求份LINUX实习报告不足和收获

4.1学习所得

我归纳的一下：其中用户管理重点学习passwd、shadow、group 3个文件和useradd、passwd、groupadd、usermod 4个关键性命令；创建文件系统命令touch、安装文件系统命令、du、df还有find命令；以及rpm的使用等；其中，在软件包安装部分遇到问题，自己不能完成包安装。后来自己在网上查阅了一些资料和多练习才安装成功，另外我觉得本次实习的实践性很强，必须要自己亲手 *** 作一边，在问题和解决问题的循环中才能真正完成本次实习任务。本次实习内容较多，对于有些知识我还比较生疏，没能熟练使用。在下来的学习中加强实践练习，夯实系统管理的具体知识，提升上机 *** 作能力。

对于我个人而言，我对这门课程不太感兴趣。所以在实习过程中我充分利用自己的实习时间，反复的去练习实习项目，在练习中发现问题和解决问题，这样不断的提升自己的学习能力，在结合一些有趣的实验和部分同学进行讨论。非常感谢实习导师们在实习过程中对我们的指导，此次实习我觉得自己收获很多，对我以后的学习和工作有非常大的帮助，在以后的学习中我会更加努力的去学习和加深自己的专业知识。实习有很多的好处，它的好处有验证自己是否真的掌握了这些知识，以及对那些知识的不清楚，在实习中去完善自己的不足，加强和巩固自己的不足，在实践中去验证理论，用理论去解决实践中遇到的问题。

4.2经验教训

经过几天的实习我的长进了很多,我学会了在linux系统下如何进行DNS域名系统配置与管理，对DNS服务器有了更深刻了解，通过两周的实训 *** 作，对常见服务器的搭建与配置管理有了深刻的体会与了解。这次实训不仅让我们在理论上对linux有了全新的认识，在实践能力上也得到了提高，对linux的许多知识加以巩固加深，明白了作为一名新时期的人一定要做到学以致用。实训期间，遇到不懂的问题就问同学，通过同学耐心讲解，克服了许多难题，使我懂得了团结就是力量。在成长的道路上，我们要不断学习，不断进步，使自己得到提升。这次实训对于我们以后学习、找工作也是受益匪浅的。相信这些宝贵的经验会成为我们今后成功的重要基石。，让我弥补了自己许多的不足。其实成功只离你仅有几步之遥，以前有许多的东西都没有学的很扎实，但是经过这一周的实习让我的知识又重新上了一个台阶，在这次实习中我学到了很多的东西，从中自己也在一步的探索中，看到自己一点一滴的变化。在一周的实训中遇到了不少的问题，如果在linux中配置dns的时候马虎，不细心，就会导致启用失败。而dns服务器配置问题也值得我们去理解，去实践，琢磨了很久，才琢磨透彻。

4.3实习体会

通过本次的实习，我知道了“有心人天不负”，我们只有对什么都注意观察、分析、总结、归纳、提炼，才能使自己的工作做出成绩。只有做一个有心人，才能捕捉到每一个细小变化，作出迅速反应，捕捉住每一条信息。“世上无难事，就怕有心人”，做有心人，勤于思考，才能改进我们的工作方法。“学为中，弃为下，悟为上”。勤于思考，才能领悟，才能提高，才能做得更好。

要想在短暂的实习时间内，尽可能多的学一些东西，这就需要跟老师和同学有很好的沟通，加深彼此的了解，刚到培训基地，老师并不了解你的能力，不清楚你会做哪些工作，不清楚你想了解什么样的知识，所以跟老师建立起很好的沟通是很必要的。

在信息时代，学习是不断地汲取新信息，获得事业进步的动力。作为一名青年学子更应该把学习作为保持工作积极性的重要途径。只有将理论付诸于实践才能实现理论自身的价值，也只有将理论付诸于实践才能使理论得以检验。同样，一个人的价值也是通过实践活动来实现的，也只有通过实践才能锻炼人的品质，彰显人的意志。必须在实际的工作和生活中潜心体会，并自觉的进行这种角色的转换。

