Openssh服务的基本信息

1.作用

在企业中的运维工作，不是1v1的运维
运维工程师基本都是1vN

在运维工程师对服务器进行管理时
需要通过网络登陆远程主机

需要通过网络在远程主机中开启shell来进程操作

远程主机必须提供这样的开启shell的方式

以上的需求由openssh服务来提供

远程主机中安装了openssh并开启了这个程序

那么我们就可以通过网络来连接这台主机了

2.软件包名称

openssh-server

3.服务名称

sshd

4.客户端

ssh

ssh 192.168.1.34 -l root
192.168.1.34 远程主机ip
-l login 登陆
root 远程主机的超级用户

5.sshd服务端口

22/tcp

6.配置文件

/etc/ssh/sshd_config

三.Openssh服务的key认证

1.用户密码认证 （对称加密）

• 密码容易泄漏
• 容易忘记
• 易被暴力破解

2.密钥认证 （非对称加密）

• 安全
• 不会忘记密码

3.建立key认证的方式

• 建立key文件
  192.168.1.22
  删掉22主机和34主机/root/.ssh/下的所有
  ssh-keygen ##方法一
  ssh-keygen -f /root/.ssh/id_rsa -P "" ##方法二

上传公钥 （加密远程主机）

[root@22 .ssh]#ssh-copy-id -i /root/.ssh/id_rsa.pub root@192.168.1.34

ssh-copy-id 上传密钥命令
-i 指定公钥
/root/.ssh/id_rsa.pub 公钥名称
root 远程主机被加密用户
@ 分割符
192.168.1.34远程主机地址

• 测试
  192.168.1.22主机中
  ssh root@192.168.1.34 ##免密连接

四.Openssh服务的安全配置

在配置文件中修改相关参数
服务器：34主机

1.端口修改

vim /etc/ssh/sshd_config

port 22 -----> port 2222

测试
ssh root@192.168.1.34 -p 2222 指定端口连接

2.密码认证的关闭

34主机中
vim /etc/ssh/sshd_config

PasswordAuthentication no##禁用密码认证

测试：
192.168.1.22 有密钥
192.168.1.3 无密钥

192.168.1.22-----> ssh root@192.168.1.34 ##可以登陆
192.168.1.3（node2） -----> ssh root@192.168.1.34 ##可以输入密码

参数更改并重启服务后
192.168.1.22 -----> ssh root@192.168.1.34 ##可以登陆

192.168.1.3 -----> ssh root@192.168.1.34 ##不可输入密码直接被拒绝

3. sshd服务的用户控制

root用户的访问控制

vim /etc/ssh/sshd_config
PermitRootLogin yes --->PermitRootLogin no #禁止root用户使用ssh进行认证

修改参数后
ssh 192.168.1.34 -l root ##输入正确密码仍然不能登陆

用户黑名单 （默认可以登陆，名单中的用户被禁止）

vim /etc/ssh/sshd_config
Denyusers lee ##lee用户不能使用sshd服务 (用户：服务器的用户)

修改参数后
ssh 192.168.1.34 -l westos ##可以登陆
ssh 192.168.1.34 -l lee ##不可以登陆

用户白名单 （默认不可以登陆，名单中的用户被允许）

vim /etc/ssh/sshd_config
Allowusers lee ##lee用户可以使用sshd服务，默认用户被禁止

只有白名单中的用户可以登录

五.远程执行命令

-l 指定登陆用户
-i 指定私钥
-X 开启图形
-f 后台运行
-o 指定连接参数
-t 指定连接跳板
-p 指定端口

ssh 192.168.1.34 -l root ##此方法登陆时不能调用远程主机的图形命令

ssh -fX 192.168.1.34 -l root ##当前登陆可以调用图形 并挂在后台运行，-X 代表启用x11图形连接

ssh 192.168.1.34 -l root touch /root/Desktop/westosfile{1…10} #直接执行命令在远程主机中

ssh 192.168.1.34 -l root -o StrictHostKeyChecking=no ##在连接主机时不检测HOSTKEY
##(屏蔽yes、no的输入)

ssh root@192.168.1.3 -t root@192.168.1.34
192.168.1.3是跳板

六、question

1、查看别人登录自己后，强行让其退出