发布时间：2025-12-09 16:23:17 浏览次数：10
ssh常见的两种登陆方式:
1、密码登陆
2、密钥登陆（免密码登录）
SSH基于公钥加密（非对称加密）技术。
数据加密传输。客户端和服务器的身份验证。
pidof命令用于查找指定名称的进程的进程号id号
-s：仅返回一个进程号；
-c：仅显示具有相同“root”目录的进程；
-x：显示由脚本开启的进程；
-o：指定不显示的进程ID。
加解密的钥匙是同一把。
- a机器给b机器传输东西，a机器知道一串密码叫做aa，b机器也知道这个密码叫做aa；- a机器对数据用aa加密，b机器用aa解密。- 2个加密解密都用同一个密钥（加密的钥匙A和B都知道）。形成的条件是a和b都知道密钥是什么，且都一样#注：问题 很难保证这个密钥不被泄漏。生成一对公私钥，私钥自己保管，公钥可以给其他人。
公私钥对是成对存在的，一个用于加密，一个用于解密。具体哪个为私钥，哪个为公钥就看使用者自己管理。
生成一对公私钥，私钥自己保管，公钥可以给其他人。
公私钥对是成对存在的，一个用于加密，一个用于解密。
具体哪个为私钥，哪个为公钥就看使用者自己管理。
注意：
使用公钥进行加密，私钥解密，基本用于数据加密(eg：密码登录)
使用私钥加密公钥解密，用于认证(eg：公钥认证即免密登录)
使用公钥进行加密，私钥解密，用于数据加密
使用私钥进行加密，公钥解密，用于认证 ——公钥认证/免密码登录/密钥登录
实验步骤
1、在A机器上生成生成公私钥对（如果有公私钥对，则不需要重新生成），默认会放在当前用户家目录下的.ssh/文件下。
== 登陆时默认会去寻找家目录下的~/.ssh/id_rsa去进行验证，所以尽量不要在生成key的时候将它的默认路径更改。==
2、在B机器上目标用户的家目录下面~/.ssh/authorized_keys文件里将A机器的公钥复制粘贴过来，没有此文件就创建，修改文件权限为600
[root@MYSQL ~]# ll -a .ssh -ddrwxr-xr-x 2 root root 29 5月 2 09:20 .ssh #.ssh权限默认755.这里不能为777[root@MYSQL .ssh]# ll总用量 4-rw-r--r-- 1 root root 564 5月 2 09:20 authorized_keys[root@MYSQL .ssh]# chmod 600 authorized_keys[root@MYSQL .ssh]# ll # 修改权限，只允许属主有读写权限，属组和其他用户均无权限总用量 4-rw------- 1 root root 564 5月 2 09:20 authorized_keys3、查看公钥认证是否成功
在A机器上执行 ssh root@B机器的ip
不需要输入密码就可以登陆到B机器，则表示免密码登陆成功
或者
直接按下一步后完成。
复制公钥
进入登录用户的家目录，将复制的公钥放到.ssh/authorized_key这里（没有就创建）保存。
堡垒机需要配置防火墙
禁止root用户登录
禁止密码登录
添加一些防火墙
创建专门管理员的用户、sudo的权限
公钥认证排错
1、确保公钥正确
2、确保~/.ssh/authorized_keys文件权限为600
3、确保家目录以及.ssh目录权限为755以下权限，即属组和其他人没有7的权限
登陆方式
[root@mysql-binary .ssh]# ssh wy@192.168.0.35Last failed login: Sat Nov 14 09:59:11 CST 2020 from 192.168.0.132 on ssh:nottyThere were 2 failed login attempts since the last successful login.Last login: Sat Nov 14 09:53:11 2020 from 192.168.0.132[wy@mysql-rpm ~]$ 登出Connection to 192.168.0.35 closed. [root@mysql-binary .ssh]# ssh 192.168.0.35 -l wyLast login: Sat Nov 14 10:01:28 2020 from 192.168.0.132#######查看登陆过程详细信息[root@mysql-binary .ssh]# ssh -vvv 192.168.0.35 wy ...debug1: Trying private key: /home/sanchuang/.ssh/id_rsadebug3: no such identity: /home/sanchuang/.ssh/id_rsa: No such file or directorydebug1: Trying private key: /home/sanchuang/.ssh/id_dsadebug3: no such identity: /home/sanchuang/.ssh/id_dsa: No such file or directorydebug1: Trying private key: /home/sanchuang/.ssh/id_ecdsadebug3: no such identity: /home/sanchuang/.ssh/id_ecdsa: No such file or directorydebug1: Trying private key: /home/sanchuang/.ssh/id_ed25519debug3: no such identity: /home/sanchuang/.ssh/id_ed25519: No such file or directory...默认会去寻找~/.ssh/id_rsa,然后再找id_dsa等等。。。。rsa dsa ecdsa 加密算法 [root@mysql-binary .ssh]# ssh 192.168.0.35 -l wy -p 22 #指定用户，指定端口Last login: Sat Nov 14 10:01:37 2020 from 192.168.0.132[sanchuang@mysql-binary ~]$ ssh 192.168.0.35 #不接任何用户名，会默认以当前A机器所在用户登陆B机器同名的用户，不管B机器有没有这个用户sanchuang@192.168.0.35's password:这个流程有一个问题， 怎么保证收到的公钥就是目标server的公钥？（中间人攻击）
