Linux下的OpenSSH,你知道多少?

Linux下的OpenSSH,你知道多少?

Openssh介绍

  • OpenSSH 是 SSH (Secure Shell) 协议的免费开源实现。SSH协议族可以用来进行远程控制, 或在计算机之间传送文件。而实现此功能的传统方式,如telnet(终端仿真协议)、 rcp ftp、 rlogin、rsh都是极为不安全的,并且会使用明文传送密码。OpenSSH提供了服务端后台程序和客户端工具,用来加密远程控件和文件传输过程中的数据,并由此来代替原来的类似服务。

SSH工作原理

%title插图%num

  • 1.服务器建立公钥: 每一次启动 sshd 服务时,该服务会主动去找 /etc/ssh/ssh_host* 的文件,若系统刚刚安装完成时,由于没有这些公钥,因此 sshd 会主动去计算出这些需要的公钥,同时也会计算出服务器自己需要的私钥。
  • 2.客户端主动联机请求: 若客户端想要联机到 ssh 服务器,则需要使用适当的客户端程序来联机,包括 ssh, putty 等客户端程序连接。
  • 3.服务器传送公钥给客户端: 接收到客户端的要求后,服务器便将第一个步骤取得的公钥传送给客户端使用 (此时应是明码传送,反正公钥本来就是给大家使用的)。
  • 4.客户端记录并比对服务器的公钥数据及随机计算自己的公私钥: 若客户端第一次连接到此服务器,则会将服务器的公钥记录到客户端的用户家目录内的 ~/.ssh/known_hosts 。若是已经记录过该服务器的公钥,则客户端会去比对此次接收到的与之前的记录是否有差异。若接受此公钥, 则开始计算客户端自己的公私钥。
  • 5.回传客户端的公钥到服务器端: 用户将自己的公钥传送给服务器。此时服务器:具有服务器的私钥与客户端的公钥,而客户端则是: 具有服务器的公钥以及客户端自己的私钥,你会看到,在此次联机的服务器与客户端的密钥系统 (公钥+私钥) 并不一样,所以才称为非对称加密系统。
  • 6.开始双向加解密:
    • (1)服务器到客户端:服务器传送数据时,拿用户的公钥加密后送出。客户端接收后,用自己的私钥解密。
    • (2)客户端到服务器:客户端传送数据时,拿服务器的公钥加密后送出。服务器接收后,用服务器的私钥解密,这样就能保证通信安全。

环境准备:

属性 跳板机 服务器-01 服务器-02
节点 wenCheng Server-01 Server-02
系统 CentOS Linux release 7.5.1804 (Minimal) CentOS Linux release 7.5.1804 (Minimal) CentOS Linux release 7.5.1804 (Minimal)
内核 3.10.0-862.el7.x86_64 3.10.0-862.el7.x86_64 3.10.0-862.el7.x86_64
SELinux setenforce 0 | disabled setenforce 0 | disabled setenforce 0 | disabled
Firewlld systemctl stop/disabled firewalld systemctl stop/disabled firewalld systemctl stop/disabled firewalld
IP地址 172.16.70.182 172.16.70.186 172.16.70.187

检查sshd相关设置信息,以跳板机为例。

# 是否已安装
[root@wenCheng ~]# rpm -qa | grep ssh
libssh2-1.4.3-10.el7_2.1.x86_64
openssh-clients-7.4p1-16.el7.x86_64
openssh-7.4p1-16.el7.x86_64
openssh-server-7.4p1-16.el7.x86_64
# 是否已监听端口
[root@wenCheng ~]# netstat -untpl | grep ssh
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      882/sshd
tcp6       0      0 :::22                   :::*                    LISTEN      882/sshd
# 查看ssh版本
[root@wenCheng ~]# ssh -V
OpenSSH_7.4p1, OpenSSL 1.0.2k-fips  26 Jan 2017
# 是否开机启动
[root@wenCheng ~]# systemctl is-enabled sshd.service
enabled

