OpenSSH

1、OpenSSH 简介

OpenSSH这一术语指系统中使用的Secure Shell软件的软件实施。用于在远程系统上安全运行shell。如果您在可提供ssh服务的远程Linux系统中拥有用户帐户，则ssh是通常用来远程登录到该系统的命令。ssh命令也可用于在远程系统中运行命令。

常用的远程工具

telnet      //远程登录协议，23/TCP
    认证明文
    数据传输明文

ssh         //Secure SHell，应用层协议，22/TCP
    通信过程及认证过程是加密的，主机认证
    用户认证过程加密
    数据传输过程加密

dropbear    //嵌入式系统专用的SSH服务器端和客户端工具

SSH 认证方式
openssh有两种认证方式，分别是：

• 基于口令认证：口令就是密码，这种方式需要输入密码，容易被破解，而且用起来很复杂。当有100台主机，你需要创建100个密码，全部一样，你管理的时候每台主机都要输入密码，那如果全部不一样呢，那就更麻烦了！！！

• 基于密钥认证：不需要密码。使用证书匹配，匹配的上就可以登录。而且还可以给密钥设密码

2、OpenSSH的作用

OpenSSH提供了服务端后台程序和客户端工具，用来加密远程控制和文件传输过程中的数据，并由此来代替原来的类似服务。 OpenSSH是使用SSH透过计算机网络加密通讯的实现。

3、OpenSSH的工作模式

openSSH是基于C/S架构工作的。一台客户端，一台服务端。

• cs：客户端加service服务器
• bs：浏览器加service服务器

服务器端——sshd，配置文件在/etc/ssh/sshd_config （可以优化服务端的配置）

客户端——ssh，配置文件在/etc/ssh/ssh_config （这个配置文件不需要修改）

    ssh-keygen      //密钥生成器,
    ssh-copy-id     //将公钥传输至远程服务器
    scp             //跨主机安全复制工具,传输工具

ssh-keygen是客户端生成密钥，不是服务端

4、OpenSSH使用

ssh + ip/主机名 直接连接：会使用当前用户身份直接去连接主机（必须当前用户在对面主机也存在，否则无法连接）

ssh user@ip/主机名：指定用户连接（指定user用户连接你想要连接的主机）

需要你输入密码是用户认证，先进行主机用证在进行用户验证，平时就是用户验证，就第一次验证需要输入yes，后面输入密码即可登录。第一次主机用证之后，本地就保存了，只要不更改公钥后面都是默认的

ssh命令常用选项：

• -p //指定端口
• -X //调用图形化
• -Y //和-X一样，比-X更安全
• -i //指定密钥位置

scp命令常用选项

• -r //递归复制
• -p //保持权限
• -P //大写，指定端口
• -q //静默模式
• -a //相当于-rp
• -i //指定密钥位置

主机	ip
yibie	192.168.23.116
master	192.168.23.117

1. 直接使用ip地址/主机名 连接

   // 使用192.168.23.116连接192.168.23.117
   // 查看要连接的主机的ip信息
   [root@master ~]# ip a
   1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
       link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
       inet 127.0.0.1/8 scope host lo
          valid_lft forever preferred_lft forever
       inet6 ::1/128 scope host 
          valid_lft forever preferred_lft forever
   2: ens32: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
       link/ether 00:0c:29:5b:3b:74 brd ff:ff:ff:ff:ff:ff
       inet 192.168.23.117/24 brd 192.168.91.255 scope global dynamic noprefixroute ens32
          valid_lft 1241sec preferred_lft 1241sec
       inet6 fe80::29db:511:eca0:9fec/64 scope link noprefixroute 
          valid_lft forever preferred_lft forever
   
   //查看centos2的文件
   [root@master ~]# ls
   abc  anaconda-ks.cfg
   
   //开始连接
   [root@yibie ~]# ssh 192.168.23.117
   The authenticity of host '192.168.23.117 (192.168.23.117)' can't be established.
   ECDSA key fingerprint is SHA256:5pPUIiez/akZsk/v0W86vbS3d2uq5xaByrIC/cUqR5E.
   Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
   Warning: Permanently added '192.168.23.117' (ECDSA) to the list of known hosts.
   root@192.168.23.117's password: 
   Last login: Sat Sep 25 20:22:34 2021 from 192.168.23.116
   
   //连接之后查看文件是否一样
   [root@master ~]# ls
   abc  anaconda-ks.cfg
   
   //退出连接
   [root@master ~]# exit
   logout
   Connection to 192.168.23.117 closed.
   
