上的 ~/.ssh/known_hosts 中
[root@110 ~]# cat ~/.ssh/known_hosts 
192.168.160.110 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBHNXZQxvMtacilKEbzX6guvEX0z7r8rSILHjujEw01rj+spTxGeDsxgQy83AkVes32eDlfOJBkRqAjDLMz10hJs

//主机密钥存储在SSH服务器上的 /etc/ssh/ssh_host_key* 中
[root@110 ~]# ls /etc/ssh/
moduli        ssh_host_ecdsa_key        ssh_host_rsa_key
ssh_config    ssh_host_ecdsa_key.pub    ssh_host_rsa_key.pub
ssh_config.d  ssh_host_ed25519_key
sshd_config   ssh_host_ed25519_key.pub

6. 配置基于 SSH 密钥的身份验证

用户可通过使用公钥身份验证进行ssh登录身份验证。ssh允许用户使用私钥-公钥方案进行身份验证。这意味着将生成私钥和公钥这两个密钥。私钥文件用作身份验证凭据，像密码一样，必须妥善保管。公钥复制到用户希望登录的系统，用于验证私钥。公钥并不需要保密。拥有公钥的ssh服务器可以发布仅持有您私钥的系统才可解答的问题。因此，可以根据所持有的密钥进行验证。如此一来，就不必在每次访问系统时键入密码，但安全性仍能得到保证。

使用ssh-keygen命令生成密码。将会生成私钥/.ssh/id_rsa和公钥/.ssh/id_rsa.pub。

注意：

生成密钥时，系统将提供指定密码的选项，在访问私钥时必须提供该密码。如果私钥被偷，除颁发者之外的其他任何人很难使用该私钥，因为已使用密码对其进行保护。这样，在攻击者破解并使用私钥前，会有足够的时间生成新的密钥对并删除所有涉及旧密钥的内容。

生成ssh密钥后，密钥将默认存储在家目录下的.ssh/目录中。私钥和公钥的权限就分别为600和644。.ssh目录权限必须是700。

在可以使用基于密钥的身份验证前，需要将公钥复制到目标系统上。可以使用ssh-copy-id完成这一操作

通过ssh-copy-id将密钥复制到另一系统时，它默认复制~/.ssh/id_rsa.pub文件

//SSH密钥演示
//使用 ssh-keygen 创建公钥-私钥对
[root@110 ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:19h7iF35wSq+PFYPkH+nwqDDT5lroXjMFk8XHyCZGLA root@yxt
The key's randomart image is:
+---[RSA 3072]----+
|      ...o o     |
|       .. + .    |
|      E    ...   |
|           *. o. |
|        S o =oo+ |
|        ..+=.Booo|
|       = *=*=.=.o|
|      . X.=++... |
|       o +++o.   |
+----[SHA256]-----+

//使用 ssh-copy-id 将公钥复制到远程系统上的正确位置
[root@110 ~]# ls .ssh/
id_rsa  id_rsa.pub  known_hosts
[root@110 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.160.110
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@192.168.160.110's password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'root@192.168.160.110'"
and check to make sure that only the key(s) you wanted were added.

//使用 ssh 命令无命令登录远程主机
[root@110 ~]# ssh root@192.168.160.110
Last login: Tue Jul 19 02:02:38 2022 from 192.168.160.132
[root@yxt ~]# 

//使用 scp 命令传送文件到远程主机
[root@yxt ~]# scp 1.txt root@192.168.160.110:/tmp/
The authenticity of host '192.168.160.110 (192.168.160.110)' can't be established.
ECDSA key fingerprint is SHA256:+JTDYBJIvptlQmuQrA4aBYA1vqLlslYGT9c0tOzeV64.
ECDSA key fingerprint is MD5:b3:42:b8:4a:3d:5d:e7:f0:68:44:59:2f:f7:ec:49:f1.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.160.110' (ECDSA) to the list of known hosts.
root@192.168.160.110's password: 
1.txt                                 100%  423    46.3KB/s   00:00
[root@111 ~]# ls /tmp/
1.txt

//scp命令常用选项
    -r      //递归复制
    -p      //保持权限
    -P      //端口
    -q      //静默模式
    -a      //全部复制

7. 自定义 SSH 服务配置

虽然OpenSSH服务器通常无需修改，但会提供其他安全措施，可以在配置文件/etc/ssh/sshd_config中修改OpenSSH服务器的各个方面。

PermitRootLogin {yes|no} //是否允许root用户远程登录系统
PermitRootLogin without-password //仅允许root用户基于密钥方式远程登录
PasswordAuthentication {yes|no} //是否启用密码身份验证，默认开启