这一周的实习，使我对linux有了很深的定义，自己在学习中出现的各种问题，也让我重新审视了自己，并完善自己在学习中的不当方法，学会自己去探索发现，让自己也变得善于动脑，善于思考，不倚仗他人。

学以致用，是人生最大的收获。我会进一步的认识并扩展专业知识，增长见识，不断充实自己，使自己不断的吸收养分，各方面得到充分的提高。为以后出身社会，打下坚实的基础。每一日你所付出的代价都比前一日高，因为你的生命又消短了一天，所以每一日你都要更积极。今天太宝贵，不应该为酸苦的忧虑和辛涩的悔恨所销蚀，抬起下巴，抓住今天，它不再回来。人要走进知识宝库，是一辈子的事情，不可能一蹴而就。因此我们要学习的东西太多了。

自己看:

什么是Iptables？

iptables 是建立在 netfilter 架构基础上的一个包过滤管理工具，最主要的作用是用来做防火墙或透明代理。Iptables 从 ipchains 发展而来，它的功能更为强大。Iptables 提供以下三种功能：包过滤、NAT（网络地址转换）和通用的 pre-route packet mangling。包过滤：用来过滤包，但是不修改包的内容。Iptables 在包过滤方面相对于 ipchians 的主要优点是速度更快，使用更方便。NAT：NAT 可以分为源地址 NAT 和目的地址 NAT。

Iptables 可以追加、插入或删除包过滤规则。实际上真正执行这些过虑规则的是 netfilter 及其相关模块（如 iptables 模块和 nat 模块）。Netfilter 是 Linux 核心中一个通用架构，它提供了一系列的 “表”（tables），每个表由若干 “链”（chains）组成，而每条链中可以有一条或数条 “规则”（rule）组成。

系统缺省的表为 “filter”，该表中包含了 INPUT、FORWARD 和 OUTPUT 3 个链。

每一条链中可以有一条或数条规则，每一条规则都是这样定义的：如果数据包头符合这样的条件，就这样处理这个数据包。当一个数据包到达一个链时，系统就会从第一条规则开始检查，看是否符合该规则所定义的条件： 如果满足，系统将根据该条规则所定义的方法处理该数据包；如果不满足则继续检查下一条规则。最后，如果该数据包不符合该链中任一条规则的话，系统就会根据该链预先定义的策略来处理该数据包。

? table，chain，rule

iptables 可以 *** 纵3 个表：filter 表，nat 表，mangle 表。

NAT 和一般的 mangle 用 -t 参数指定要 *** 作哪个表。filter 是默认的表，如果没有 -t 参数，就默认对 filter 表 *** 作。

Rule 规则：过滤规则，端口转发规则等，例如：禁止任何机器 ping 我们的服务器，可以在服务器上设置一条规则：

iptables -A INPUT -s ! 127.0.0.1 -p icmp -j DROP

从 –s 开始即是一条规则，-j 前面是规则的条件，-j 开始是规则的行为（目的）。整条命令解释为，在filter 表中的 INPUT 规则链中插入一条规则，所有源地址不为 127.0.0.1 的 icmp 包都被抛弃。

Chain 规则链：由一系列规则组成，每个包顺序经过 chain 中的每一条规则。chain 又分为系统 chain和用户创建的 chain。下面先叙述系统 chain。

filter 表的系统 chain： INPUT，FORWAD，OUTPUT

nat 表的系统 chain： PREROUTING，POSTROUTING，OUTPUT

mangle 表的系统 chain： PREROUTING，OUTPUT

每条系统 chain 在确定的位置被检查。比如在包过滤中，所有的目的地址为本地的包，则会进入INPUT 规则链，而从本地出去的包会进入 OUTPUT 规则链。

所有的 table 和 chain 开机时都为空，设置 iptables 的方法就是在合适的 table 和系统 chain 中添相应的规则。

--------------------------------------------------------------

IPTABLES 语法：

表: iptables从其使用的三个表（filter、nat、mangle）而得名, 对包过滤只使用 filter 表, filter还是默认表,无需显示说明.

