共计 6326 个字符，预计需要花费 16 分钟才能阅读完成。
前言
ssh 相当于 windows 上的远程桌面连贯，但没有桌面，只有文字终端。ssh 是许多 Linux 使用者入门时必学的一个命令。借助 ssh，开发人员能够很不便地连贯近程或是局域网的其余电脑，间接在下面进行开发工作。
拿我本人平时工作流举例，每天到实验室首先关上 mac 上的 item2 终端，连贯两个扩大屏，再 ssh 连入几台服务器，切换到 tmux，大部分工作都能够在一个终端上实现。
能够说，应用好 ssh，咱们能更舒心地连贯近程；应用好终端，开发人员可能更顺利地实现本人的开发工作，我整顿的一些对于 Linux 学习的书籍和笔记都放在这里了，想白嫖的兄弟间接点击支付即可。
- Linux 学习书籍和笔记合集
那这篇文章就跟大家一起来深刻理解一下 SSH，大略内容如下： - 工作机制
- 加密技术
- 避免入侵
- 性能盘点
- 常见参数
- 服务相干
- 免密设置
- 问题排查
- 批量散发与治理计划
- 文件配置
SSH(近程连贯工具)连贯原理：ssh 服务是一个守护过程(demon)，零碎后盾监听客户端的连贯，ssh 服务端的过程名为 sshd, 负责实时监听客户端的申请(IP 22 端口)，包含公共秘钥等替换等信息。
ssh 服务端由 2 局部组成：openssh(提供 ssh 服务) openssl(提供加密的程序)
ssh 的客户端能够用 XSHELL，Securecrt, Mobaxterm 等工具进行连贯
SSH 的工作机制
服务器启动的时候本人产生一个密钥 (768bit 公钥)，本地的 ssh 客户端发送连贯申请到 ssh 服务器，服务器查看连接点客户端发送的数据和 IP 地址，确认非法后发送密钥(768bits) 给客户端，此时客户端将本地私钥 (256bit) 和服务器的公钥 (768bit) 联合成密钥对 key(1024bit), 发回给服务器端，建设连贯通过 key-pair 数据传输。
- 1. 近程 Server 收到 Client 端用户 TopGun 的登录申请，Server 把本人的公钥发给用户。
- 2.Client 应用这个公钥，将明码进行加密。
- 3.Client 将加密的密码发送给 Server 端。
- 4. 近程 Server 用本人的私钥，解密登录明码，而后验证其合法性。
- 5. 若验证后果，给 Client 相应的响应
Client 端如何保障承受到的公钥就是指标 Server 端的？
- 1.Client 将本人的公钥寄存在 Server 上，追加在文件 authorized_keys 中。
- 2.Server 端接管到 Client 的连贯申请后，会在 authorized_keys 中匹配到 Client 的公钥 pubKey，并生成随机数 R，用 Client 的公钥对该随机数进行加密失去 pubKey(R)
，而后将加密后信息发送给 Client。 - 3.Client 端通过私钥进行解密失去随机数 R，而后对随机数 R 和本次会话的 SessionKey 利用 MD5 生成摘要 Digest1，发送给 Server 端。
- 4.Server 端会也会对 R 和 SessionKey 利用同样摘要算法生成 Digest2。
- 5.Server 端会最初比拟 Digest1 和 Digest2 是否雷同，实现认证过程。
更多学习 …
SSH 的加密技术
加密技术：传输过程，数据加密。
1.SSH1 没有对客户端的秘钥进行校验，很容易被植入恶意代码
2.SSH2 减少了一个确认联机正确性的 Diffe_Hellman 机制，每次数据的传输，Server 都会检查数据起源的正确性，防止黑客入侵。
SSH2 反对 RSA 和 DSA 密钥
DSA:digital signature Algorithm 数字签名
RSA: 既能够数字签名又能够加密
SSH 常识小结
1.SSH 是平安的加密协议，用于近程连贯 Linux 服务器
2.SSH 的默认端口是 22，平安协定版本是 SSH2
3.SSH 服务器端次要蕴含 2 个服务性能 SSH 连贯和 SFTP 服务器
4.SSH 客户端蕴含 ssh 连贯命令和近程拷贝 scp 命令等
如何避免 SSH 登录入侵
1. 密钥登录, 更改端口
2. 牤牛阵法
3. 监听本地内网 IP(ListenAddress 192.168.25.*)
SSH 性能大全
1. 登录
ssh -p22 omd@192.168.25.137
2. 间接执行命令 --> 最好全门路
ssh root@192.168.25.137 ls -ltr /backup/data
==>ssh root@192.168.25.137 /bin/ls -ltr /backup/data
3. 查看已知主机
cat /root/.ssh/known_hosts
4.ssh 近程执行 sudo 命令
ssh -t omd@192.168.25.137 sudo rsync hosts /etc/
5.scp
1. 性能 --> 近程文件的平安 (加密) 拷贝
scp -P22 -r -p /home/omd/h.txt omd@192.168.25.137:/home/omd/
2.scp 常识小结
scp 是加密近程拷贝，cp 为本地拷贝
能够推送过来，也能够拉过来
每次都是全量拷贝(效率不高，适宜第一次)，增量拷贝用 rsync
6.ssh 自带的 sftp 性能
1.Window 和 Linux 的传输工具
wincp filezip
sftp --> 基于 ssh 的平安加密传输
samba
