远程连接——SSH

简介

SSH（Secure Shell）是一种安全通道协议，主要用来实现字符界面的远程登录、远程 复制等功能。SSH 协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入的用户口令，SSH 为建立在应用层和传输层基础上的安全协议。对数据进行压缩，加快传输速度。

优点：

• 数据传输是加密的，可以防止信息泄漏

• 数据传输是压缩的，可以提高传输速度

原理

SSH客户端<————–网络—————->SSH服务端

• SSH客户端：Putty、 Xshell、CRT
• SSH服务端：OpenSSH

ssh免密码登录主要采用算法：

• 对称加密算法

原理：采用单钥密码系统的加密方法，同一个密钥可以同时用作信息的加密和解密，这种加密方法称为对称加密，由于其速度快，对称性加密通常在消息发送方需要加密大量数据时使用。

特点：计算量小、加密解密的速度比较快，适合数据比较长时的使用； 密钥传输的过程不安全，且容易被破解，密钥管理也比较麻烦。

• 非对称加密算法

原理：非对称加密算法需要两个密钥：公开密钥（publickey:简称公钥）和私有密钥（privatekey:简称私钥）。公钥与私钥是一对，如果用公钥对数据进行加密，只有用对应的私钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。

特点：非对称加密技术安全性更好，但性能更慢。

安装

1. Centos 7系统默认已安装openssh相关软件包，并将sshd 服务添加为开机自启动。
2. sshd服务默认使用的是TCP的22端口，安全协议版本sshv2，出来2之外还有1(有漏洞)
3. sshd服务的默认配置文件是/etc/ssh/sshd_ config

检查是否安装：

ssh -V

已经安装如下所示：

(base) [root@localhost homes]# ssh -V
OpenSSH_7.4p1, OpenSSL 1.0.2k-fips  26 Jan 2017
(base) [root@localhost homes]# 

查看一下和ssh相关的安装包：

# centos
yum search ssh

# ubantu
sudo apt-get install ssh

存在ssh的安装包：

(base) [root@localhost homes]# yum search ssh
已加载插件：fastestmirror, langpacks
Repository libnvidia-container is listed more than once in the configuration
Repository libnvidia-container-experimental is listed more than once in the configuration
Repository nvidia-container-runtime is listed more than once in the configuration
Repository nvidia-container-runtime-experimental is listed more than once in the configuration
Loading mirror speeds from cached hostfile
....
scponly.x86_64 : Restricted shell for ssh based file services
sshuttle.noarch : Transparent Proxy VPN
sslh.x86_64 : Applicative protocol(SSL/SSH) multiplexer

使用yum安装：

# rsync是一个远程数据同步工具，可通过LAN/WAN快速同步多台主机间的文件
# 安装SSH协议
yum -y install ssh openssh openssh-clients openssh-server rsync 

配置

OpenSSH常用配置文件

修改配置文件：

# 备份原始配置文件
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.ori

vim /etc/ssh/sshd_config

修改内容如下：

设置开机自启：

# 检查是否修改成功
vimdiff /etc/ssh/sshd_config.ori /etc/ssh/sshd_config

# 查看开机启动sshd服务
systemctl is-enabled sshd

# 未开启
disabled
# 已开启
enabled

# 开启开机自启
chkconfig sshd on

# 禁止开机自启
chkconfig sshd off

命令

ssh

语法

ssh [-1246AaCfGgKkMNnqsTtVvXxYy] [-b bind_address] [-c cipher_spec]
           [-D [bind_address:]port] [-E log_file] [-e escape_char]
           [-F configfile] [-I pkcs11] [-i identity_file]
           [-J [user@]host[:port]] [-L address] [-l login_name] [-m mac_spec]
           [-O ctl_cmd] [-o option] [-p port] [-Q query_option] [-R address]
           [-S ctl_path] [-W host:port] [-w local_tun[:remote_tun]]
           [user@]hostname [command]

选项

ssh-keygen

语法

ssh-keygen [OPTIONS] <file>...

选项

示例

密码登录

ssh -l root 192.168.0.11
# or
ssh root@192.168.0.11

不指定用户登录

ssh 192.168.0.11

免密登录

192.168.1.66主机想要通过ssh免密登录192.168.1.78主机，需要在两个主机上都创建公匙与密匙。并且把192.168.1.66的公匙存放在192.168.1.78主机上。

创建RSA密匙

这是没有任何参数的 ssh keygen 的默认行为。默认情况下，它创建 RSA 密钥对，将密钥存储在 ~/.ssh 目录下。请注意，它创建的文件名id_rsa为私钥，id_rsa.pub 为公钥。

[root@localhost ~]# ssh-keygen  -t rsa    -f ~/.ssh/id_rsa   -C "shoufeng"
#                               ~密钥类型  ~密钥文件路径及名称  ~ 备注信息
Generating public/private rsa key pair.
Enter passphrase (empty for no passphrase):  # 输入密码, 若不输入则直接回车
Enter same passphrase again: # 再次确认密码, 若不输入则直接回车
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
9a:e3:94:b9:69:c8:e9:68:4b:dc:fa:43:25:7f:53:f1 shoufeng
The key's randomart image is:
+--[ RSA 2048]----+
|                 |
|          .      |
|           o     |
|    . .   . E    |
|     +  S.       |
| . .. .=o        |
|  oo.oB. .       |
| ..o=o.+         |
| .++oo+          |
+-----------------+

注意: 密钥的文件名称必须是id_xxx, 这里的xxx就是-t参数指定的密钥类型. 比如密钥类型是rsa, 那么密钥文件名就必须是id_rsa.