# 默认3对以不同方式加密的hostkey和配置文件config
[root@wenCheng ~]# ls -l /etc/ssh/ssh*
-rw-r--r--. 1 root root     2276 Apr 11  2018 /etc/ssh/ssh_config
-rw-------. 1 root root     3907 Apr 11  2018 /etc/ssh/sshd_config
-rw-r-----. 1 root ssh_keys  227 Dec  4  2020 /etc/ssh/ssh_host_ecdsa_key
-rw-r--r--. 1 root root      162 Dec  4  2020 /etc/ssh/ssh_host_ecdsa_key.pub
-rw-r-----. 1 root ssh_keys  387 Dec  4  2020 /etc/ssh/ssh_host_ed25519_key
-rw-r--r--. 1 root root       82 Dec  4  2020 /etc/ssh/ssh_host_ed25519_key.pub
-rw-r-----. 1 root ssh_keys 1679 Dec  4  2020 /etc/ssh/ssh_host_rsa_key
-rw-r--r--. 1 root root      382 Dec  4  2020 /etc/ssh/ssh_host_rsa_key.pub

默认/etc/ssh/sshd_config解析。

[root@Server-01 ~]# cat /etc/ssh/sshd_config
......
# default value.
#Port 22            # 默认ssh端口;可去掉"#"自定义数字,例 Port 2211
#AddressFamily any      # 默认any:IPv4,IPv6
#ListenAddress 0.0.0.0    # 默认监听所有IP地址;可去掉"#"自定义方式,例 ListenAddress host|IPv4|IPv4_addr:port
#ListenAddress ::

# 私钥保存位置
HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_dsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying        # 密码和密钥
#RekeyLimit default none

# Logging             # 日志
#SyslogFacility AUTH       #  #当有人使用SSH登录系统的时候,SSH会记录信息
SyslogFacility AUTHPRIV
#LogLevel INFO          # 设置日志等级

# Authentication:          # 身份认证

#LoginGraceTime 2m         # 限制登录时间不输入密码两分钟自动退出
#PermitRootLogin yes        # 是否允许root直接登录;建议设置为no
#StrictModes yes          # 是否检查.ssh/文件的所有者,权限
#MaxAuthTries 6           # 最大认证次数6;一般设为3
#MaxSessions 10           # 克隆会话最大连接

#PubkeyAuthentication yes     # 是否支持公钥验证(一般开启公钥验证关闭用户登录)

# The default is to check both .ssh/authorized_keys and .ssh/authorized_keys2
# but this is overridden so installations will only check .ssh/authorized_keys
AuthorizedKeysFile	.ssh/authorized_keys      # 基于公钥认证机制时,来自客户端的公钥的存放位置

#AuthorizedPrincipalsFile none

#AuthorizedKeysCommand none
#AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
#HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
# HostbasedAuthentication
#IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
#IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
#PasswordAuthentication yes      
#PermitEmptyPasswords no        # 是否允许空密码,如果使用密码验证,这里最好设置no
PasswordAuthentication yes       # 是否使用密码验证,如果使用密钥对验证可以改为no

# Change to no to disable s/key passwords
#ChallengeResponseAuthentication yes
ChallengeResponseAuthentication no    # 是否禁用s/key密码

# Kerberos options      # 与Kerberos 有关的参数设定,不用设定
#KerberosAuthentication no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosGetAFSToken no
#KerberosUseKuserok yes

# GSSAPI options
GSSAPIAuthentication yes     # 是否开启GSSAOI身份认证机制;建议设置no,加快ssh连接
GSSAPICleanupCredentials no
#GSSAPIStrictAcceptorCheck yes
#GSSAPIKeyExchange no
#GSSAPIEnablek5users no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
# WARNING: 'UsePAM no' is not supported in Red Hat Enterprise Linux and may cause several
# problems.
UsePAM yes         # 是否启用PAM身份认证

#AllowAgentForwarding yes
#AllowTcpForwarding yes
#GatewayPorts no      # 是否允许被远程主机所设置的本地转发端口绑定在非环回地址上
X11Forwarding yes
#X11DisplayOffset 10
#X11UseLocalhost yes
#PermitTTY yes
#PrintMotd yes       # 登入后是否显示设定的信息;建议设为no
#PrintLastLog yes      # 是否显示上次登入的信息
#TCPKeepAlive yes
#UseLogin no        # 是否接受login 这个程序的登入
#UsePrivilegeSeparation sandbox
#PermitUserEnvironment no  # 是否允许用户将环境选项呈现给ssh守护进程
#Compression delayed
#ClientAliveInterval 0   # 设置了ssh服务器端向其客户端发送请求消息(alive消息)的间隔时间,以检测客户端是否还存在,0表示不发送
#ClientAliveCountMax 3    # 允许客户端在接收到服务端的alive消息未响应的最大超时次数,如果客户端在最大超时次数内均未响应,ssh服务会自动终止与客户端的会话。
#ShowPatchLevel no
#UseDNS yes        # 是否将客户端主机名解析为IP,以检查此主机名是否与其IP地址真实对应;建议去到"#"设为no
#PidFile /var/run/sshd.pid   # sshd的PID路径文件
#MaxStartups 10:30:100  # 当连接数超过10会以30%的失败率拒绝用户登录(达到100,100%拒绝)
#PermitTunnel no
#ChrootDirectory none
#VersionAddendum none

