[系统运维]科普扫盲---ssh免密登陆（ssh的一些小秘密）

ssh协议和tcp/ip 协议一样非常的重要，那么，如何使用这个ssh呢？这个协议到底有什么用处呢？

一，

ssh协议是什么

ssh是secure SHell的简写，意思为安全的shell，中文也叫安全的外壳协议（是不是比较喜感的一个名称？），那，既然都是shell了，自然是有shell的那些特征啦。

SSH 主要由三部分组成：

传输层协议 [SSH-TRANS]

提供了服务器认证，保密性及完整性。此外它有时还提供压缩功能。 SSH-TRANS 通常运行在TCP/IP连接上，也可能用于其它可靠数据流上。 SSH-TRANS 提供了强力的加密技术、密码主机认证及完整性保护。该协议中的认证基于主机，并且该协议不执行用户认证。更高层的用户认证协议可以设计为在此协议之上。

用户认证协议 [SSH-USERAUTH]

用于向服务器提供客户端用户鉴别功能。它运行在传输层协议 SSH-TRANS 上面。当SSH-USERAUTH 开始后，它从低层协议那里接收会话标识符（从第一次密钥交换中的交换哈希H ）。会话标识符唯一标识此会话并且适用于标记以证明私钥的所有权。 SSH-USERAUTH 也需要知道低层协议是否提供保密性保护。

连接协议 [SSH-CONNECT]

将多个加密隧道分成逻辑通道。它运行在用户认证协议上。它提供了交互式登录话路、远程命令执行、转发 TCP/IP 连接和转发 X11 连接。

ssh的最主要的作用就是可以远程登陆服务器，使得距离不能成为我们的物理限制。

二，

ssh的实际应用

ssh在很多运维工具中都使用到了，比如，常用的xshell，secure CRT， 这些运维工具都是通过ssh协议来远程登陆服务器的哦。

ssh还有跳转登陆服务器的功能，在集群的内部经常会使用ssh登陆其它的服务器。

ssh还可以应用在脚本内，使得管理大批量的服务器并完成一些简单的自动化工作成为可能。但，ssh通常是点对点的登陆，因此，Apache开发出了基于Python的ansible 以及其它组织开发的saltstrack等等大批量自动化运维工具。

三，

ssh免密登陆的配置

（1） 通常的带密码验证的ssh登陆

端口问题：

这里需要提醒各位，ssh默认的端口是22，但，默认的端口并不是非常安全的，因此，在实际的生产活动中通常是会更改sshd服务的端口，也就是默认端口更改为自定义的端口了。

通常我们要ssh远程登陆一个服务器，命令是这样的：

ssh 192.168.0.16
执行命令后，会要求输入192.168.0.16服务器上的root用户的密码进行验证
如果输入正确，就登陆192.168.0.16这个服务器啦。

那么，上面的写法是省略了很多东西的，其实完整的ssh命令是如下的：

ssh -p 22 root@192.168.0.16
ssh -p 22 zsk@192.168.0.16


这个命令要说明的是，如果sshd服务是使用的默认端口，-p 22 可以省略
如果是想要远程登陆后，就是root用户，那么就在ip前加root@
如果是想要远程登陆后，是普通用户，那么就在ip前加普通用户名@
第二条命令就是需要验证普通用户zsk的密码啦。

当我们回车后，将会要求输入目标主机的用户和密码进行验证，比如上面这条命令是要求验证 192.168.0.16这个远程主机的root用户的密码，如果密码错误，将会要求重新输入，直到三次密码输入错误，关闭ssh连接。

（2）

sshd服务端口自定义更改

vim /etc/ssh/sshd_config
找到以下内容：
# semanage port -a -t ssh_port_t -p tcp #PORTNUMBER
#
Port 2233

将port前的注释去掉，后面的数字写一个自己喜欢的65525以内的未被占用的数字即可。然后保存该文件。
重启sshd服务，重启命令为：
systemctl restart sshd
命令执行完毕后，别的服务器要ssh这台服务器就必须是下面这个命令了：
ssh -p 2233 192.168.0.16