   //查看centos1文件
   [root@yibie ~]# ls
   anaconda-ks.cfg

2. 使用用户通过ip地址/主机名 远程连接

   //使用用户远程连接
   [root@yibie ~]# ssh root@192.168.23.117
   root@192.168.23.117's password: 
   Last login: Sat Sep 25 20:55:01 2021 from 192.168.23.116
   [root@master ~]# ls
   abc  anaconda-ks.cfg
   [root@yibie ~]# exit
   logout
   Connection to 192.168.23.117 closed.

3. w命令可以显示当前登录到计算机的用户列表。这对于显示哪些用户使用ssh从哪些远程位置进行了登录以及执行了何种操作等内容特别有用

   //在192.168.23.117上查看192.168.23.116是否还在使用本主机
   [root@master ~]# w
    21:05:15 up  1:17,  3 users,  load average: 0.04, 0.09, 0.08
   USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
   root     pts/0    192.168.91.1     20:54    0.00s  0.01s  0.00s w
   root     pts/1    192.168.91.1     20:54   10:48   1.35s  1.34s top
   root     pts/2    192.168.23.116   21:05    3.00s  0.00s  0.00s -bash

     4.

[root@yibie ~]# ls
anaconda-ks.cfg
[root@yibie ~]# touch amu

//使用scp命令将文件amu传送到远程主机
[root@yibie ~]# scp amu root@192.168.23.117:/tmp
root@192.168.23.117's password: 
amu                           100%    0     0.0KB/s   00:00    
[root@yibie ~]# ls
amu  anaconda-ks.cfg

//使用scp命令将文件amu下载到本地主机
[root@master ~]# scp root@192.168.23.117:/tmp/amu /root/
root@192.168.23.117's password: 
amu                           100%    0     0.0KB/s   00:00    
[root@master ~]# ls
abc  amu  anaconda-ks.cfg

5、SSH 主机密钥

管理的时候第一步就是要进行主机认证

ssh使用公钥加密的方式保持通信安全，当某一台ssh客户端想要连接ssh服务器时，客户端登录之前，服务器会像客户端发送公钥副本。使其通信渠道安全加密，并验证客户端的服务器本地保存的公钥是否一致，不一样无法连接、一样则匹配成功进行连接。

//客户端主机公钥存储在 ~/.ssh/known_hosts 中
[root@yibie ~]# cat ~/.ssh/known_hosts 
192.168.23.117 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBPQs5n7tztRrOWUuqW99/FoDAqN8k+WBkMgjKWu+VySvOVAAmEysHJTznMW48BL70Ad7FjDFcpjLV9nnWcsfyks=
192.168.23.116 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBE9YQ0YFb3i+hRtBvSJO/38aDx6bg5SZuHQbkfcKCuj2vorkAlIU+Ugv9k+Jc/N9vdrCf8LwNIg2vRpu+LpulfI=

//服务端私钥存储在 /etc/ssh/ssh_host_key* 中
[root@yibie ~]# ls /etc/ssh/*key*
/etc/ssh/ssh_host_ecdsa_key
/etc/ssh/ssh_host_ecdsa_key.pub
/etc/ssh/ssh_host_ed25519_key
/etc/ssh/ssh_host_ed25519_key.pub
/etc/ssh/ssh_host_rsa_key
/etc/ssh/ssh_host_rsa_key.pub

