前言

ssh相当于windows上的远程桌面连贯，但没有桌面，只有文字终端。ssh是许多Linux使用者入门时必学的一个命令。借助ssh，开发人员能够很不便地连贯近程或是局域网的其余电脑，间接在下面进行开发工作。

拿我本人平时工作流举例，每天到实验室首先关上mac上的item2终端，连贯两个扩大屏，再ssh连入几台服务器，切换到tmux，大部分工作都能够在一个终端上实现。

能够说，应用好ssh，咱们能更舒心地连贯近程；应用好终端，开发人员可能更顺利地实现本人的开发工作，我整顿的一些对于Linux学习的书籍和笔记都放在这里了，想白嫖的兄弟间接点击支付即可。

Linux学习书籍和笔记合集
那这篇文章就跟大家一起来深刻理解一下SSH，大略内容如下：
工作机制
加密技术
避免入侵
性能盘点
常见参数
服务相干
免密设置
问题排查
批量散发与治理计划
文件配置

SSH(近程连贯工具)连贯原理：ssh服务是一个守护过程(demon)，零碎后盾监听客户端的连贯，ssh服务端的过程名为sshd,负责实时监听客户端的申请(IP 22端口)，包含公共秘钥等替换等信息。

ssh服务端由2局部组成： openssh(提供ssh服务) openssl(提供加密的程序)

ssh的客户端能够用 XSHELL，Securecrt, Mobaxterm等工具进行连贯

SSH的工作机制

服务器启动的时候本人产生一个密钥(768bit公钥)，本地的ssh客户端发送连贯申请到ssh服务器，服务器查看连接点客户端发送的数据和IP地址，确认非法后发送密钥(768bits)给客户端，此时客户端将本地私钥(256bit)和服务器的公钥(768bit)联合成密钥对key(1024bit),发回给服务器端，建设连贯通过key-pair数据传输。

1.近程Server收到Client端用户TopGun的登录申请，Server把本人的公钥发给用户。
2.Client应用这个公钥，将明码进行加密。
3.Client将加密的密码发送给Server端。
4.近程Server用本人的私钥，解密登录明码，而后验证其合法性。
5.若验证后果，给Client相应的响应

Client端如何保障承受到的公钥就是指标Server端的？

1.Client将本人的公钥寄存在Server上，追加在文件authorized_keys中。
2.Server端接管到Client的连贯申请后，会在authorized_keys中匹配到Client的公钥pubKey，并生成随机数R，用Client的公钥对该随机数进行加密失去pubKey(R)
，而后将加密后信息发送给Client。
3.Client端通过私钥进行解密失去随机数R，而后对随机数R和本次会话的SessionKey利用MD5生成摘要Digest1，发送给Server端。
4.Server端会也会对R和SessionKey利用同样摘要算法生成Digest2。
5.Server端会最初比拟Digest1和Digest2是否雷同，实现认证过程。

更多学习...

SSH的加密技术

加密技术：传输过程，数据加密。
1.SSH1没有对客户端的秘钥进行校验，很容易被植入恶意代码
2.SSH2减少了一个确认联机正确性的Diffe_Hellman机制，每次数据的传输，Server都会检查数据起源的正确性，防止黑客入侵。
SSH2反对RSA和DSA密钥
DSA:digital signature Algorithm 数字签名
RSA:既能够数字签名又能够加密

SSH常识小结

1.SSH是平安的加密协议，用于近程连贯Linux服务器
2.SSH的默认端口是22，平安协定版本是SSH2
3.SSH服务器端次要蕴含2个服务性能SSH连贯和SFTP服务器
4.SSH客户端蕴含ssh连贯命令和近程拷贝scp命令等

如何避免SSH登录入侵

1.密钥登录,更改端口
2.牤牛阵法
3.监听本地内网IP(ListenAddress 192.168.25.*)

