linux下安装SSH服务及使用详解

secure shell protocol简称SSH,是由IETF网络工作小组(network working group) 制定,在进行数据传输之前, SSH先对联级数据包通过加密技术进行加密处理,加密后在进行数据传输,确保了传递的数据安全.

SSH是 专门为远程登录会话和其他网络服务(例如:rsync,ansible)提供的安全性协议 ,利用SSH协议可以有效的防止远程管理过程中的信息泄露问题,绝大多数企业普遍采用SSH协议服务来代替传统的不安全的远程连接服务器软件(例如:Telnet/23端口/非加密的)等.

然后开始输入用户名

右击选中追踪流,在右侧再选中TCP流

即可显示数据包的全过程,圈中的部分是用户名,之所以每个单词重复出现,是因为数据有请求,有确认,所以会重复,去重以后就是用户名:shuai,密码:123456

在显示 yes/no 的时候,如果输入的 yes 就接收到了服务端发送过来的公钥信息,把这个信息放到了 /root/.ssh/known_hosts文件 里

SSH服务由服务端软件 OpenSSH(Openssl) 和客户端 常见的有SSH(linux),secureCRT,putty,Xshell 组成.SSH服务默认使用22端口提供服务, 他有两个不兼容的SSH协议版本,分别是1.x和2.x

如果在进行连接的时候出现以下情况,如何解决

基于口令的安全验证方式就是知道服务器的SSH连接账号和口令(也要知道对应服务器的IP地址及开放的SSH端口,默认为22端口)就可以通过SSH客户端登录到远程主机上面,此时联机过程中所有传输的数据都是加密的!

　- 演示XSHELL及SSH客户端连接,口令验证测试

基于密钥的安全验证方式是指,需要依靠密钥,也就是必须事先建立一对密钥对,然后把 公用密钥(锁头:public key) 放在需要访问的目标服务器上,另外,还需要把 私有密钥(钥匙:private key) 放到SSH的客户端或对应的客户端服务器上.

　此时,如果想要连接到这个带有公用密钥的SSH服务器上,客户端SSH软件或者客户端服务器就会向SSH服务器发出请求,请用联机的用户密钥进行安全验证,SSH服务器收到请求之后,会先在该SSH服务器上连接的用户的家目录下面寻找事先放上去的对应用户的公用密钥,然后把它和连接SSH客户端发送过来的公用密钥进行比较,如果两个密钥一直,SSH服务器就用公用密钥加密"质询(challenge)"并把它发送给SSH客户端!

　SSH客户端收到"质询"之后就可以用自己的私钥解密,在把它发送给SSH服务器,使用这种方式,需要知道联机用户的密钥文件,与第一种基于口令验证的方式相比,第二种方式不需要在网络上传送口令密码,所以安全性更高了,这是我们也注意保护我们的密钥文件,特别是私钥文件,一旦被黑获取到,危险系数增大很多.

修改SSH服务的运行参数,是通过修改配置文件 /etc/ssh/sshd_config 来实现的.

　一般来说SSH服务使用默认的配置已经能够很好的工作了,如果对安全要求不高,仅仅提供SSH服务的情况,可以不需要修改任何参数配置.

SSH服务监听参数说明

企业服务器被入侵案例

拉取:PULL

【比如：Jenkins构建时都是以jenkins用户进行 *** 作，所以要以jeknins用户来配置免密钥登录。】

su - root

ssh-keygen -t rsa

A

[sjfuser@jenkins ~]$ ll /root/.ssh/

-rw-------. 1 sjfuser sjfuser 1671 4月 19 05:10 id_rsa

-rw-r--r--. 1 sjfuser sjfuser 398 4月 19 05:10 id_rsa.pub

-rw-r--r--. 1 sjfuser sjfuser 417 4月 19 05:08 known_hosts

B

-rw------- 1 root root 1217 Apr 21 10:46 /root/.ssh/authorized_keys

将此公钥写入任何一台远程主机的/root/.ssh/authorized_keys后，便可通过密钥登陆到远程主机。

任何一台主机，拿到该密钥id_rsa后，便可登陆写入了该公钥id_rsa.pub的主机。

如果添加指纹的时候提示添加失败，是因为你以前添加过了这个ip的指纹。

解决办法：将.ssh目录的known_hosts文件删除掉。也可以打开这个文件把对应ip的那条记录删除。

https://blog.csdn.net/qq_30059235/article/details/103890477

https://blog.csdn.net/fireofjava/article/details/40624215

直接使用Linux系 统的root帐户登录系统，在很多环境下是不允许。而且如果网络中的所有机器都能使用ssh登录关键服务器也是不允许的。这就要求我们需要使用一些手段， 现在root帐号的登录，而且是只有指定的几台机器才能登录。当然限制登录的ip这些通过网络设备也恩那个完成。但是我们只需要了解怎么使用系统自己的功 能实现，这是每一个系统管理员都比较了解的。

1，修改ssh的配置文件，是root用户只能通过本地登录，不能通过远程ssh连接服务器。

vim /etc/ssh/sshd_config,

把#PermitRootLogin yes改成

PermitRootLogin no，然后重启ssh服务器，root用户就不能通过ssh远程登录系统了，只能通过一个普通帐号su或者本地登录。

2，可以同修改其他系统配置文件，使之能通过几个指定的IP远程ssh登录服务器。把下面这段放到root的.bash_profile文件中

ALLOWHOSTSLIST="192.168.163.1"

REMOTEHOST=$(env | grep SSH_CLIENT | awk '{print $1}' | awk -F "=" '{print $2}')

if echo "${ALLOWHOSTSLIST}" | grep "${REMOTEHOST}" >/dev/null

then :

else

exit

fi

结果就只能通过IP地址是192.168.163.1这台服务器通过ssh远程连接本服务器了。

3，可以把需要ssh远程服务器的IP地址添加到/etc/hosts.allow,例如下面的 *** 作：

sshd:192.168.163.1:allow #只允许这个IP地址ssh登录

sshd:192.168.163.:allow #允许这个网段的所有IP地址ssh登录

sshd:all:deny #拒绝所有没有出现在上面的IP地址的ssh连接

4，也可以使用iptables指定能够远程ssh到服务器的IP地址

iptables -A INPUT -p tcp --dport 22 -s 192.168.163.1 -j ACCEPT #允许这个IP地址ssh连接本服务器

iptables -A INPUT -p tcp --dport 22 -s 192.168.163.0/24 -j ACCEPT #允许这个网段的所有IP远程ssh连接本服务器

iptables -A INPUT -p tcp --dport 22 -j DROP #除了上面允许的IP地址外，都拒绝使用ssh连接到服务器

---