*** 作命令: 即添加、删除、更新等。

链：对于包过滤可以针对filter表中的INPUT、OUTPUT、FORWARD链，也可以 *** 作用户自定义的链。

规则匹配器：可以指定各种规则匹配，如IP地址、端口、包类型等。

目标动作：当规则匹配一个包时，真正要执行的任务，常用的有：

ACCEPT 允许包通过

DROP 丢弃包

一些扩展的目标还有：

REJECT 拒绝包，丢弃包同时给发送者发送没有接受的通知

LOG 包有关信息记录到日志

TOS 改写包的TOS值

为使FORWARD规则能够生效,可使用下面2种方法的某种:

[root@rhlinux root]# vi /proc/sys/net/ipv4/ip_forward

[root@rhlinux root]# echo "1" >/proc/sys/net/ipv4/ip_forward

[root@rhlinux root]# vi /etc/sysconfig/network

[root@rhlinux root]# echo "FORWARD_IPV4=true" >/etc/sysconfig/network

--------------------------------------------------------

iptables语法可以简化为下面的形式:

iptables [-t table] CMD [chain] [rule-matcher] [-j target]

--------------------------------------------------------

常用 *** 作命令:

-A 或 -append 在所选链尾加入一条或多条规则

-D 或 -delete 在所选链尾部删除一条或者多条规则

-R 或 -replace 在所选链中替换一条匹配规则

-I 或 -insert 以给出的规则号在所选链中插入一条或者多条规则. 如果规则号为1,即在链头部.

-L 或 -list 列出指定链中的所有规则,如果没有指定链,将列出链中的所有规则.

-F 或 -flush 清除指定链和表中的所由规则, 假如不指定链,那么所有链都将被清空.

-N 或 -new-chain 以指定名创建一条新的用户自定义链,不能与已有链名相同.

-X 或 -delete-chain 删除指定的用户定义帘,必需保证链中的规则都不在使用时才能删除,若没有指定链,则删除所有用户链.

-P 或 -policy 为永久帘指定默认规则(内置链策略),用户定义帘没有缺省规则,缺省规则也使规则链中的最后一条规则,用-L显示时它在第一行显示.

-C 或 -check 检查给定的包是否与指定链的规则相匹配.

-Z 或 -zero 将指定帘中所由的规则包字节(BYTE)计数器清零.

-h 显示帮助信息.

-------------------------------------------------------------

常用匹配规则器:

-p , [!] protocol 指出要匹配的协议,可以是tcp, udp, icmp, all, 前缀!为逻辑非,表示除该协议外的所有协议.

-s [!] address[/mask] 指定源地址或者地址范围.

-sport [!] port[:port] 指定源端口号或范围,可以用端口号也可以用/ETC/SERVICES文件中的名子.

-d [!] address[/mask] 指定目的地址或者地址范围.

-dport [!] port[:port] 指定目的端口号或范围,可以用端口号也可以用/ETC/SERVICES文件中的名子.

-icmp-type [!] typename 指定匹配规则的ICMP信息类型(可以使用 iptables -p icmp -h 查看有效的ICMP类型名)

-i [!] interface name[+] 匹配单独或某种类型的接口,此参数忽略时,默认符合所有接口,接口可以使用"!"来匹配捕食指定接口来的包.参数interface是接口名,如 eth0, eht1, ppp0等,指定一个目前不存在的接口是完全合法的,规则直到接口工作时才起作用,折中指定对于PPP等类似连接是非常有用的."+"表示匹配所有此类型接口.该选项只针对于INPUT,FORWARD和PREROUTING链是合法的.