SSH性能大全

1.登录                          ssh -p22 omd@192.168.25.137                  2.间接执行命令  -->最好全门路                          ssh root@192.168.25.137 ls -ltr /backup/data                                  ==>ssh root@192.168.25.137 /bin/ls -ltr /backup/data                  3.查看已知主机                            cat /root/.ssh/known_hosts   4.ssh近程执行sudo命令       ssh -t omd@192.168.25.137 sudo rsync hosts /etc/   5.scp                            1.性能   -->近程文件的平安(加密)拷贝                                    scp -P22 -r -p /home/omd/h.txt omd@192.168.25.137:/home/omd/                            2.scp常识小结                                    scp是加密近程拷贝，cp为本地拷贝                                    能够推送过来，也能够拉过来                                    每次都是全量拷贝(效率不高，适宜第一次)，增量拷贝用rsync   6.ssh自带的sftp性能                            1.Window和Linux的传输工具                                     wincp   filezip                                  sftp  -->基于ssh的平安加密传输                                  samba                2.sftp客户端连贯                                   sftp -oPort=22 root@192.168.25.137                                   put /etc/hosts /tmp                                   get /etc/hosts /home/omd               3.sftp小结：                                   1.linux下应用命令： sftp -oPort=22 root@x.x.x.x                                   2.put加客户端本地门路上传                                  3.get下载服务器端内容到本地                                   4.近程连贯默认连贯用户的家目录

ssh常见命令参数

usage: ssh [-1246AaCfgKkMNnqsTtVvXxYy] [-b bind_address] [-c cipher_spec]           [-D [bind_address:]port] [-e escape_char] [-F configfile]           [-i identity_file] [-L [bind_address:]port:host:hostport]           [-l login_name] [-m mac_spec] [-O ctl_cmd] [-o option] [-p port]           [-R [bind_address:]port:host:hostport] [-S ctl_path]           [-W host:port] [-w local_tun[:remote_tun]]           [user@]hostname [command]

对于后盾ssh服务的相干

# 查问openssl软件    rpm -qa openssh openssl# 查问sshd过程    ps -ef | grep ssh        --> /usr/sbin/sshd# 查看ssh端口    netstat -lntup | grep ssh      ss | grep ssh                (成果同上，同下，好用)    netstat -a | grep ssh(记住这个)    netstat -lnt | grep 22    ==>  查看22端口有没有开/ssh服务有没有开启    技巧： netstat -lnt | grep ssh | wc -l -->只有大于2个就是ssh服务就是好的# 查看ssh的秘钥目录    ll /root/.ssh/known_hosts  # 以后用户家目录的.ssh目录下# ssh的配置文件    cat /etc/ssh/sshd_config   # ssh服务的敞开    service sshd stop# ssh服务的开启：    service sshd start# ssh服务的重启    service sshd reload    [进行过程后重启] ==> 举荐    service sshd restart   [干掉过程后重启] ==> 不举荐# ssh近程登录    ssh 192.168.1.100      # 默认利用以后宿主用户的用户名登录    ssh omd@192.168.1.100  # 利用近程机的用户登录    ssh omd@192.168.1.100  -o stricthostkeychecking=no # 首次登陆免输yes登录    ssh omd@192.168.1.100 "ls /home/omd"  # 以后服务器A近程登录服务器B后执行某个命令    ssh omd@192.168.1.100 -t "sh /home/omd/ftl.sh"  # 以后服务器A近程登录服务器B后执行某个脚本

ssh免密设置

1、进入用户的家目录

[root@localhost ~]# cd /root/.ssh/             【root用户就在root目录下的.ssh目录】[root@localhost ~]# cd /home/omd/.ssh/   【普通用户就是在家目录下的.ssh目录】

2、依据DSA算法生成私钥和公钥【默认建设在以后用户的家目录】

[root@localhost .ssh]# ssh-keygen -t dsa     # 一路回车即可                id_dsa         -->私钥(钥匙)                 id_dsa.pub     -->公钥(锁)

3.拷贝公钥给指标服务器

[root@localhost .ssh]# ssh-copy-id -i id_dsa.pub omd@192.168.25.110              【 应用ssh登录的默认端口22】[root@localhost .ssh]# ssh-copy-id -i id_dsa.pub –p 666 omd@192.168.25.120   【应用ssh登录设置的端口666】

4. 查看指标服务器生成的文件

[omd@localhost .ssh]$ ll /home/omd/.ssh/authorized_keys

5. 免明码登录指标服务器

ssh omd@192.168.25.110

6. 总结一下钥匙和锁的关系

1.多个钥匙开一把锁      把id_dsa.pub 复制给各个服务器2.一个钥匙开duobasuo      把id_dsa 传给各个服务器      把id_dsa 传给本人

ssh排查问题

1.判断物理链路是否通  ping 192.168.25.130     线路 | 防火墙 | 是否同一个网的            ping   自身是icmp协定2.判断服务是否失常telnet 192.168.25.130 223.Linux防火墙service iptables status ==>  /etc/init.d/iptables status　　4.关上ssh的调测进行察看ssh -vvv omd@192.168.1.100