# no default banner path
#Banner none    # ssh登录提示信息,可去掉"#"自定义,指定全路径文件即可

# Accept locale-related environment variables
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE
AcceptEnv XMODIFIERS

## ===== 以下可自行添加到配置文件 =====
# AllowUsers wen     允许的用户登录(包括root)白名单
# DenyUsers  cheng   拒绝的用户登录,黑名单(优先级高)
# AllowGroups XX     允许的用户组登录 
# DenyGroups XXX    拒绝的用户组登录
## ================================================
# override default of no subsystems
Subsystem	sftp	/usr/libexec/openssh/sftp-server

# Example of overriding settings on a per-user basis
#Match User anoncvs
#	X11Forwarding no
#	AllowTcpForwarding no
#	PermitTTY no
#	ForceCommand cvs server

默认/etc/ssh/ssh_config解析。

[root@wenCheng ~]# cat /etc/ssh/ssh_config
.......
# Host *               # 选项“Host”只对能够匹配后面字串的计算机有效。“*”表示所有的计算机 
#   ForwardAgent no        # 连接是否经过验证代理(如果存在)转发给远程计算机
#   ForwardX11 no         # X11连接是否被自动重定向到安全的通道和显示集
#   RhostsRSAAuthentication no  # 是否使用用RSA算法的基于rhosts的安全验证
#   RSAAuthentication yes     # 是否使用RSA算法进行安全验证
#   PasswordAuthentication yes  # 是否使用口令验证
#   HostbasedAuthentication no  # 是否启用基于主机的身份认证机制
#   GSSAPIAuthentication no
#   GSSAPIDelegateCredentials no
#   GSSAPIKeyExchange no
#   GSSAPITrustDNS no
#   BatchMode no          # 是否在这台计算机上使用“rlogin/rsh”
#   CheckHostIP yes        # 是否查看连接到服务器的主机的IP地址以防止DNS欺骗。建议设置为“yes”
#   AddressFamily any       
#   ConnectTimeout 0
#   StrictHostKeyChecking ask   # 自动把计算机的密匙加入“$HOME/.ssh/known_hosts”文件;ask(默认)新的主机密钥将添加到用户知道的主机文件
#   IdentityFile ~/.ssh/identity  # 从哪个文件读取用户的RSA安全验证标识
#   IdentityFile ~/.ssh/id_rsa
#   IdentityFile ~/.ssh/id_dsa
#   IdentityFile ~/.ssh/id_ecdsa
#   IdentityFile ~/.ssh/id_ed25519
#   Port 22            # 连接到远程主机的端口
#   Protocol 2
#   Cipher 3des          # 加密用的算法
#   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,aes128-cbc,3des-cbc
#   MACs hmac-md5,hmac-sha1,umac-64@openssh.com,hmac-ripemd160
#   EscapeChar ~         # 设置escape字符
#   Tunnel no
#   TunnelDevice any:any
#   PermitLocalCommand no
#   VisualHostKey no
#   ProxyCommand ssh -q -W %h:%p gateway.example.com
#   RekeyLimit 1G 1h
#
# Uncomment this if you want to use .local domain
# Host *.local
#   CheckHostIP no

Host *
    GSSAPIAuthentication yes
# If this option is set to yes then remote X11 clients will have full access
# to the original X11 display. As virtually no X11 client supports the untrusted
# mode correctly we set this to yes.
    ForwardX11Trusted yes
# Send locale-related environment variables
    SendEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
    SendEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
    SendEnv LC_IDENTIFICATION LC_ALL LANGUAGE
    SendEnv XMODIFIERS