如果一个攻击者中途拦截了client的登陆请求，发送自己的公钥给client，client端就会用攻击者的公钥进行数据加密攻击者接收到信息后，用自己的私钥就可以解密了，这就窃取了client的登陆信息了。 [sanchuang@mysql-binary .ssh]$ ssh 192.168.0.35The authenticity of host '192.168.0.35 (192.168.0.35)' can't be established.ECDSA key fingerprint is SHA256:6V02tsAzBmVJ7yEbppVkISnSEyvf+HFWbzDbIPwmG84.ECDSA key fingerprint is MD5:6c:bd:a9:37:af:ba:f1:53:dd:c8:d2:d9:16:44:c9:9e.Are you sure you want to continue connecting (yes/no)? 为了解决这个问题，client端第一次登陆的时候，会进行一个登陆公钥确认。确认server服务端的这个host主机摘要，确认成功之后就会将server端的pubkey保存在~/.ssh/known_hosts里面以后每次连接都会验证这个know_hosts里的key和收到的pubkey是否一致。 [root@localhost .ssh]# ssh-keygen -lf /etc/ssh/ssh_host_rsa_key.pub # 查看公钥指纹3072 SHA256:+onwII3kw6noYzHjxfO+8cx1Yj0BhKosqMbvK3Jutz8 no comment (RSA) # server主机的pubkey保存在/etc/ssh/目录下，默认使用 ssh_host_ecdsa_key.pub[root@mysql-rpm ssh]# cd /etc/ssh[root@mysql-rpm ssh]# lsmoduli sshd_config ssh_host_ecdsa_key.pub ssh_host_ed25519_key.pub ssh_host_rsa_key.pubssh_config ssh_host_ecdsa_key ssh_host_ed25519_key ssh_host_rsa_keyOpenSSH
官方站点：http://www.openssh.com
主要软件包：openssh-server、openssh-clients
服务端的配置文件，修改配置文件，要重新加载。
[root@mysql-binary ssh]# kill -HUP 23380[root@mysql-binary ssh]# kill -1 23380[root@mysql-binary ssh]# service sshd restartRedirecting to /bin/systemctl restart sshd.service[root@mysql-binary ssh]# service sshd reloadRedirecting to /bin/systemctl reload sshd.service[root@mysql-rpm .ssh]# man ssh[root@mysql-rpm .ssh]# man 5 /etc/ssh/sshd_config #查看配置文件帮助文档配置详解
Port 2233 #修改默认监听端口（默认22端口）#AddressFamily anyListenAddress 192.168.0.132 #设置本机监听ip地址，默认为0.0.0.0（表示在本机任意ip地址上监听）PermitRootLogin no #不允许root用户登陆，默认为yesPubkeyAuthentication yes #是否开启公钥认证AuthorizedKeysFile .ssh/authorized_keys #配置公钥认证的文件PasswordAuthentication no #是否开启密码认证，默认为yesUsePAM yes #使用pam认证 #pam认证模块 --》配置路径/etc/pam.d 这个目录下面存放的是每个需要认证的服务的配置，文件名就是服务名UseDNS yes # 是否将客户端主机名解析为ip#此过程不顺利的话，会非常的慢，会影响登陆认证的速度，可以将其设置为no管理密钥 一个代理程序，帮助我们管理私钥。
配置方法: xshell–> 主机属性–》ssh --》勾选 使用xagent进行身份验证 勾选使用代理转发
修改客户端配置，配置文件： ~/.ssh/config
[sanchuang@a ~]$ cat .ssh/config ##############################ForwardAgent yes StrictHostKeyChecking no # 注：是否输入yesServerAliveInterval 60 # 注：存活时间 IdentityFile ~/.ssh/id_rsa # 注：认证文件#############################Host BHostName 192.168.0.39User sanchuangPort 2233Host 10.*User sanchuangPort 2233ProxyCommand ssh 192.168.0.39 -W %h:%p -l sanchuang -p 2233 # 提示主机不被信任 WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!将~/.ssh/known_hosts 删掉传输文件