SSH批量散发与治理计划小结

1.利用root做ssh key验证

长处：简略，易用
毛病：平安性能差，无奈禁止root近程连贯

2.利用普通用户omd （举荐）

思路：把要散发的文件拷贝到服务器用户的家目录，而后利用sudo提权拷贝散发的文件和对应目录
长处：平安
毛病：简单，配置麻烦
1.sudo提权
echo 'omd All=(All) NOPASSWD:/usr/bin/rsync' >> /etc/sudoers
visudo -c
grep omd /etc/sudoers
2.ssh散发到服务器的家目录
ssh -p22 -r /etc/hosts omd@192.168.25.137:~
3.ssh应用sudo复制到指标服务器的/etc
ssh -t omd@192.168.25.137 sudo rsync hosts /etc/

3.拓展计划2，不必sudo，而是设置suid对固定命令提权

 长处：相当平安 毛病：简单，安全性较差，任何人都能够解决带有suid权限的命令        1.which rsync        2.chmod 4755 /usr/bin/rsync

ssh章节小结

1.ssh近程的加密连贯协定，相干软件openssh,openssl
2.默认端口22
3.ssh版本协定
4.服务器ssh连贯，ftp连贯，sshd守护过程，开机启动
5.ssh客户端重要命令：ssh(用户登录&&近程命令),scp,sftp,
6.平安验证形式：口令，密钥学习原理
7.ssh服务优化：改端口，改监听，no root,no empty,no DNS,
8.ssh密钥对，公钥在服务器端，私钥在客户端

批改ssh服务的启动文件sshd的几个点

1-1批改 /etc/ssh/sshd_config<br>        GSSAPIAuthentication yes    解决一台服务器治理多个ssh服务    UseDNS no  放慢响应速度因为在内网环境下    PermitRootLogin no  不运行root用户间接登录    Port 11544 更改拜访端口号    ListenAddress  192.168.25.130  只监听内网的IP    Match User anoncvs     以后环境容许登录的用户    PermitRootLogin no      是否容许root用户登录，个别不容许开1-2重启服务    service sshd restart       写入命令进内存    service sshd reload(优先)  reload是一个平滑的拜访，不影响用户应用1-3查看连贯端口    netstat -an | grep EST

SSH跳过HostKeyChecking，不必输出yes

SSH跳过输出ssh跳过RSA key fingerprint输出yes/no

在配置大量的节点之间须要ssh连通的时候，如果主动复制很多节点，都须要输出yes，两两节点之间都要互通一次，这样会造成很大的麻烦

解决1；批改配置文件/etc/ssh/ssh_config

找  到  # StrictHostKeyChecking ask  批改为：StrictHostKeyChecking no

解决2： 增加参数 –o 【o=option】

ssh root@192.168.25.133 -o "StrictHostKeyChecking no"

ssh带明码登录之sshpass的装置
【下载地址】https://sourceforge.net/projects/sshpass/files/latest/download

上传文件到服务器

CentOS下装置：

[root@localhost ~]# tar xf sshpass-1.06.tar.gz [root@localhost ~]# cd sshpass-1.06[root@localhost sshpass-1.06]# ./configure [root@localhost sshpass-1.06]# make && make install

查看是否装置胜利：

[root@localhost sshpass-1.06]# which sshpass/usr/local/bin/sshpass

近程登录主机：

sshpass -p FTL600@HH ssh omd@192.168.25.110 -o "StrictHostKeyChecking no"

留神：如果是第一次登录，须要输出手动yes,此时sshpass并不会给提醒，所以登录异样Ubuntu下装置办法一[举荐]：简略

omd@omd-virtual-machine:~/sshpass-1.06$ sudo apt install sshpass

装置胜利：

omd@omd-virtual-machine:~/sshpass-1.06$ which sshpass

Ubuntu下装置办法二：

omd@omd-virtual-machine:~$ tar xf sshpass-1.06.tar.gz omd@omd-virtual-machine:~$ cd sshpass-1.06/omd @omd-virtual-machine:~/sshpass-1.06$ ./configure omd@omd-virtual-machine:~/sshpass-1.06$ sudo make && make install其同CentOS下装置

附ssh的配置文件

配置文件这里就不贴了，省得你们说我水字数，我整顿的这份《Linux命令大全》外面都有，还有一些其余的对于Linux的学习材料，能够收费分享给大伙，点击下方蓝字间接支付就能够了

Linux学习书籍和笔记合集

end

不会吧，看到这里了都不点个赞吗？这正当吗？这不合理！！！