[系统运维]OpenSSH

一： OpenSSH 简介

OpenSSH这一术语指系统中使用的Secure Shell软件的软件实施。用于在远程系统上安全运行shell。如果您在可提供ssh服务的远程Linux系统中拥有用户帐户，则ssh是通常用来远程登录到该系统的命令。ssh命令也可用于在远程系统中运行命令。

常用的远程工具

telnet      //远程登录协议，23/TCP
    认证明文
    数据传输明文

ssh         //Secure SHell，应用层协议，22/TCP
    通信过程及认证过程是加密的，主机认证
    用户认证过程加密
    数据传输过程加密
    
dropbear    //嵌入式系统专用的SSH服务器端和客户端工具

SSH 认证方式
openssh有两种认证方式，分别是：

• 基于口令认证：口令就是密码，这种方式需要输入密码，容易被破解，而且用起来很复杂。当有100台主机，你需要创建100个密码，全部一样，你管理的时候每台主机都要输入密码，那如果全部不一样呢，那就更麻烦了！！！

• 基于密钥认证：不需要密码。使用证书匹配，匹配的上就可以登录。而且还可以给密钥设密码

二：OpenSSH的作用

OpenSSH提供了服务端后台程序和客户端工具，用来加密远程控制和文件传输过程中的数据，并由此来代替原来的类似服务。 OpenSSH是使用SSH透过计算机网络加密通讯的实现。

三：OpenSSH的工作模式

openSSH是基于C/S架构工作的。一台客户端，一台服务端。

• cs：客户端加service服务器
• bs：浏览器加service服务器

服务器端——sshd，配置文件在/etc/ssh/sshd_config （可以优化服务端的配置）

客户端——ssh，配置文件在/etc/ssh/ssh_config （这个配置文件不需要修改）

    ssh-keygen      //密钥生成器,
    ssh-copy-id     //将公钥传输至远程服务器
    scp             //跨主机安全复制工具,传输工具

ssh-keygen是客户端生成密钥，不是服务端

四：OpenSSH使用

ssh + ip/主机名 直接连接：会使用当前用户身份直接去连接主机（必须当前用户在对面主机也存在，否则无法连接）

ssh user@ip/主机名：指定用户连接（指定user用户连接你想要连接的主机）

需要你输入密码是用户认证，先进行主机用证在进行用户验证，平时就是用户验证，就第一次验证需要输入yes，后面输入密码即可登录。第一次主机用证之后，本地就保存了，只要不更改公钥后面都是默认的

ssh命令常用选项：

• -p //指定端口
• -X //调用图形化
• -Y //和-X一样，比-X更安全
• -i //指定密钥位置

scp命令常用选项

• -r //递归复制
• -p //保持权限
• -P //大写，指定端口
• -q //静默模式
• -a //相当于-rp
• -i //指定密钥位置

实例：

1. 直接使用ip地址/主机名 连接

// 使用192.168.91.133连接192.168.91.135
// 查看要连接的主机的ip信息
[root@centos2 ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens32: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:5b:3b:74 brd ff:ff:ff:ff:ff:ff
    inet 192.168.91.135/24 brd 192.168.91.255 scope global dynamic noprefixroute ens32
       valid_lft 1241sec preferred_lft 1241sec
    inet6 fe80::29db:511:eca0:9fec/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever

//查看centos2的文件
[root@centos2 ~]# ls
abc  anaconda-ks.cfg

//开始连接
[root@centos1 ~]# ssh 192.168.91.135
The authenticity of host '192.168.91.135 (192.168.91.135)' can't be established.
ECDSA key fingerprint is SHA256:5pPUIiez/akZsk/v0W86vbS3d2uq5xaByrIC/cUqR5E.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '192.168.91.135' (ECDSA) to the list of known hosts.
root@192.168.91.135's password: 
Last login: Sat Sep 25 20:22:34 2021 from 192.168.91.133

//连接之后查看文件是否一样
[root@centos2 ~]# ls
abc  anaconda-ks.cfg

//退出连接
[root@centos2 ~]# exit
logout
Connection to 192.168.91.135 closed.

//查看centos1文件
[root@centos1 ~]# ls
anaconda-ks.cfg

2. 使用用户通过ip地址/主机名 远程连接

//使用用户远程连接
[root@centos1 ~]# ssh root@192.168.91.135
root@192.168.91.135's password: 
Last login: Sat Sep 25 20:55:01 2021 from 192.168.91.133
[root@centos2 ~]# ls
abc  anaconda-ks.cfg
[root@centos1 ~]# exit
logout
Connection to 192.168.91.135 closed.

