因为最终要在Unity中使用，所渗猜誉以我这里新建一个可用于Android和iOS的 .NET Standard 2.0 库，然后安装BouncyCastle这个插件。
库中只有一个脚本 AesGcm.cs
输出结果：
1. 创建目录，下载解压文件及配置权限，完成后运行程序以生成配置文件，并从输出信息中记下默认密码。mkdir -p /opt/alist &&cd /opt/alist
wget https://github.com/alist-org/alist/releases/download/v2.6.3/alist-linux-amd64.tar.gz
tar -zxvf alist-linux-amd64.tar.gz &&rm -f alist-linux-amd64.tar.gz
mv alist-linux-amd64 alist &&chmod +x alist
./alist
2. 创建 systemd 系统单元文件，以便控制服务运行。
cat >/etc/systemd/system/alist.service <<"EOF"
[Unit]
Description=Alist Service
Wants=network.target
After=network.target network.service
[Service]
Type=simple
WorkingDirectory=/opt/alist
ExecStart=/opt/alist/alist
KillMode=process
[Install]
WantedBy=multi-user.target
EOF
刷新配置，设置开圆腊机启动和运行程序。
systemctl daemon-reload
systemctl enable alist
systemctl start alist
还可以用下面命令查看运行状态 / 日志，停止 / 重启，取消开机启动。
systemctl status alist
journalctl -u alist
systemctl stop alist
systemctl restart alist
systemctl disable alist
3. 安装 Nginx 设置反向代理，安装方法可参考之前文章。
4. 创建网站目录，以便存放后面设置 logo、favicon 等文件。
mkdir -p /var/www/file.example.com/script /var/www/file.example.com/file
semanage fcontext -a -t httpd_sys_content_t "/var/www/file.example.com(/.*)?"
restorecon -R -v /var/www/file.example.com
chown -R nginx:nginx /var/www/file.example.com
5. 设置好域名解析，申请好 SSL 证书。
# 先创建配置差腔源文件
cat >/etc/nginx/conf.d/file.example.com.conf <<"EOF"
server {
listen 80
listen [::]:80
server_name file.example.com
include /etc/nginx/snippets/letsencrypt-acme-challenge.conf
}
EOF
# 刷新 Nginx 配置
nginx -s reload
# 安装 ACME 客户端（装完后断开重连 SSH）
curl https://get.acme.sh | sh
# 设置虚态默认申请 Let’s Encrypt 证书（或者设置使用 ZeroSSL 证书）
acme.sh --set-default-ca --server letsencrypt
# 申请 SSL 证书
acme.sh --issue -d file.example.com -w /var/www/letsencrypt
# 安装 SSL 证书
acme.sh --install-cert -d file.example.com \
--key-file /etc/pki/tls/private/file.example.com.key \
--fullchain-file /etc/pki/tls/certs/file.example.com.cer \
--reloadcmd "systemctl force-reload nginx"
# 生成 DH 会话密钥
openssl dhparam -out /etc/pki/tls/certs/dhparam.pem 2048
6. 修改之前创建的 /etc/nginx/conf.d/file.example.com.conf 网站配置文件。
upstream alist_backend {
server 127.0.0.1:5244
keepalive 32
}
server {
listen 80
listen [::]:80
server_name file.example.com
return 301 https://file.example.com$request_uri
}
server {
listen 443 ssl http2
listen [::]:443 ssl http2
server_name file.example.com
ssl_certificate /etc/pki/tls/certs/file.example.com.cer
ssl_certificate_key /etc/pki/tls/private/file.example.com.key
ssl_dhparam /etc/pki/tls/certs/dhparam.pem
ssl_buffer_size 4k
ssl_session_timeout 10m
ssl_session_cache shared:SSL:10m
ssl_protocols TLSv1 TLSv1.1 TLSv1.2
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384
ssl_prefer_server_ciphers off
ssl_stapling on
ssl_stapling_verify on
ssl_trusted_certificate /etc/pki/tls/certs/file.example.com.cer
include /etc/nginx/snippets/enable-gzip-compression.conf
access_log /var/log/nginx/file.example.com.access.log
error_log /var/log/nginx/file.example.com.error.log warn