-o [!] interface name[+] 匹配规则的对外网络接口,该选项只针对于OUTPUT,FORWARD,POSTROUTING链是合法的.

[!] --syn 仅仅匹配设置了SYN位, 清除了ACK, FIN位的TCP包. 这些包表示请求初始化的TCP连接.阻止从接口来的这样的包将会阻止外来的TCP连接请求.但输出的TCP连接请求将不受影响.这个参数仅仅当协议类型设置为了TCP才能使用. 此参数可以使用"!"标志匹配已存在的返回包,一般用于限制网络流量,即只允许已有的,向外发送的连接所返回的包.

----------------------------------------------------------

如何制定永久规则集:

/etc/sysconfig/iptables 文件是 iptables 守护进程调用的默认规则集文件.

可以使用以下命令保存执行过的IPTABLES命令:

/sbin/iptables-save > /etc/sysconfig/iptables

要恢复原来的规则库,可以使用:

/sbin/iptables-restore < /etc/sysconfig/iptables

iptables命令和route等命令一样,重启之后就会恢复,所以:

[root@rhlinux root]# service iptables save

将当前规则储存到 /etc/sysconfig/iptables： [ 确定 ]

令一种方法是 /etc/rc.d/init.d/iptables 是IPTABLES的启动脚本,所以:

[root@rhlinux root]# /etc/rc.d/init.d/iptables save

将当前规则储存到 /etc/sysconfig/iptables： [ 确定 ]

以上几种方法只使用某种即可.

若要自定义脚本,可直接使用iptables命令编写一个规则脚本,并在启动时执行:

例如若规则使用脚本文件名/etc/fw/rule, 则可以在/etc/rc.d/rc.local中加入以下代码:

if [-x /etc/fw/rule]then /etc/fw/sulefi

这样每次启动都执行该规则脚本,如果用这种方法,建议NTSYSV中停止IPTABLES.

