如何开启ssh服务

SSH作为Linux远程连接重要的方式，如何配置安装linux系统的SSH服务，如何开启SSH？下面来看看吧（本例为centos系统演示如何开启SSH服务）
工具/原料
linux centos
查询\安装SSH服务
1登陆linux系统，打开终端命令。输入 rpm -qa |grep ssh 查找当前系统是否已经安装
2如果没有安装SSH软件包，可以通过yum 或rpm安装包进行安装（具体就不截图了)
启动SSH服务2
安装好了之后，就开启ssh服务。Ssh服务一般叫做 SSHD
命令行输入 service sshd start 可以启动
或者使用 /etc/initd/sshd start
配置\查看SSHD端口3
查看或编辑SSH服务配置文件，如 vi /etc/ssh/sshdconfig
如果要修改端口，把 port 后面默认的22端口改成别的端口即可（注意前面的#号要去掉）
远程连接SSH4
如果需要远程连接SSH，需要把22端口在防火墙上开放。
关闭防火墙，或者设置22端口例外

1、如果是防火墙规则问题的话，如果你不想动现有规则的话，那么：
iptables -I INPUT -p tcp --dport 22 -j ACCEPT
iptables -I OUTPUT -p tcp --sport 22 -j ACCEPT
2、确定你的sshd服务是否开启：service sshd status or /etc/initd/sshd status
2、netstat -antup确定你的openssh是否使用的是22端口；
如果不是，那么查看/etc/ssh/sshd_config看监听的是否是22端口。
（针对redhat系列/衍生版系统，其他部分系统无效）

一、配置openssh服务器

1、ssh的配置文件是/etc/ssh/ssh_config,一般不要修改！
2、启动服务器!
#ntsysv =>确认将sshd前面的勾已打上！
3、手工启动OpenSSH：
#service sshd start
#service sshd restart（重新启动）
4、停止服务器:
#service sshd stop

二、使用OpenSSH客户端

Redhat linux 9默认已安装了OpenSSH的客户端，客户端和服务器连接时，可以使用两种验证方式：基于口令的验证方式和基于密匙的验证方式！
1、基于口令的验证方式
这种验证方式要求用户输入用户名称和密码！若没有指定用户名称和密码，则默认使用当前在客户机上的用户名！

例1:直接登陆
[root@wljs /]#ssh 2104516017
则登陆用户名为客户机当前用户名！
例2：指定用户名登陆
[root@wljs /]#ssh wwz@2104516017
或: [root@wljs /]#ssh –l wwz 2104516017
上面过程结束后，系统将会提示你输入用户名和密码！

2、基于密匙的验证方式
使用密匙的验证方式,用户先需要为自己创建一对密匙：公匙和私匙。（公匙用在要登陆的服务器上)
OpenSSH公开密匙的密码体制有RSA、DSA！
创建密匙:
例：[root@wljs /]#ssh-keygen –t rsa
回车后,要求输入使用密匙时的口令！这样便生成了公匙和私匙:放在用户主目录下的ssh目录下，文件名:id_rsapub和id_rsa!必须将公匙复制到登陆的服务器的~/ssh/目录下，并改名为:authorized_keys!然后，便可使用密匙方式登陆！
#ssh [–l username] ip地址或主机名

三、OpenSSH上常用的命令

1、不登陆远程系统使用命令
#ssh 2104516017 [命令] [参数]
2、本地系统和远程系统间文件的传输
#scp atxt root@2104516017:/btxt
#scp root@2104516017:/btxt /ctxt
3、sftp命令
Sftp 命令和ftp命令类似，它是OpenSSH提供的网络传输文件的小工具，它更加安全，使用和ftp相似的命令：主要有如下几个：
1、登陆
#ftp 2104516017
2、ftp 会话的打开与关闭
打开：open 2104516027
关闭：close
3、文件的传输
从ftp服务器上得到文件：
Get atxt
向ftp上放文件
Put atxt
4、退出ftp
Bye
5、其他
bell：每个命令执行完毕后计算机响铃一次
Cd ,ls 等一些常见命令也可以在ftp服务器目录中使用！

目前，远程连接服务器的类型有以下几种： 
① 文字接口的明文传输：Telnet、RSH为主，很少用到。 
② 文字接口的加密传输：以SSH为主，已经取代了上面的明文传输方式。 
③ 图形接口：XDMCP、VNC、XRDP等较为常见。 
这篇文章只为实战，不为普及概念性知识。所以我只讲解在工作中最常用到的技术SSH。关于SFTP技术和VNC技术，请查阅我的其他博客。 
好，先来看一下SSH的相关技术： 
SSH，英文全程是Secure Shell Protocol(安全的壳程序协议)。SSH是现在公司基本上都在使用的一种文字接口的加密传输技术，采用的是非对称秘钥系统。