include /etc/nginx/snippets/letsencrypt-acme-challenge.conf
location ~* ^/(?:script|file) {
root /var/www/file.example.com
log_not_found off
access_logoff
}
location / {
proxy_pass http://alist_backend
proxy_http_version 1.1
proxy_set_header Connection""
proxy_set_header Host $host
proxy_set_header Range $http_range
proxy_set_header If-Range $http_if_range
proxy_set_header X-Real-IP $remote_addr
proxy_set_header X-Forwarded-For $remote_addr
proxy_set_header X-Forwarded-Proto $scheme
proxy_set_header X-Forwarded-Host $host
proxy_set_header X-Forwarded-Port $server_port
proxy_buffers 8 16k
proxy_buffer_size 16k
proxy_busy_buffers_size24k
client_max_body_size 1024m
proxy_redirect off
}
}
然后刷新 Nginx 服务，使配置生效。
nginx -s reload
允许 HTTPD 脚本和模块连接网络，不然连接会被权限拒绝。
setsebool -P httpd_can_network_connect 1
7. 至此，访问域名就可以设置前后端选项了，添加网盘账号那些可见官方文档介绍。
补充：添加 OneDrive 需要账号支持 API，在创建应用时如果要求注册 Azure，可以试下用这个链接能不能免注册创建（之前测试可以）。
SSH协议出现之前，在网络设备管理上广泛应用的一种方式是Telnet。Telnet协议的优势在于通过它可以远程地亏渗脊登录到网络设备上，对网络设备进行配置，为网络管理员异地管理网络设备提供了极大的方便。但是，Telnet协议存在三个致命的弱点：
A、明文传输：数据传输采用明文方式，传输的数据没有任何机密性可言。
B、认证机制脆弱。用户的认证信息在网络上以明文方式传输，很容易被窃听； Telnet 只支持传统的密码认证方式，很容易被攻击。
C、“伪服务器欺骗”：客户端无法真正识别服务器的身份，攻击者很容易进行“伪服务器欺骗”。SSH协议正是为了克服Telnet协议存在的问题而诞生的。
D、数据传输过程被篡改，无法保证传输过程数据完整性
ssh如果解决上述几个安全问题？我们一个个来分析
通过 在 通信双方建立“加密通道”，保证传输的数据不被窃听。并且需要有合适的手段保证通信双方秘钥的安全
所谓加密喊虚通道，是指发送方在发送数据前，使用加密密钥对数据进行加密，然后将
数据发送给对方；接收方接收到数据后，利用解密密钥从密文中获取明文。
加解密算法分为两类： 对称密钥算法：数据加密和解密时使用相同的密钥和相同的算法。 非对称密钥算法：数据加密和解密时使用不同的密钥，一个是公开的公钥，
一个是由用户秘密保存的私钥。
由于非对称密钥算法比较耗时，一般多用于数字签名以及身份认证。SSH加密通道
上的数据加解密使用对称密钥算法，目前主要支持的算法有DES、3DES、AES
等，这些算法都可以有效地防止交互数据被窃听，而且由于采用了初始化向量保
护，可以防止类似于密码流复用等密码分析工具的攻击。
对称密钥算法要求解密密钥和销渗加密密钥完全一致，才能顺利从密文中解密得到明
文。因此，要建立加密通道，必须先在通信双方部署一致的加解密密钥。部署加解
密密钥的方式有多种：手工配置和第三方机构分配等。手工配置的方式扩展性差，
只适合一些小型的本地网络；使用第三方机构分配密钥的方式，需要额外的第三方
服务器，而且密钥在网络中传输容易被窃听。
SSH协议使用一种安全的方式在通信双方部署密钥：密钥交换算法。利用密钥交换
算法可以在通信双方动态地产生密钥，这个密钥只能被通信的双方获得，任何第三
者都无法窃听，这就在源头上保证了加解密使用密钥的安全性，很好地解决了密钥
分发问题。
支持的数据加密算法有：
3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
默认使用的算法：
chacha20-poly1305@openssh.com,
aes128-ctr,aes192-ctr,aes256-ctr,
aes128-gcm@openssh.com,aes256-gcm@openssh.com
可以通过关键字 “ Ciphers”指定使用的算法，多个算法间，需要使用逗号相隔
有三种方式指定算法
方式一：Ciphers 关键字后接算法名称，比如：Ciphers aes256-ctr，aes192-ctr表示只使用
aes256-ctr，aes192-ctr两种算法
方式二：Ciphers 关键字后接算法名称，并且算法名称前带上“+”，表示在默认算法基础上，新增“+”后的算法
方式三：Ciphers 关键字后接算法名称，并且算法名称前带上“-”，表示在默认算法基础上，裁剪“-”后的算法
支持的密钥交换算法有：
curve25519-sha256
curve25519-sha256@libssh.org
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
默认使用的密钥交换算法有：
curve25519-sha256,curve25519-sha256@libssh.org,
ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,
diffie-hellman-group-exchange-sha256,
diffie-hellman-group14-sha1
可以通过关键字 “
KexAlgorithms ”指定使用的算法，多个算法间，需要使用 逗号相隔
有三种方式指定算法
方式一：KexAlgorithms关键字后接算法名称，比如：KexAlgorithms
diffie-hellman-group-exchange-sha256，diffie-hellman-group14-sha1
表示只使用diffie-hellman-group-exchange-sha256，diffie-hellman-group14-sha1
两种算法
方式二：KexAlgorithms关键字后接算法名称，并且算法名称前带上“+”，表示在默认算法基础上，新增“+”后的算法