----------------------------------------------------------

实例：

链基本 *** 作：

[root@rh34 root]# iptables -L -n

（列出表/链中的所有规则，包过滤防火墙默认使用的是filter表，因此使用此命令将列出filter表中所有内容，-n参数可加快显示速度，也可不加-n参数。）

[root@rh34 root]# iptables -F

（清除预设表filter中所有规则链中的规则）

[root@rh34 root]# iptables -X

（清除预设表filter中使用者自定义链中的规则）

[root@rh34 root]# iptables -Z

（将指定链规则中的所有包字节计数器清零）

------------------------------------------------------------

设置链的默认策略，默认允许所有，或者丢弃所有：

[root@rh34 root]# iptables -P INPUT ACCEPT

[root@rh34 root]# iptables -P OUTPUT ACCEPT

[root@rh34 root]# iptables -P FORWARD ACCEPT

（以上我们在不同方向设置默认允许策略，若丢弃则应是DROP，严格意义上防火墙应该是DROP然后再允许特定）

---------------------------------------------------------------

向链中添加规则，下面的例子是开放指定网络接口（信任接口时比较实用）：

[root@rh34 root]# iptables -A INPUT -i eth1 -j ACCEPT

[root@rh34 root]# iptables -A OUTPUT -o eth1 -j ACCEPT

[root@rh34 root]# iptables -A FORWARD -i eth1 -j ACCEPT

[root@rh34 root]# iptables -A FORWARD -o eth1 -j ACCEPT

--------------------------------------------------------------

使用用户自定义链：

[root@rh34 root]# iptables -N brus

（创建一个用户自定义名叫brus的链）

[root@rh34 root]# iptables -A brus -s 0/0 -d 0/0 -p icmp -j DROP

（在此链中设置了一条规则）

[root@rh34 root]# iptables -A INPUT -s 0/0 -d 0/0 -j brus

（向默认的INPUT链添加一条规则，使所有包都由brus自定义链处理）

----------------------------------------------------------------

基本匹配规则实例：

匹配协议：

iptables -A INPUT -p tcp

（指定匹配协议为TCP）

iptables -A INPUT -p ! tcp

（指定匹配TCP以外的协议）

匹配地址：

iptables -A INPUT -s 192.168.1.1

（匹配主机）

iptables -A INPUT -s 192.168.1.0/24

（匹配网络）

iptables -A FORWARD -s ! 192.168.1.1

（匹配以外的主机）

iptables -A FORWARD -s ! 192.168.1.0/24

（匹配以外的网络）

匹配接口：

iptables -A INPUT -i eth0

iptables -A FORWARD -o eth0

（匹配某个指定的接口）

iptables -A FORWARD -o ppp+

（匹配所有类型为ppp的接口）

匹配端口：

iptables -A INPUT -p tcp --sport www

iptables -A INPUT -p tcp --sport 80

（匹配单一指定源端口）

iptables -A INPUT -p ucp --dport 53

（匹配单一指定目的端口）

iptables -A INPUT -p ucp --dport ! 53

（指定端口以外）

iptables -A INPUT -p tcp --dport 22:80

（指定端口范围，这里我们实现的是22到80端口）

---------------------------------------------------------------------------------

指定IP碎片的处理：

[root@rh34 root]# iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 192.168.1.234 --dport 80 -j ACCEPT

[root@rh34 root]# iptables -A FORWARD -f -p tcp -s 192.168.1.0/24 -d 192.168.1.234 --dport 80 -j ACCEPT

[root@rh34 root]# iptables -L

Chain INPUT (policy ACCEPT)

target prot opt source destination

Chain FORWARD (policy ACCEPT)

target prot opt source destination

ACCEPT tcp -- 192.168.1.0/24 192.168.1.234 tcp dpt:http

ACCEPT tcp -f 192.168.1.0/24 192.168.1.234 tcp dpt:http

Chain OUTPUT (policy ACCEPT)

target prot opt source destination

----------------------------------------------------------------------------------

设置扩展的规测匹配：

（希望获得匹配的简要说明，可使用： iptables -m name_of_match --help）

多端口匹配扩展：

iptables -A INPUT -p tcp -m multiport --source-port 22,53,80

（匹配多个源端口）

iptables -A INPUT -p tcp -m multiport --destination-port 22,53,80

（匹配多个目的端口）

iptables -A INPUT -p tcp -m multiport --port 22,53,80

（匹配多个端口，无论是源还是目的端口）

-----------------------------------------------------------------------------

TCP匹配扩展：

iptables -A INPUT -p tcp --tcp-flags SYN,FIN,ACK SYN

（表示SYN、ACK、FIN的标志都要被检查，但是只有设置了SYN的才匹配）

iptables -A INPUT -p tcp --tcp-flags ALL SYN,ACK

（表示ALL：SYN、ACK、FIN、RST、URG、PSH的标志都被检查，但是只有设置了SYN和ACK的才匹配）

iptables -p tcp --syn

（选项--syn是以上的一种特殊情况，相当于“--tcp-flags SYN,RST,ACK SYN”的简写）

--------------------------------------------------------------------------------

limit速率匹配扩展：

[root@redhatlinux9 root]# iptables -A FORWARD -m limit --limit 300/hour

（表示限制每小时允许通过300个数据包）

[root@redhatlinux9 root]# iptables -A INPUT -m limit --limit-burst 10

（--limit-burst指定触发时间的值(默认为5)，用来比对瞬间大量数据包的数量。）

（上面的例子用来比对一次同时涌入的数据包是否超过十个，超过此上限的包将直接被丢弃）

[root@redhatlinux9 root]# iptables -A FORWARD -p icmp -m limit --limit 3/m --limit-burst 3