# 将a机器的文件传输到b机器的/root目录下，不接路径直接放到家目录下[root@LB-1 ~]# scp -P 2233 install_kafka_4.sh root@192.168.169.137:/root [root@a ~]# scp ahost B:/tmp# 注：将A机器 当前路径ahost文件cp到B机器下的/tmp路径下[root@a ~]# scp B:/tmp/bhost ./# 注：将B机器 /tmp/bhost文件cp到当前路径[root@a ~]# scp B:tmp/testhost ./# 注：将B机器 家目录下 tmp/testhost文件cp到当前路径传输目录
[root@a ~]# scp -r adir B:# 注：将A机器当前路径下 adir文件夹 cp到B机器家目录下[root@a ~]# scp -r adir B:bdir# 注：复制文件夹并改名[root@a ~]# scp -r adir B:bdir/# 注：和上面的没有区别ftp和sftp区别
批量执行命令pssh
[root@a ~]# pssh -h ip.txt -i "/usr/sbin/ip a"#ip.txt里面可以这样写[root@a ~]# cat ip.txt 192.168.0.31:2233192.168.0.54:22...[root@a ~]# vim ip.txt sanchuang@192.168.0.31:2233sanchuang@192.168.0.54:2233批量传输文件pscp.pssh
[sanchuang@a ~]$ pscp.pssh -h ip.txt pscptest /tmp #把当前目录下的pscptest文件传送到目标主机的/tmp目录下[1] 17:37:21 [SUCCESS] sanchuang@192.168.0.48:2233[2] 17:37:22 [SUCCESS] sanchuang@192.168.0.39:2233批量ping 使用
[root@a ~]# yum install fping -y[root@a ~]# fping -g 192.168.0.1/24 # 注：-g 根据网段去ping192.168.0.1 is alive……192.168.0.254 is unreachable[root@a ~]# fping -f ip.txt # 注：-f根据文件指定ip去ping192.168.0.31 is alive192.168.0.54 is alive[root@a ~]# vim ip.txt 192.168.0.31192.168.0.54SSH使用TCP Wrappers实现访问控制
主要配置文件/etc/hosts.allow/etc/hosts.deny# 不需要重启服务，有守护进程帮它控制[root@cPen_A ~]# vim /etc/hosts.deny sshd:192.168.0.31#注：访问控制，拒绝192.168.0.31 不需要重启服务，有守护进程帮它控制#注：主机公钥在 /etc/ssh/下面默认使用ecdsa模式#注：known_hosts文件里有什么前面是ip地址，后面是公钥#注：authorized_keys放受信任的公钥TCP Wrappers可以控制哪些服务
受super daemon（xinetd）管理的服务支持libwrap.so模块的服务TCP Wrappers的访问控制原则
首先检查 hosts.allow 文件，若找到相匹配的策略，则允许访问否则继续检查 hosts.deny 文件，若找到相匹配的策略，则拒绝访问如果两个文件中都没有相匹配的策略，则允许访问SSH端口转发详解及实例
# 永久修改selinux[root@cPen_A ~]# vim /etc/selinux/config SELINUX=disabled# 看当前系统有多少连接 (establish)[root@cPen_B ~]# netstat -anplut|grep -E "ESTABLISHED|LISTEN|TIME_WAIT"|awk -F" " {'print $6'}|sort|uniq -c2 ESTABLISHED2 LISTEN端口转发：A、C、B主机。主机B起了个nginx服务 端口号80；主机A不能直接访问主机B，但主机A可以访问主机C，主机C可以访问主机B (A–>C–>B)；A可以ssh到C，A跳到C，然后访问B的80端口 (nginx)。现在 在主机C上面建立一个隧道，隧道开启15577端口连接B的80端口，A去访问15577端口相当于去访问B的80映射
#注：ssh隧道 第一个用于不能直接访问的情况；第二个考虑密文传输[root@cPen_C ~]# lsof -i:15577# 注：在C主机上操作，15577端口未被占用[root@cPen_C ~]# ssh -g -L 15577:192.168.0.39:80 sanchuang@192.168.0.39 -p 2233#注：192.168.0.39 右边B主机ip地址# 注：在C主机上开通一个隧道 端口为15577[root@cPen_A ~]# curl 192.168.0.48:15577# 注：模仿网络访问 (80端口nginx网页使用curl访问)<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.1//EN" "http://www.w3.org/TR/xhtml11/DTD/xhtml11.dtd"># 注：返回的内容#注：192.168.0.48 中间C主机ip地址# 注：注意防火墙iptables -F#注：访问中间C主机的15577端口 转接成右边B主机的80端口#注：注意 不能绑定到本地的回环地址 127.0.0.1只能访问自己 (所以 -g) -g作用 本地所有ip都是访问#注：- L是本地端口转发#注：一般可以开启65535个端口
免责声明：本站内容（文字信息+图片素材）来源于互联网公开数据整理或转载，仅用于学习参考，如有侵权问题，请及时联系本站删除，我们将在5个工作日内处理。联系邮箱：303555158#qq.com（把#换成@）
微信便捷交流