对于SSH的原理，你们可以参考我的另外一篇博客，我把链接贴在这里： 
SSH原理

⑴来吧，我们先来查看一下sshd这个服务（这就是SSH的远程连接必须开启的服务，属于系统自带），注意，一般这个sshd服务是默认自动开启的。

如果想要重启怎么办呢？ 
好吧，请看：

上面两种重启动的方法都是可以滴！

⑵直接远程登录主机的命令： 
ssh -f -o 参数 -p 非标准端口 账号@IP 命令 
其中： 
-f : 需要配合后面的命令，不登录远程主机直接发送一个命令过去 
-o 参数 ： 主要的参数有： 
ConnectTimeout=秒数 ： 连接等待的秒数，减少等待的时间。 
StrictHostKeyChecking=yes|no|ask:默认是ask,若要让public key主动加入到known_hosts， 则可以设置为no即可。 
-p : 如果sshd服务启动在非标准端口下，需使用此参数。

举例说明吧： 
① 直接登录到对方主机： 
如果是以root用户登录到对方主机，有如下两种登录方式：

注意：如果是普通用户登录，必须使用第二种加@的方式。

② 实现登录对方主机，执行命令后就离开的方式。例如：从远程主机上执行cat /etc/passwd命令把文件显示在本地主机上。

③ 不登录对方主机，让对方主机自己运行该命令，你立刻回到本地机器继续工作：

④ 删除known_hosts后，重新使用root连接到本机，会自动加上公钥记录

你一定会说，大骗子玩漏了吧？怎么没有自动加上公钥记录呢？怎么记录信息提示手机选择yes/no了呢？别着急，我们的“-o”参数要横空出世了！有了-o,再也不用选择yes|no了，而是自动被选择了yes而加入到~/ssh/known_hosts中。

看到了，这次没有提示让选择yes|no吧！ 
⑤ SSHD服务器详细配置

Centos默认的SSHD服务其实已经算是很安全了，这里注意Centos 5X之后默认SSH协议版本都是V2也就是上图的Protocol 2，默认端口是 22，注意这些还不够，如果是真正工作中的服务器，建议取消root的登录权限：

把红框中的yes改为no就可以取消root用户的登录权限了。

下面来介绍一个很有用的技术，制作不用密码可立即登录的SSH用户。有人会说制作这个是用来干嘛的？你想一想，如果想要利用crontab来定时执行备份或者拷贝的任务，因为每次SSH连接都要输入对方主机密码，这是在crontab中无法执行的，那么怎么办？只有不需要输入密码才可以 *** 作。 
方法如下： 
① 客户端建立两把钥匙 
我们在客户端创建一个用户user1 *** 作，利用user1来远程服务器端的user2用户。下面我们以1921681118为客户端，以1921681121为服务端。 
首先在客户端建立两把秘钥 
命令如下：

需要注意： 
⑴ ~/ssh目录的权限必须是700 
⑵ id_rsa（私钥文件）的权限必须是-rw——-,且属主必须是当前登录用户，否则在未来秘钥比对的过程中，可能会被判断为危险而无法成功的以公私钥成对的机制来实现连接。 
以上两点一般情况下默认都是正确的。

② 将公钥文件数据上传至服务器端

③ 将公钥文件放置到服务器端的正确目录中，并保证文件名正确 
一定要把公钥文件内容附加到authorized_keys这个文件内， *** 作用户为服务器端用户

注意：切记authorized_keys这个文件的权限必须是644

直接使用Linux系 统的root帐户登录系统，在很多环境下是不允许。而且如果网络中的所有机器都能使用ssh登录关键服务器也是不允许的。这就要求我们需要使用一些手段， 现在root帐号的登录，而且是只有指定的几台机器才能登录。当然限制登录的ip这些通过网络设备也恩那个完成。但是我们只需要了解怎么使用系统自己的功 能实现，这是每一个系统管理员都比较了解的。
1，修改ssh的配置文件，是root用户只能通过本地登录，不能通过远程ssh连接服务器。
vim /etc/ssh/sshd_config,
把#PermitRootLogin yes改成
PermitRootLogin no，然后重启ssh服务器，root用户就不能通过ssh远程登录系统了，只能通过一个普通帐号su或者本地登录。
2，可以同修改其他系统配置文件，使之能通过几个指定的IP远程ssh登录服务器。把下面这段放到root的bash_profile文件中
ALLOWHOSTSLIST="1921681631"
REMOTEHOST=$(env | grep SSH_CLIENT | awk '{print $1}' | awk -F "=" '{print $2}')
if echo "${ALLOWHOSTSLIST}" | grep "${REMOTEHOST}" > /dev/null
then :
else
exit
fi
结果就只能通过IP地址是1921681631这台服务器通过ssh远程连接本服务器了。
3，可以把需要ssh远程服务器的IP地址添加到/etc/hostsallow,例如下面的 *** 作：
sshd:1921681631:allow #只允许这个IP地址ssh登录
sshd:192168163:allow #允许这个网段的所有IP地址ssh登录
sshd:all:deny #拒绝所有没有出现在上面的IP地址的ssh连接
4，也可以使用iptables指定能够远程ssh到服务器的IP地址
iptables -A INPUT -p tcp --dport 22 -s 1921681631 -j ACCEPT #允许这个IP地址ssh连接本服务器
iptables -A INPUT -p tcp --dport 22 -s 1921681630/24 -j ACCEPT #允许这个网段的所有IP远程ssh连接本服务器
iptables -A INPUT -p tcp --dport 22 -j DROP #除了上面允许的IP地址外，都拒绝使用ssh连接到服务器

---