（假设均匀通过，平均每分钟3个，那么触发值burst保持为3。如果每分钟通过的包的数目小于3，那么触发值busrt将在每个周期(若每分钟允许通过3个，则周期数为20秒)后加1，但最大值为3。每分钟要通过的包数量如果超过3，那么触发值busrt将减掉超出的数值，例如第二分钟有4个包，那么触发值变为2，同时4个包都可以通过，第三分钟有6个包，则只能通过5个，触发值busrt变为0。之后，每分钟如果包数量小于等于3个，则触发值busrt将加1，如果每分钟包数大于3，触发值busrt将逐渐减少，最终维持为0）

（即每分钟允许的最大包数量等于限制速率(本例中为3)加上当前的触发值busrt数。任何情况下，都可以保证3个包通过，触发值busrt相当于是允许额外的包数量）

---------------------------------------------------------------------------------

基于状态的匹配扩展（连接跟踪）：

每个网络连接包括以下信息：源和目的地址、源和目的端口号，称为套接字对(cocket pairs)；协议类型、连接状态(TCP协议)和超时时间等。防火墙把这些叫做状态(stateful)。能够监测每个连接状态的防火墙叫做状态宝过滤防火墙，除了能完成普通包过滤防火墙的功能外，还在自己的内存中维护一个跟踪连接状态的表，所以拥有更大的安全性。

其命令格式如下：

iptables -m state --state [!] state [,state,state,state]

state表示一个用逗号隔开的的列表，用来指定的连接状态可以有以下4种：

NEW：该包想要开始一个连接（重新连接或将连接重定向）。

RELATED：该包属于某个已经建立的连接所建立的新连接。例如FTP的数据传输连接和控制连接之间就是RELATED关系。

ESTABLISHED：该包属于某个已经建立的连接。

INVALID：该包不匹配于任何连接，通常这些包会被DROP。

例如：

[root@redhatlinux9 root]# iptables -A INPUT -m state --state RELATED,ESTABLISHED

（匹配已经建立的连接或由已经建立的连接所建立的新连接。即匹配所有的TCP回应包）

[root@redhatlinux9 root]# iptables -A INPUT -m state --state NEW -i ! eth0

（匹配所有从非eth0接口来的连接请求包）

下面是一个被动(Passive)FTP连接模式的典型连接跟踪

[root@redhatlinux9 root]# iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED -j ACCEPT

[root@redhatlinux9 root]# iptables -A OUTPUT -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT

下面是一个主动(Active)FTP连接模式的典型连接跟踪

[root@redhatlinux9 root]# iptables -A INPUT -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT

[root@redhatlinux9 root]# iptables -A INPUT -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT

--------------------------------------------------------------------------------------

日志记录：

格式为： -j LOG --log-level 7 --log-prefix "......"

[root@redhatlinux9 root]# iptables -A FORWARD -m tcp -p tcp -j LOG

[root@redhatlinux9 root]# iptables -A FORWARD -m icmp -p icmp -f -j LOG

[root@redhatlinux9 root]# iptables -A FORWARD -s 192.168.1.0/24 -d 10.10.10.0/24 -p tcp --sport 80 -j LOG

[root@redhatlinux9 root]# iptables -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG --log-prefix "INPUT packet died:"

[root@redhatlinux9 root]# iptables -A INPUT -p tcp ! --syn -m state --state NEW -j LOG --log-prefix "New net syn:"

------------------------------------------------

回答你的问题:

1:设置为DROP默认不允许,然后你再开启,这样比门户大开再阻止某些服务来的安全(避免遗漏)

2:前面阻止了后面就无效了,有先后顺序的.

3:你了解了服务和端口号等即可用规则限制.