3. w命令可以显示当前登录到计算机的用户列表。这对于显示哪些用户使用ssh从哪些远程位置进行了登录以及执行了何种操作等内容特别有用

//在192.168.91.135上查看192.168.91.133是否还在使用本主机
[root@centos2 ~]# w
 21:05:15 up  1:17,  3 users,  load average: 0.04, 0.09, 0.08
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
root     pts/0    192.168.91.1     20:54    0.00s  0.01s  0.00s w
root     pts/1    192.168.91.1     20:54   10:48   1.35s  1.34s top
root     pts/2    192.168.91.133   21:05    3.00s  0.00s  0.00s -bash

[root@centos1 ~]# ls
anaconda-ks.cfg
[root@centos1 ~]# touch amu

//使用scp命令将文件amu传送到远程主机
[root@centos1 ~]# scp amu root@192.168.91.135:/tmp
root@192.168.91.135's password: 
amu                           100%    0     0.0KB/s   00:00    
[root@centos1 ~]# ls
amu  anaconda-ks.cfg

//使用scp命令将文件amu下载到本地主机
[root@centos2 ~]# scp root@192.168.91.135:/tmp/amu /root/
root@192.168.91.135's password: 
amu                           100%    0     0.0KB/s   00:00    
[root@centos2 ~]# ls
abc  amu  anaconda-ks.cfg

五 SSH 主机密钥

管理的时候第一步就是要进行主机认证

ssh使用公钥加密的方式保持通信安全，当某一台ssh客户端想要连接ssh服务器时，客户端登录之前，服务器会像客户端发送公钥副本。使其通信渠道安全加密，并验证客户端的服务器本地保存的公钥是否一致，不一样无法连接、一样则匹配成功进行连接。

//客户端主机公钥存储在 ~/.ssh/known_hosts 中
[root@centos1 ~]# cat ~/.ssh/known_hosts 
192.168.91.135 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBPQs5n7tztRrOWUuqW99/FoDAqN8k+WBkMgjKWu+VySvOVAAmEysHJTznMW48BL70Ad7FjDFcpjLV9nnWcsfyks=
192.168.91.133 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBE9YQ0YFb3i+hRtBvSJO/38aDx6bg5SZuHQbkfcKCuj2vorkAlIU+Ugv9k+Jc/N9vdrCf8LwNIg2vRpu+LpulfI=

//服务端私钥存储在 /etc/ssh/ssh_host_key* 中
[root@centos1 ~]# ls /etc/ssh/*key*
/etc/ssh/ssh_host_ecdsa_key
/etc/ssh/ssh_host_ecdsa_key.pub
/etc/ssh/ssh_host_ed25519_key
/etc/ssh/ssh_host_ed25519_key.pub
/etc/ssh/ssh_host_rsa_key
/etc/ssh/ssh_host_rsa_key.pub

//带有.pub的是公钥，不带的是私钥
//有三套密钥，默认使用ecdsa_key

生成的密钥是一对：
公钥：给别人的（给需要连接的主机，来匹配本地主机）
私钥：留个自己的（留在本地）

如果服务器的公钥发生更改（由于硬盘出现故障导致公钥丢失，或者出于某些正当理由替换公钥），用户则需要更新其~/.ssh/known_hosts文件并删除旧的条目才能够进行登录。

六：配置基于 SSH 密钥的身份验证

用户可通过使用公钥身份验证进行ssh登录身份验证。ssh允许用户使用私钥-公钥方案进行身份验证。这意味着将生成私钥和公钥这两个密钥。私钥文件用作身份验证凭据，像密码一样，必须妥善保管。公钥复制到用户希望登录的系统，用于验证私钥。公钥并不需要保密。拥有公钥的ssh服务器可以发布仅持有您私钥的系统才可解答的问题。因此，可以根据所持有的密钥进行验证。如此一来，就不必在每次访问系统时键入密码，但安全性仍能得到保证。

使用ssh-keygen命令生成密码。将会生成私钥~ /.ssh/id_rsa和公钥~/.ssh/id_rsa.pub。

注意：

生成密钥时，系统将提供指定密码的选项，在访问私钥时必须提供该密码。如果私钥被偷，除颁发者之外的其他任何人很难使用该私钥，因为已使用密码对其进行保护。这样，在攻击者破解并使用私钥前，会有足够的时间生成新的密钥对并删除所有涉及旧密钥的内容。

生成ssh密钥后，密钥将默认存储在家目录下的.ssh/目录中。私钥和公钥的权限就分别为600和644。.ssh目录权限必须是700。

在可以使用基于密钥的身份验证前，需要将公钥复制到目标系统上。可以使用ssh-copy-id完成这一操作

ssh-keygen命令常用选项：

• -t 指定加密算法rsa或dsa
• -f 指定生成的密钥文件存放目录
• -N ‘password’ 指定密码为password

ssh-copy-id命令常用选项：

• -i 指定密钥文件的位置

//使用ssh-keygen创建私钥
[root@centos1 ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:T2mAB0RcKfmKQWobL78c0nC9Du+XYc0B+2fwgyG+fTY root@centos1
The key's randomart image is:
+---[RSA 3072]----+
|     ++o..       |
|    . +oo        |
|   o  .ooo       |
|  + .. .+.+.     |
| ..+.o.oS=+*     |
|  o+o ..++= =    |
|  .o+ .. =.o .   |
|   o.=  + . E    |
|    oo+.   o .   |
+----[SHA256]-----+
[root@centos1 ~]# ssh root@192.168.91.135
root@192.168.91.135's password: 

//使用 ssh-copy-id 将公钥复制到远程系统上的正确位置
[root@centos1 ~]# ls .ssh/
id_rsa  id_rsa.pub  known_hosts

[root@centos1 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.91.135
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@192.168.91.135's password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'root@192.168.91.135'"
and check to make sure that only the key(s) you wanted were added.