修改文件权限

chmod 600 /root/.ssh/id_rsa
chmod 600 /root/.ssh/id_rsa.pub

scp上传公匙

scp /root/.ssh/id_rsa.pub root@192.168.1.78:/root/.ssh/authorized_keys

注意: 如果192.168.1.78主机上的/root/.ssh/authorized_keys文件中存在其他主机的公匙，不要使用scp，否在会出现文件覆盖，删除已有的公匙。仅需把192.168.1.66的公匙添加到192.168.1.78主机上的/root/.ssh/authorized_keys文件中即可。

补充

将SSH密钥转换为不同的格式

默认情况下，由 ssh-keygen 生成的密钥将由 OpenSSH 实现使用。但是，如果要将这些密钥转换为 SSH 商业实现（例如：SSH2），请使用如下所示的 -e 选项。

# ssh-keygen -e
Enter file in which the key is (/root/.ssh/id_rsa):
---- BEGIN SSH2 PUBLIC KEY ----
Comment: "2048-bit RSA, converted from OpenSSH by root@devdb"
AAAAB3NzaC1yc2EAAAABIwAAAQEA5kSivOqhs0U9ZMN20nxFe27QZ3t0lT2zbH7OSXylKd
1rjAjYXGnSXC9j2uaZlemHlptBKVziMJC86ha7Hcj6dVOVrDQ6vF4q34bOCjtKLphQ0IjB
zVIvqILH9eLJdRaOrS34CmgmPaisrCk5wKVlakygvUfcj3HzaTKS6THyZDGx5shdTpa9lb
y8tpOD3JceV7ay4w8r0DipoKPC0OLpvS4EABEeMo9sx8zQEaKv03XygjNCCYtFvxlQQIRG
lVoL7mPaHSaL3anI05RpNbm/PS+9BhZg+BqNjU4ofHBbfkXk5MiN6M7ieR4Sk5BquccboG
F13U5slNgmCEekdt0amw==
---- END SSH2 PUBLIC KEY ----

可以使用以下命令指定文件并将输出存储到其他文件。

# ssh-keygen -e -f /root/.ssh/id_rsa > /root/.ssh/id_rsa.ssh2

# cat /root/.ssh/id_rsa.ssh2
---- BEGIN SSH2 PUBLIC KEY ----
Comment: "2048-bit RSA, converted from OpenSSH by root@devdb"
AAAAB3NzaC1yc2EAAAABIwAAAQEA5kSivOqhs0U9ZMN20nxFe27QZ3t0lT2zbH7OSXylKd
1rjAjYXGnSXC9j2uaZlemHlptBKVziMJC86ha7Hcj6dVOVrDQ6vF4q34bOCjtKLphQ0IjB
zVIvqILH9eLJdRaOrS34CmgmPaisrCk5wKVlakygvUfcj3HzaTKS6THyZDGx5shdTpa9lb
y8tpOD3JceV7ay4w8r0DipoKPC0OLpvS4EABEeMo9sx8zQEaKv03XygjNCCYtFvxlQQIRG
lVoL7mPaHSaL3anI05RpNbm/PS+9BhZg+BqNjU4ofHBbfkXk5MiN6M7ieR4Sk5BquccboG
F13U5slNgmCEekdt0amw==
---- END SSH2 PUBLIC KEY ----

搜索已知主机文件

您也可以使用 ssh-keygen 在 ~/.ssh/known_hosts 文件中搜索密钥。当known_hosts文件中有很多条目时，这很有用。

以下输出指示它在 #10 行的已知主机文件中找到了“dev-db”的条目。

# ssh-keygen -F dev-db
# Host dev-db found: line 10 type RSA
dev-db ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQEA7QEcjRkbBWpwE7zIShobue9aEGyVObVHDLhK==

显示给定私钥的公钥

以下示例将显示默认 /root/.ssh/id_rsa 私钥的公钥。

# ssh-keygen -y
Enter file in which the key is (/root/.ssh/id_rsa):
ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQEA5kSivOqhs0U9ZMN20nxFe27QZ3t0lT2zbH7OSX==

您还可以使用 -f 选项指定权限键。在此示例中，它将显示 ~/.ssh/id_dsa 私钥的公钥。

# ssh-keygen -y -f ~/.ssh/id_dsa
ssh-dss AAAAB3NzaC1kc3MAAACBAIpmvehoOuFwJ5YHV+7BCrAinV0BZbkUvxkX8KK2prDmynhT==

错误

如果出现上述错误：

1. 可能是B机之前存有A机的公匙，但是A机重新装系统了，需要把旧的公匙删除掉。
2. 然后手动复制A机地公匙文件到B机，注意需要修改文件名称为authorized_keys。
3. 当你用ssh连接到一个新的服务器的时候，ssh会让你确认服务器的信息（域名、IP、公钥），如果你确认了，就会写到known_hosts里。

参考

ssh-keygen 用法和命令 – Dirigent – 博客园 (cnblogs.com)

Linux基础—— SSH免密登录 – 知乎 (zhihu.com)

如何在linux中安装ssh服务_linux安装ssh_沈信得的博客-CSDN博客

Linux安装以及ssh连接 – 简书 (jianshu.com)

Linux的ssh监听多个端口 – 腾讯云开发者社区-腾讯云 (tencent.com)

SSH服务配置_ssh配置_Liq1的博客-CSDN博客

Linux 安装SSH服务 (CentOS 7) (baidu.com)

linux的SSH（远程登录）服务_linux ssh_芒地狠的博客-CSDN博客

linux之ssh命令详解_linux ssh_xiaokanfuchen86的博客-CSDN博客

linux ssh命令详解 (taodudu.cc)