方式三：KexAlgorithms关键字后接算法名称，并且算法名称前带上“-”，表示在默认算法基础上，裁剪“-”后的算法
传统的方式，采用的是密码认证模式：用户在ssh客户端输入账号、密码，openssh完成对登录用户进行密码认证。用户的身份信息等关键数据都保存在认证服务器上
由于密码认证方式的认证强度较弱，SSH协议引入了公钥认证方式。目前，openssh
可以利用RSA和DSA两种非对称密钥算法实现公钥认证。
公钥认证的过程分为两个部分：：
(1) 公钥验证：客户端首先将自己本地密钥对的公钥部分，按照字符串格式发送
到服务器。服务器使用本地保存的客户端公钥，与报文中携带的客户端公钥
进行比较，验证客户端持有公钥的正确性。
(2) 数字签名验证：如果公钥验证成功，客户端继续使用自己本地密钥对的私钥
部分，对特定报文进行摘要运算，将所得的结果（即数字签名）发送给服务
器，向服务器证明自己的身份；服务器使用预先配置的该用户的公钥，对客
户端发送过来的数字签名进行验证。
公钥验证和数字签名验证中任何一个验证失败，都会导致本次公钥认证失败。
AuthenticationMethods
PubkeyAuthentication：是否使用公钥认证，默认为yes
UsePAM:该关键字只有在移植版中支持，PAM为“可插拔认证模块”，用于
PubkeyAcceptedKeyTypes：公钥认证算法
ecdsa-sha2-nistp256-cert-v01@openssh.com, ecdsa-sha2-nistp384-cert-v01@openssh.com, ecdsa-sha2-nistp521-cert-v01@openssh.com, ssh-ed25519-cert-v01@openssh.com, ssh-rsa-cert-v01@openssh.com, ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521, ssh-ed25519,ssh-rsa
公钥认证配置方法：
1. 首先，在客户端生成一个对钥：
# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
fa:49:6c:0a:90:0e:0f:57:2e:21:79:f6:65:7f:8d:42
这里我们用的是rsa算法,我们也可以使用dsa算法：
ssh-keygen -t dsa
从上面可以看到，提示输入私钥的保护密码，我们也可以不选，直接ENTER就行了！
现在密钥已经生成：
id_rsa(私钥) id_rsa.pub(公钥)
如果是dsa算法生成的话：
id_dsa id_dsa.pub
2. 我们将公钥传到服务器的.ssh目录下.
scp id_rsa.pub user@hostname:/home/user/.ssh/authorized_keys
3. 将/etc/ssh/sshd_config
中的rsa认证功能打开.(去掉注释)
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
然后重新启动sshd就行了.
如果是dsa算法的话同理.
疑问：公钥认证，是否使用了PAM？还是openssh自己搞的？
可插拔认证模块的介绍：
http://www.infoq.com/cn/articles/wjl-linux-pluggable-authentication-module
http://www.infoq.com/cn/articles/linux-pam-one
ChrootDirectory：
Specifies
2.3.1 原理
用户认证机制只实现了服务器端对客户端的认证，而客户端无法认证服务器端，因
此存在着“伪服务器欺骗”的安全隐患。
图4 伪服务器欺骗
如图4所示，当客户端主机需要与服务器建立连接时，第三方攻击者冒充真正的服
务器，与客户端进行数据交互，窃取客户端主机的安全信息，并利用这些信息去登
录真正的服务器，获取服务器资源，或对服务器进行攻击。
为了防止类似这样的伪服务器欺骗，SSH协议支持客户端对服务器端进行认证。服
务器端在密钥交换阶段，使用自己的私钥对一段固定格式的数据进行数字签名，并
将该签名发往客户端，客户端使用本地保存的服务器公钥，对签名进行鉴别，从而
达到认证服务器的目的。
HostKey
HostKeyAlgorithms
ecdsa-sha2-nistp256-cert-v01@openssh.com, ecdsa-sha2-nistp384-cert-v01@openssh.com, ecdsa-sha2-nistp521-cert-v01@openssh.com, ssh-ed25519-cert-v01@openssh.com, ssh-rsa-cert-v01@openssh.com, ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521, ssh-ed25519,ssh-rsa
Macs
支持的消息认证码（Mac）算法有：
hmac-md5
hmac-md5-96
hmac-sha1hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
umac-64@openssh.com
umac-128@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
默认使用的密钥交换算法有：
umac-64-etm@openssh.com,umac-128-etm@openssh.com,
hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com,
hmac-sha1-etm@openssh.com,
umac-64@openssh.com,umac-128@openssh.com,
hmac-sha2-256,hmac-sha2-512,hmac-sha1
可以通过关键字 “Macs ”指定使用的算法，多个算法间，需要使用 逗号相隔
有三种方式指定算法
方式一：Macs关键字后接算法名称，比如：KexAlgorithms
hmac-sha2-256，hmac-sha2-512
表示只使用hmac-sha2-256，hmac-sha2-512
两种算法
方式二：Macs关键字后接算法名称，并且算法名称前带上“+”，表示在默认算法基础上，新增“+”后的算法
方式三：Macs关键字后接算法名称，并且算法名称前带上“-”，表示在默认算法基础上，裁剪“-”后的算法
openssh通过 以下4类算法，保证传输过程网络安全：
A、传输数据加密：传输加密算法，密钥协商算法，
B、公钥认证算法
C、Mac算法
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）