//无需输入密码远程连接
[root@centos1 ~]# ssh root@192.168.91.135
Last login: Sat Sep 25 21:05:12 2021 from 192.168.91.133

[root@centos2 ~]# ls
abc  amu  anaconda-ks.cfg

//查看ip


```[root@centos2 ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens32: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:5b:3b:74 brd ff:ff:ff:ff:ff:ff
    inet 192.168.91.135/24 brd 192.168.91.255 scope global dynamic noprefixroute ens32
       valid_lft 1336sec preferred_lft 1336sec
    inet6 fe80::29db:511:eca0:9fec/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever

七：自定义 SSH 服务配置

虽然OpenSSH服务器通常无需修改，但会提供其他安全措施，可以在配置文件/etc/ssh/sshd_config中修改OpenSSH服务器的各个方面。

PermitRootLogin {yes|no}    //是否允许root用户远程登录系统
PermitRootLogin without-password    //仅允许root用户基于密钥方式远程登录
PasswordAuthentication {yes|no}     //是否启用密码身份验证，默认开启

八：SSH 安全注意事项

密码应该经常换且足够复杂

// 举个例子
// 生成1000位的密码
[root@centos2 ~]# tr -dc A-Za-z0-9_ < /dev/urandom | head -c 1000 |xargs
g4MzAsparvD_FVgC4LX1kw74tSusyKs9DS5z6kjwInqMxWPLHSuFIw2qvWkJhXwnenxyS8U6TznnVP2uF6J50vceSx0Dz9T5RT0divfSI29wmMqgqfZbc4mHZXsXhgAIPV2AzB5Iw5GLZTzeOJceAMhlo9JP2W0J8M5kHvejFFH3O_wVV5pnYTeJMfFPKTDd3TWXBrZTeqy6kydwrBR1mNPF4LQPbmlRZ_X8iF3lSsAEmvmSxpgWNH4CQqAfzHIryZ7ABHcZ8TdmG6oDteeG3caHfcK0th4uJo3ZeQLYZt5DO4tfa46tbVUYlOLICdBI4GXHTvMydWfMaxKKiypm06m3FS22RGDnrKFaRtVF7LDxppikOXt8RwSMSdONegfSqjvd0aKNnIa3ascraYevedbRXtP9xgxacY9pjb7e_J9vovPMIkD7wsGwSix8hFxN0xaHtX4Fd1BN12ZROS5UYy5edBMjsgkF4fxLyhqT27MDVqrzRRXwyp4Drs8php1ayuP3acbRxo6DMqOWUqVT9UROUD9p5bE8AFFpWd2x8SFtRfNDIIjR6LceZ1sYJroSRNiAX10d3mPsnQ6HrmJ6u28Z1Dbl5fIGUn5MWmyb2sez7pE_Hfzbq4mRYG8pqwo1txLzOX9IiKsTFc8pUoSHYlyh66GlvHN1Z7kgAZ1TA1nRIWv3cI8IjzzReaUCY9ji27B7LUa5QZgIZqljj6ikRuPeBoYBJKjevO4dff67QIPIfI7BhLFxORW4ktPDgeBS2u5yWj_o6VsguQQepY4iv8VI4KnsOYfkusSY_XWYhCIeFpdtDCnVbYPCpQPLDgff311epf9_rHJ9vJwchw8pyv1w2gifEDVlqKZuOR4NmOHPkR6x0geW0fp4DWOgx3YzN1alWGizTnpi5KcM_ceGHtzZC7cfvQSdPlRtQbS8KqXcbytvi7LYsBP4AUcbqdb6Nw8B4Jw89HpPt3qGPLCDhFdYW0oi0MZEb2BwYcyt

• 使用非默认端口
• 限制登录客户端地址
• 仅监听特定的IP地址
• 禁止管理员直接登录
• 仅允许有限制用户登录
• AllowUsers
• AllowGroups
• 使用基于密钥的认证
• 禁止使用空密码
• 禁止使用SSHv1版本
• 设定空闲会话超时时长
• 利用防火墙设置ssh访问策略
• 限制ssh的访问频度和并发在线数
• 做好日志的备份，经常分析（集中于某台服务器）