深入了解ssh协议与sshd服务程序的理论知识，掌握对Linux系统的远程管理方法以及对Linux系统中服务程序的配置方法，实践 *** 作基于密钥验证的sshd服务程序远程验证登陆，并学习使用screen服务程序实现远程管理Linux系统的不间断会话等技术，基本完全拥有了对Linux系统的配置管理能力。

配置网卡服务：配置网卡参数（需要使用vim编辑器来将网卡配置文件中的ONBOOT参数修改成yes就可以保证网卡会在系统重启后依然生效了。Linux系统中的服务配置文件修改过后并不会对服务程序立即产生效果，要想让服务程序获取到最新的配置文件内容，咱们还需要手动的重启一下相应的服务）-创建网络会话（使用类似nmcli的命令来管理NetworkManager服务。nmcli是一款基于命令行终端的网卡网络配置工具，它不仅能够让咱们轻松的查看网卡信息或网络状态，还可以管理网卡会话功能，更能够查看到网卡设备的具体详细信息。nmcli命令配置过的网卡会话和参数会直接写入到配置文件中永久生效）-绑定两块网卡（mode0平衡负载模式:平时两块网卡均工作，且自动备援，采用交换机设备支援；mode1自动备援模式:平时只有一块网卡工作，故障后自动替换为另外的网卡；mode6平衡负载模式:平时两块网卡均工作，且自动备援，无须交换机设备支援。）；

远程控制服务：配置sshd服务（SSH(Secure Shell)是一种能够提供安全远程登录会话的协议，也是目前远程管理Linux系统最首选的方式，因为传统的ftp或telnet服务是不安全的，它们会将帐号口令和数据资料等数据在网络中以明文的形式进行传送，这种数据传输方式很容易受到黑客“中间人”的嗅探攻击，轻则篡改了传输的数据信息，重则直接抓取到了服务器的帐号密码。想要通过SSH协议来管理远程的Linux服务器系统，咱们需要来部署配置sshd服务程序，sshd是基于SSH协议开发的一款远程管理服务程序，不仅使用起来方便快捷，而且能够提供两种安全验证的方法——基于口令的安全验证，指的就是咱们一般使用帐号和密码验证登陆，基于密钥的安全验证，则是需要在本地生成密钥对，然后将公钥传送至服务端主机进行的公共密钥比较的验证方式，相比较来说更加的安全。因为在Linux系统中的一切都是文件，因此要想在Linux系统中修改服务程序的运行参数，实际上也是在修改程序配置文件的过程，sshd服务的配置信息保存在/etc/ssh/sshd_config文件中，运维人员一般会把保存着最主要配置信息的文件称为主配置文件，而配置文件中有许多#(井号)开头的注释行，要想让这些配置参数能够生效，咱们需要修改参数后再去掉前面的井号才行。在红帽RHEL7系统中sshd服务程序已经默认安装好并启动了，咱们可以使用ssh命令来进行远程连接，格式为“ssh [参数] 主机IP地址”，退出登陆则可执行exit命令）-安全密钥验证（加密算法是对信息进行编码和解码的技术，它能够将原本可直接阅读的明文信息通过一定的加密算法译成密文形式，密钥即是密文的钥匙，包括有私钥和公钥之分，在日常工作中如果担心传送的数据被他人监听截获到，就可以在传送前先使用公钥进行加密处理，然后再进行数据传送，这样只有掌握私钥的用户才能解密这段数据，除此之外其他人即便截获了数据内容一般也很难再破译成明文信息。总结来说，日常生产环境中使用密码进行口令验证终归存在着被骇客暴力破解或嗅探截获的风险，如果正确的配置密钥验证方式，那么一定会让您的sshd服务程序更加的安全。第1步:在客户端主机中生成“密钥对”并将公钥传送到远程服务器中：第2步:把客户端主机中生成好的公钥文件传送至远程主机：第3步:设置服务器主机只允许密钥验证，拒绝传统口令验证方式，记得修改配置文件后保存并重启sshd服务程序。第4步:在客户端主机尝试登陆到服务端主机，此时无需输入密码口令也可直接验证登陆成功。详细的图文介绍可参考linuxprobe.com/chapter-09.html）-远程传输命令-不间断会话服务-管理远程会话-会话共享。需要仔细研究 *** 作步骤，一步一个脚印 *** 作。

---