8. SSH 安全注意事项

  • 密码应该经常换且足够复杂
[root@yxt ~]# tr -dc A-Za-z0-9_ < /dev/urandom | head -c 30 |xargs //生成30位的密码
lAPLbEIqWzqPBl1ujB8MTRu_ZiXpGW
[root@yxt ~]# openssl rand 20 -base64   //生成20位的密码
iF6qIIGVBNqdCL+YoiB1ZuB8eBs=
  • 使用非默认端口
  • 限制登录客户端地址
  • 仅监听特定的IP地址
  • 禁止管理员直接登录
  • 仅允许有限制用户登录
  • AllowUsers
  • AllowGroups
  • 使用基于密钥的认证
  • 禁止使用空密码
  • 禁止使用SSHv1版本
  • 设定空闲会话超时时长
  • 利用防火墙设置ssh访问策略
  • 限制ssh的访问频度和并发在线数
  • 做好日志的备份，经常分析（集中于某台服务器）
风早君
关注
3.1 openssh
Yusyang_的博客
10-22 804
openssh目录1. 使用 SSH 访问远程命令行1.1 OpenSSH 简介1.2 SSH 版本1.3 SSH 认证方式1.4 openSSH 的工作模式1.5 Secure Shell 示例1.6 SSH主机密钥2. 配置基于 SSH 密钥的身份验证2.1 密钥认证配置步骤2.1.1 官方配置步骤2.1.2 第三方配置步骤 1. 使用 SSH 访问远程命令行 1.1 OpenSSH 简介 O...
OpenSSH
m0_60072944的博客
09-26 1654
文章目录OpenSSHopenssh简介SSH认证的方式openSSH的工作模式连接示例：SSH主机密钥配置基于SSH密钥的身份验证scp自定义SSH服务配置SSH需要注意的事项 OpenSSH openssh简介 ​ OpenSSH是 Secure SHell（安全外壳协议，简称SSH)协议的免费开源实现。SSH协议族可以用来进行远程控制， 或在计算机之间传送文件。而实现此功能的传统方式，如telnet(终端仿真协议)、 rcp ftp、 rlogin、rsh都是极为不安全的，并且会使用明文传送密
openssh服务
caojue0773的博客
07-02 750
使用 SSH 访问远程命令行1.1 OpenSSH 简介1.2 SSH 版本1.3 SSH 认证方式1.4 openSSH 的工作模式1.4 Secure Shell 示例1.5 SSH 主机密钥 配置基于 SSH 密钥的身份验证 自定义 SSH 服务配置 SSH 安全注意事项 1.1 OpenSSH 简介 OpenSSH这一术语指系统中使用的Secure Shell软件的软件实施。用于在远程...
win10 系统安装OpenSSH客户端（配置环境变量） + OpenSSH服务端
最新发布
anjiqing的博客
04-21 737
win10系统如何安装OpenSSH客户端和OpenSSH服务端。win10系统一般默认已经安装OpenSSH客户端，如果提示 找不到ssh命令，有可能是系统的环境变量没有设置。
Openssh
weixin_65309423的博客
03-19 1243
OpenSSH这一术语指系统中使用的Secure Shell软件的软件实施，用于在远程系统上安全运行shell。
OpenSSH9.5p1
11-12
OpenSSH 9.5p1 是一个安全的网络连接工具，用于在不同计算机之间建立加密的通信通道。它是OpenSSH项目的最新版本，旨在提供安全的远程登录和其他网络服务，如文件传输。OpenSSH是SSH（Secure SHell）协议的开源实现...
openssh9.6p1离线安装rpm包
02-27
关于"centos7.X升级最新的openssh9.6p1"，升级OpenSSH是为了保持系统的安全性，因为旧版本可能含有已知的漏洞。OpenSSL是OpenSSH依赖的加密库，它也应保持最新状态，以防止如Heartbleed之类的漏洞。因此，在升级...
openssh-9.9p1的rpm文件
10-09
考虑到OpenSSH在网络安全和远程管理中的重要性，对于系统管理员和技术人员来说，了解如何安装和配置最新的OpenSSH版本是维护系统安全的关键环节。在处理rpm文件时，可以使用rpm命令行工具来安装软件包，例如使用...
openeuler升级openssh至9.8
02-27
在开始升级前，您应该了解到OpenSSH版本9.8带来的一系列改进和新特性。9.8版本主要增强了一些现有功能，比如改进了主机密钥的算法支持，增强了对密码认证的保护措施，以及优化了TCP连接的传输效率等。此外，新版本还...
openssh8.9的rpm包
09-04
openssh 是一个安全的网络连接工具，用于在不同的系统之间建立加密的远程登录和其他网络服务。这个"openssh8.9的rpm包"是专为...同时，了解和掌握RPM包管理和openssh的相关知识，对于Linux系统的日常运维至关重要。
OpenSSH的安装和使用
05-17
实现远程命令 开启关闭远程客户端等
使用public key的方式登陆linux操作系统
kiwi的专栏
09-13 2540
添加public key的用户 useradd -g oinstall -G dba yaoxin passwd yaoxin [yaoxin@bdcadb ~]$ source .bash_profile [yaoxin@bdcadb ~]$ mkdir .ssh [yaoxin@bdcadb ~]$ chmod 700 .ssh [yaoxin@bdcadb ~]$ cd .ssh [yao
openssh
Zhangrl_的博客
10-23 852
openssh1. 使用 SSH 访问远程命令行1.1 OpenSSH 简介1.2 SSH 版本1.3 SSH 认证方式1.4 openSSH 的工作模式1.4 Secure Shell 示例1.5 SSH 主机密钥2. 配置基于 SSH 密钥的身份验证3. 自定义 SSH 服务配置4. SSH 安全注意事项5.密钥认证配置步骤：5.1生成密钥（客户端）5.2复制客户端的公钥到服务端5.3然后在服...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值