//带有.pub的是公钥，不带的是私钥
//有三套密钥，默认使用ecdsa_key

生成的密钥是一对：
公钥：给别人的（给需要连接的主机，来匹配本地主机）
私钥：留个自己的（留在本地）

如果服务器的公钥发生更改（由于硬盘出现故障导致公钥丢失，或者出于某些正当理由替换公钥），用户则需要更新其~/.ssh/known_hosts文件并删除旧的条目才能够进行登录。

6、配置基于 SSH 密钥的身份验证

用户可通过使用公钥身份验证进行ssh登录身份验证。ssh允许用户使用私钥-公钥方案进行身份验证。这意味着将生成私钥和公钥这两个密钥。私钥文件用作身份验证凭据，像密码一样，必须妥善保管。公钥复制到用户希望登录的系统，用于验证私钥。公钥并不需要保密。拥有公钥的ssh服务器可以发布仅持有您私钥的系统才可解答的问题。因此，可以根据所持有的密钥进行验证。如此一来，就不必在每次访问系统时键入密码，但安全性仍能得到保证。

使用ssh-keygen命令生成密码。将会生成私钥~ /.ssh/id_rsa和公钥~/.ssh/id_rsa.pub。

注意：

生成密钥时，系统将提供指定密码的选项，在访问私钥时必须提供该密码。如果私钥被偷，除颁发者之外的其他任何人很难使用该私钥，因为已使用密码对其进行保护。这样，在攻击者破解并使用私钥前，会有足够的时间生成新的密钥对并删除所有涉及旧密钥的内容。

生成ssh密钥后，密钥将默认存储在家目录下的.ssh/目录中。私钥和公钥的权限就分别为600和644。.ssh目录权限必须是700。

在可以使用基于密钥的身份验证前，需要将公钥复制到目标系统上。可以使用ssh-copy-id完成这一操作

ssh-keygen命令常用选项：  

• -t 指定加密算法rsa或dsa
• -f 指定生成的密钥文件存放目录
• -N 'password' 指定密码为password

ssh-copy-id命令常用选项：

• -i 指定密钥文件的位置

//使用ssh-keygen创建私钥
[root@yibie ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:IJAYISLc1L8oxMtjVE23hjr+nj/ooTOK4F2QJRR25Qg root@JLin
The key's randomart image is:
+---[RSA 3072]----+
|B++Eo.+o .       |
|=.+oooo.o .      |
|  ..oooo o       |
|   ++..o.        |
|  +o.o. S        |
|   *o...         |
|. . oo ..        |
|o o .oo.o.       |
| o o..==...      |
+----[SHA256]-----+
[root@yibie ~]# 
[root@yibie ~]# ssh root@192.168.23.117
root@192.168.23.117's password: 

//使用 ssh-copy-id 将公钥复制到远程系统上的正确位置
[root@yibie ~]# ls .ssh/
id_rsa  id_rsa.pub  known_hosts

[root@yibie ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.23.117
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@192.168.23.117's password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'root@192.168.23.117'"
and check to make sure that only the key(s) you wanted were added.

//无需输入密码远程连接
[root@yibie ~]# ssh root@192.168.23.117
Last login: Sat Sep 25 21:05:12 2021 from 192.168.23.116

[root@master ~]# ls
abc  amu  anaconda-ks.cfg

//查看ip


```[root@yibie ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens32: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:5b:3b:74 brd ff:ff:ff:ff:ff:ff
    inet 192.168.23.117/24 brd 192.168.91.255 scope global dynamic noprefixroute ens32
       valid_lft 1336sec preferred_lft 1336sec
    inet6 fe80::29db:511:eca0:9fec/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever

7、自定义 SSH 服务配置

虽然OpenSSH服务器通常无需修改，但会提供其他安全措施，可以在配置文件/etc/ssh/sshd_config中修改OpenSSH服务器的各个方面。

PermitRootLogin {yes|no}    //是否允许root用户远程登录系统
PermitRootLogin without-password    //仅允许root用户基于密钥方式远程登录
PasswordAuthentication {yes|no}     //是否启用密码身份验证，默认开启