2.sftp 客户端连贯
sftp -oPort=22 root@192.168.25.137
put /etc/hosts /tmp
get /etc/hosts /home/omd
3.sftp 小结：1.linux 下应用命令：sftp -oPort=22 root@x.x.x.x
2.put 加客户端本地门路上传
3.get 下载服务器端内容到本地
4. 近程连贯默认连贯用户的家目录ssh 常见命令参数
usage: ssh [-1246AaCfgKkMNnqsTtVvXxYy] [-b bind_address] [-c cipher_spec]
[-D [bind_address:]port] [-e escape_char] [-F configfile]
[-i identity_file] [-L [bind_address:]port:host:hostport]
[-l login_name] [-m mac_spec] [-O ctl_cmd] [-o option] [-p port]
[-R [bind_address:]port:host:hostport] [-S ctl_path]
[-W host:port] [-w local_tun[:remote_tun]]
[user@]hostname [command]对于后盾 ssh 服务的相干
# 查问 openssl 软件
rpm -qa openssh openssl
# 查问 sshd 过程
ps -ef | grep ssh
--> /usr/sbin/sshd
# 查看 ssh 端口
netstat -lntup | grep ssh
ss | grep ssh (成果同上，同下，好用)
netstat -a | grep ssh(记住这个)
netstat -lnt | grep 22 ==> 查看 22 端口有没有开 /ssh 服务有没有开启
技巧：netstat -lnt | grep ssh | wc -l --> 只有大于 2 个就是 ssh 服务就是好的
# 查看 ssh 的秘钥目录
ll /root/.ssh/known_hosts # 以后用户家目录的.ssh 目录下
# ssh 的配置文件
cat /etc/ssh/sshd_config
# ssh 服务的敞开
service sshd stop
# ssh 服务的开启：service sshd start
# ssh 服务的重启
service sshd reload [进行过程后重启] ==> 举荐
service sshd restart [干掉过程后重启] ==> 不举荐
# ssh 近程登录
ssh 192.168.1.100 # 默认利用以后宿主用户的用户名登录
ssh omd@192.168.1.100 # 利用近程机的用户登录
ssh omd@192.168.1.100 -o stricthostkeychecking=no # 首次登陆免输 yes 登录
ssh omd@192.168.1.100 "ls /home/omd" # 以后服务器 A 近程登录服务器 B 后执行某个命令
ssh omd@192.168.1.100 -t "sh /home/omd/ftl.sh" # 以后服务器 A 近程登录服务器 B 后执行某个脚本ssh 免密设置
1、进入用户的家目录
[root@localhost ~]# cd /root/.ssh/【root 用户就在 root 目录下的.ssh 目录】[root@localhost ~]# cd /home/omd/.ssh/【普通用户就是在家目录下的.ssh 目录】2、依据 DSA 算法生成私钥和公钥【默认建设在以后用户的家目录】
[root@localhost .ssh]# ssh-keygen -t dsa # 一路回车即可
id_dsa --> 私钥(钥匙)
id_dsa.pub --> 公钥(锁)3. 拷贝公钥给指标服务器
[root@localhost .ssh]# ssh-copy-id -i id_dsa.pub omd@192.168.25.110【应用 ssh 登录的默认端口 22】[root@localhost .ssh]# ssh-copy-id -i id_dsa.pub –p 666 omd@192.168.25.120【应用 ssh 登录设置的端口 666】4. 查看指标服务器生成的文件
[omd@localhost .ssh]$ ll /home/omd/.ssh/authorized_keys5. 免明码登录指标服务器
ssh omd@192.168.25.1106. 总结一下钥匙和锁的关系
1. 多个钥匙开一把锁
把 id_dsa.pub 复制给各个服务器
2. 一个钥匙开 duobasuo
把 id_dsa 传给各个服务器
把 id_dsa 传给本人 ssh 排查问题
1. 判断物理链路是否通 ping 192.168.25.130 线路 | 防火墙 | 是否同一个网的
ping 自身是 icmp 协定
2. 判断服务是否失常
telnet 192.168.25.130 22
3.Linux 防火墙
service iptables status ==> /etc/init.d/iptables status
4. 关上 ssh 的调测进行察看
ssh -vvv omd@192.168.1.100SSH 批量散发与治理计划小结
1. 利用 root 做 ssh key 验证
长处：简略，易用
毛病：平安性能差，无奈禁止 root 近程连贯
2. 利用普通用户 omd（举荐）
