关于ssh:sshkeygen-的-详解

1. 敞开防火墙

在内部拜访 CentOS 中部署利用时，须要敞开防火墙。

敞开防火墙命令：systemctl stop firewalld.service

开启防火墙：systemctl start firewalld.service

敞开开机自启动：systemctl disable firewalld.service

开启开机启动：systemctl enable firewalld.service

2. 为了让两个 linux 机器之间应用 ssh 不须要用户名和明码。

所以采纳了数字签名 RSA 或者 DSA 来实现这个操作。

模型剖析

假如 A（192.168.20.59）为客户机器，B（192.168.20.60）为指标机；

要达到的目标：
A 机器 ssh 登录 B 机器无需输出明码；
加密形式选 rsa|dsa 均能够，默认 dsa

ssh-keygen -t rsa #应用 rsa 加密

二、具体操作流程

单向登陆的操作过程（能满足上边的目标）：
1、登录 A 机器
2、ssh-keygen -t [rsa|dsa]，将会生成密钥文件和私钥文件 id_rsa,id_rsa.pub 或 id_dsa,id_dsa.pub
3、将 .pub 文件复制到 B 机器的 .ssh 目录，并 cat id_dsa.pub >> ~/.ssh/authorized_keys
4、功败垂成，从 A 机器登录 B 机器的指标账户，不再须要明码了；（间接运行 #ssh 192.168.20.60）

双向登陆的操作过程：

1、ssh-keygen 做明码验证能够使在向对方机器上 ssh ,scp 不必应用明码. 具体方法如下:
2、两个节点都执行操作：#ssh-keygen -t rsa
而后全副回车, 采纳默认值.

3、这样生成了一对密钥，寄存在用户目录的~/.ssh 下。
将公钥考到对方机器的用户目录下，并将其复制到~/.ssh/authorized_keys 中（操作命令：#cat id_dsa.pub >> ~/.ssh/authorized_keys）。

4、设置文件和目录权限：

设置 authorized_keys 权限
$ chmod 600 authorized_keys
设置.ssh 目录权限
$ chmod 700 -R .ssh

5、要保障.ssh 和 authorized_keys 都只有用户本人有写权限。否则验证有效。（明天就是遇到这个问题，找了良久问题所在），其实认真想想，这样做是为了不会呈现系统漏洞。

我从 20.60 去拜访 20.59 的时候会提醒如下谬误：

The authenticity of host ‘192.168.20.59 (192.168.20.59)’ can’t be established. RSA key fingerprint is 6a:37:c0:e1:09:a4:29:8d:68:d0:ca:21:20:94:be:18. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added ‘192.168.20.59’ (RSA) to the list of known hosts. root@192.168.20.59’s password: Permission denied, please try again. root@192.168.20.59’s password: Permission denied, please try again. root@192.168.20.59’s password: Permission denied (publickey,gssapi-with-mic,password).

三、总结注意事项

1、文件和目录的权限千万别设置成 chmod 777. 这个权限太大了，不平安，数字签名也不反对。我开始图省事就这么干了

2、生成的 rsa/dsa 签名的公钥是给对方机器应用的。这个公钥内容还要拷贝到 authorized_keys

3、linux 之间的拜访间接 ssh 机器 ip

4、某个机器生成本人的 RSA 或者 DSA 的数字签名，将公钥给指标机器，而后指标机器接管后设定相干权限（公钥和 authorized_keys 权限），这个指标机就能被生成数字签名的机器无明码拜访了

ssh-keygen 设置 ssh 无明码登录

ssh-keygen – 生成、治理和转换认证密钥，包含 RSA 和 DSA 两种密钥
密钥类型能够用 -t 选项指定。如果没有指定则默认生成用于 SSH- 2 的 RSA 密钥

配置：
1、在本地机器中的~/.ssh/ 目录下执行下命令
ssh-keygen -t dsa
将生成两个文件,id_dsa 和 id_dsa.pub

2、将 id_dsa.pub 拷贝到近程机器, 并且将 id_dsa.pub 的内容增加到~/.ssh/authorized_keys 中
cat id_dsa.pub >>authorized_keys
留神: 目录.ssh 和文件 authorized_keys 的权限必须是 600

实现以上操作之后，用户从本地机器到近程机器就不须要用明码了

几个文件的作用阐明，摘自 http://lamp.linux.gov.cn/Open…

 ~/.ssh/identity

         该用户默认的 RSA1 身份认证私钥(SSH-1)。此文件的权限该当至多限度为 "600"。生成密钥的时候能够指定采纳密语来加密该私钥(3DES)。ssh 将在登录的时候读取这个文件。~/.ssh/identity.pub

         该用户默认的 RSA1 身份认证公钥(SSH-1)。此文件无需窃密。此文件的内容应该增加到所有 RSA1 指标主机的 ~/.ssh/authorized_keys 文件中。~/.ssh/id_dsa

         该用户默认的 DSA 身份认证私钥(SSH-2)。此文件的权限该当至多限度为 "600"。生成密钥的时候能够指定采纳密语来加密该私钥(3DES)。ssh 将在登录的时候读取这个文件。~/.ssh/id_dsa.pub

         该用户默认的 DSA 身份认证公钥(SSH-2)。此文件无需窃密。此文件的内容应该增加到所有 DSA 指标主机的 ~/.ssh/authorized_keys 文件中。~/.ssh/id_rsa

         该用户默认的 RSA 身份认证私钥(SSH-2)。此文件的权限该当至多限度为 "600"。生成密钥的时候能够指定采纳密语来加密该私钥(3DES)。ssh 将在登录的时候读取这个文件。~/.ssh/id_rsa.pub

         该用户默认的 RSA 身份认证公钥(SSH-2)。此文件无需窃密。此文件的内容应该增加到所有 RSA 指标主机的 ~/.ssh/authorized_keys 文件中。/etc/ssh/moduli

         蕴含用于 DH-GEX 的 Diffie-Hellman groups

BG2BLT01 is on, BG2BLT02 is power off. They’re too noisy L

When and how to move them to data center?

Please update SSH key in .33 server for git repo access.

ssh-keygen -t dsa

scp ~/.ssh/id_dsa.pub [YOUR_USER_NAME]@10.38.116.33:authorized_keys

ssh [YOUR_USER_NAME]@ 10.38.116.33

skip below 3 steps if you already have .ssh and .ssh/authorized_keys

mkdir -m 700 .ssh

touch .ssh/authorized_keys

chmod 600 .ssh/authorized_keys

cat authorized_keys >> .ssh/authorized_keys;exit

vi ~/.ssh/config

add lines and save quit

host 10.38.116.33

user [YOUR_USER_NAME]
参考链接：
Extract private key from pfx file with openssl pkcs12