（3）

前面都是一些基础的科普知识，现在开始免密配置啦。（假设，是两个服务器之间的免密，192.168.0.16和192.168.0.17，都是配置root用户的免密哦，sshd服务端口都已更改为2233啦）

1. 在192.168.0.17执行ssh-keygen -t rsa ，然后一路回车
2. 在192.168.0.17执行 ssh-copy-id -p 2233 root@192.168.0.16? 输入16的正确的root密码验证。这个是远程ssh免密
3. 在192.168.0.17执行 ssh-copy-id -p 2233 root@192.168.0.17? 输入本机17的正确的root密码进行验证。这个是本地ssh免密
4. 在192.168.0.16服务器上重复上面的三步，只是密码验证的分别是本地密码和远程密码而已啦。

（4）

免密的原理揭示：

[root@master ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
/root/.ssh/id_rsa already exists.
Overwrite (y/n)? y
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:DoLRfKE6PzfnFviMYbTGcfdjjCnOAVYDnIQjINzVB28 root@master
The key's randomart image is:
+---[RSA 2048]----+
|+.. .==+.        |
|...+o.oo+.       |
|  ..+....E       |
|   + .= o .      |
|  + .+.*S. =     |
|   o .Bo+ o =    |
|    oooBo+ . .   |
|     o.+*        |
|       ..        |
+----[SHA256]-----+

以上需要注意，在提示输入密码的时候一定要回车，不要输入密码。也就是在提示?Enter passphrase (empty for no passphrase)的时候回车，然后在下一个提示仍然回车，不要输入任何密码。

ssh-keygen 这个命令会在/root/.ssh/目录下生成两个文件，一个是公钥 id_rsa.pub 一个是私钥 id_rsa。

这里要说一个ssh的小秘密了，我们查看私钥，会发现即使我们在每个服务器生成的时候没有输入密码，也就是空密码，私钥的内容都是不一样的。当然，公钥的内容也是不一样的，因此，不用纠结啦，即使生成公私钥的时候是空密码，仍然是十分的安全啦。

ssh-copy-id 这个命令是将a服务器的公钥传递到b服务器内，这个我们查看免密配置后生成的authorized_keys就可以看到了。该文件的路径和公私钥是在一个目录下的哦。

[root@master ~]# cat ~/.ssh/authorized_keys 
ssh-rsa 
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCvRg61Q+wReTj/8zAykY51SuTWI3Agptsq0KNtNjHlK/JyNvcTmyMQxLeEFldJEC35/psDsuv2/shFM38zn2BYm8XSVgQITnpuNXIqq5R6lMhLWIO9ehfkuuGKakk91n9szrlbkpCWJeLDPCc8qE8esmEX4xedpk913fOtXa6AuTzZV07XfMmWJXYtco9F12rybjA0hhdku/vMvVRfLnlI6/uPeC7dLI1KuG4UfTGaEAD+rkO/3Ti4W2f44YPB36h2LlnqvC/oprW9mNLNkRoMLDktWjEI+TXqUfNr4OjSaph12KuVLxWmG/Sd6WQjo57wW5Px4RIh47PV//p2e32T root@slave1
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC6AWczH2EgetzltgPaqtU5lDVR/vPrKPlOSmiAx1gi14r0QviZ/fFrt1RDx7x7ptbPBpJqPLbLck2PBIEc8s56fVUsLNCo26Qny+0/WsmFcRfx5sC09teRLuK74kHX3XrbD8TxCndGVWWhgQk8ACIOHswr47FrZFK6l0wPQFOlVSnqmZJ2z7wdhOIZVDb0dyOkdISqNaN4Q9C/9sqdbOwGnD8ryLaXSUmLYf1epiBJ2/0cheua3DXBQW4WoR2pDUXJoBWGTTUPPd+UHIvdRRmp0nqmc9VJqDQ5OkQs2R43ag67lwD62gPmNnh7hDb+bWOjGrr1xg2ui8Puz04C093f root@master

可以看到，两个服务器的公钥内容合并到这个文件内了。

（5）免密登陆的取消

这个就非常简单了，只是注意别删除错了就可以啦

???????rm -rf ~/.ssh/*

把前面 ssh-keygen 等等命令生成的文件删除就可以啦，非常的简单。