思路：把要散发的文件拷贝到服务器用户的家目录，而后利用 sudo 提权拷贝散发的文件和对应目录
长处：平安
毛病：简单，配置麻烦
1.sudo 提权
echo ‘omd All=(All) NOPASSWD:/usr/bin/rsync’ >> /etc/sudoers
visudo -c
grep omd /etc/sudoers
2.ssh 散发到服务器的家目录
ssh -p22 -r /etc/hosts omd@192.168.25.137:~
3.ssh 应用 sudo 复制到指标服务器的 /etc
ssh -t omd@192.168.25.137 sudo rsync hosts /etc/
3. 拓展计划 2，不必 sudo，而是设置 suid 对固定命令提权
长处：相当平安
毛病：简单，安全性较差，任何人都能够解决带有 suid 权限的命令
1.which rsync
2.chmod 4755 /usr/bin/rsync ssh 章节小结
1.ssh 近程的加密连贯协定，相干软件 openssh,openssl
2. 默认端口 22
3.ssh 版本协定
4. 服务器 ssh 连贯，ftp 连贯，sshd 守护过程，开机启动
5.ssh 客户端重要命令：ssh(用户登录 && 近程命令),scp,sftp,
6. 平安验证形式：口令，密钥 学习原理
7.ssh 服务优化：改端口，改监听，no root,no empty,no DNS,
8.ssh 密钥对，公钥在服务器端，私钥在客户端
批改 ssh 服务的启动文件 sshd 的几个点
1- 1 批改 /etc/ssh/sshd_config<br> GSSAPIAuthentication yes 解决一台服务器治理多个 ssh 服务
UseDNS no 放慢响应速度因为在内网环境下
PermitRootLogin no 不运行 root 用户间接登录
Port 11544 更改拜访端口号
ListenAddress 192.168.25.130 只监听内网的 IP
Match User anoncvs 以后环境容许登录的用户
PermitRootLogin no 是否容许 root 用户登录，个别不容许开
1- 2 重启服务
service sshd restart 写入命令进内存
service sshd reload(优先) reload 是一个平滑的拜访，不影响用户应用
1- 3 查看连贯端口
netstat -an | grep ESTSSH 跳过 HostKeyChecking，不必输出 yes
SSH 跳过输出 ssh 跳过 RSA key fingerprint 输出 yes/no
在配置大量的节点之间须要 ssh 连通的时候，如果主动复制很多节点，都须要输出 yes，两两节点之间都要互通一次，这样会造成很大的麻烦
解决 1；批改配置文件 /etc/ssh/ssh_config
找 到 # StrictHostKeyChecking ask
批改为：StrictHostKeyChecking no 解决 2： 增加参数 –o【o=option】
ssh root@192.168.25.133 -o "StrictHostKeyChecking no"ssh 带明码登录之 sshpass 的装置
【下载地址】https://sourceforge.net/projects/sshpass/files/latest/download
上传文件到服务器
CentOS 下装置：
[root@localhost ~]# tar xf sshpass-1.06.tar.gz
[root@localhost ~]# cd sshpass-1.06
[root@localhost sshpass-1.06]# ./configure
[root@localhost sshpass-1.06]# make && make install查看是否装置胜利：
[root@localhost sshpass-1.06]# which sshpass
/usr/local/bin/sshpass近程登录主机：
sshpass -p FTL600@HH ssh omd@192.168.25.110 -o "StrictHostKeyChecking no"留神：如果是第一次登录，须要输出手动 yes, 此时 sshpass 并不会给提醒，所以登录异样Ubuntu 下装置办法一[举荐]：简略
omd@omd-virtual-machine:~/sshpass-1.06$ sudo apt install sshpass装置胜利：
omd@omd-virtual-machine:~/sshpass-1.06$ which sshpassUbuntu 下装置办法二：
omd@omd-virtual-machine:~$ tar xf sshpass-1.06.tar.gz
omd@omd-virtual-machine:~$ cd sshpass-1.06/
omd @omd-virtual-machine:~/sshpass-1.06$ ./configure
omd@omd-virtual-machine:~/sshpass-1.06$ sudo make && make install
其同 CentOS 下装置附 ssh 的配置文件
配置文件这里就不贴了，省得你们说我水字数，我整顿的这份《Linux 命令大全》外面都有，还有一些其余的对于 Linux 的学习材料，能够收费分享给大伙，点击下方蓝字间接支付就能够了
Linux 学习书籍和笔记合集
end
不会吧，看到这里了都不点个赞吗？这正当吗？这不合理！！！