SSH认证过程分两种:

1.基于口令认证。

  • SSH命令基本用法。
openssh套件中的客户端连接工具
ssh [options] [user@]hostname [command]
  -1:强制使用ssh协议版本1;
  -2:强制使用ssh协议版本2;
  -4:强制使用IPv4地址;
  -6:强制使用IPv6地址;
  -A:开启认证代理连接转发功能;
  -a:关闭认证代理连接转发功能;
  -b:使用本机指定地址作为对应连接的源ip地址;
  -C:请求压缩所有数据;
  -F:指定ssh指令的配置文件;
  -f:后台执行ssh指令;
  -g:允许远程主机连接主机的转发端口;
  -i:指定身份文件;
  -l:指定连接远程服务器登录用户名;
  -N:不执行远程指令;
  -o:指定配置选项;
  -p:指定远程服务器上的端口;
  -q:静默模式;
  -v:详细模式,将输出debug消息,可用于调试。"-vvv"可更详细。
  -V:显示版本号并退出。
  -o:指定额外选项,选项非常多。
user@hostname :指定ssh以远程主机hostname上的用户user连接到的远程主机上,若省略user部分,则表示使用本地当前用户。
              :如果在hostname上不存在user用户,则连接将失败(将不断进行身份验证)。
command :要在远程主机上执行的命令。指定该参数时,ssh的行为将不再是登录,而是执行命令,命令执行完毕时ssh连接就关闭。

例:远程主机IP:172.16.70.186 用户:Wen 端口:2221
shell> ssh -l Wen 172.16.70.186 -p2221
shell> ssh Wen@172.16.70.186 -p2221
shell> ssh Wen@172.16.70.186 -p2221 'hostname'
  • # 跳板机首次远程连接服务器-01过程
[root@wenCheng ~]# ssh root@172.16.70.186
The authenticity of host '172.16.70.186 (172.16.70.186)' can't be established.
ECDSA key fingerprint is SHA256:ZGZdN+a+izupZH7iY2/2VLQhB60QNKvIBLiAJHmf4o4.
ECDSA key fingerprint is MD5:e4:2b:df:ac:73:b7:0b:95:a4:7e:4c:97:ba:6e:30:1a.
Are you sure you want to continue connecting (yes/no)? yes        ## 主机验证
# 这段话的意思是,无法确认host主机的真实性,只知道它的公钥指纹,问你还想继续连接吗?
# 所谓"公钥指纹",是指公钥长度较长很难比对,所以对其进行MD5计算,将它变成一个128位的指纹。上例中是e4:2b:df:ac:73:b7:0b:95:a4:7e:4c:97:ba:6e:30:1a,再进行比较,就容易多了。
# 那么用户怎么知道远程主机的公钥指纹应该是多少?回答是没有好办法,远程主机必须在自己的网站上贴出公钥指纹,以便用户自行核对。
Warning: Permanently added '172.16.70.186' (ECDSA) to the list of known hosts.
root@172.16.70.186's password:      ## 用户验证
Last login: Fri Jun 18 08:19:10 2021 from 172.16.70.182
# 当远程主机的公钥被接受以后,它就会被保存在文件$HOME/.ssh/known_hosts之中。下次再连接这台主机,系统就会认出它的公钥已经保存在本地了,从而跳过警告部分,直接提示输入密码。

[root@Server-01 ~]# ls -l /etc/ssh/ssh_host*
-rw-r-----. 1 root ssh_keys  227 Jun 17 15:59 /etc/ssh/ssh_host_ecdsa_key
-rw-r--r--. 1 root root      162 Jun 17 15:59 /etc/ssh/ssh_host_ecdsa_key.pub
-rw-r-----. 1 root ssh_keys  387 Jun 17 15:59 /etc/ssh/ssh_host_ed25519_key
-rw-r--r--. 1 root root       82 Jun 17 15:59 /etc/ssh/ssh_host_ed25519_key.pub
-rw-r-----. 1 root ssh_keys 1679 Jun 17 15:59 /etc/ssh/ssh_host_rsa_key
-rw-r--r--. 1 root root      382 Jun 17 15:59 /etc/ssh/ssh_host_rsa_key.pub

# 查看服务器-01上的ecdsa_key.pub
[root@Server-01 ~]# cat /etc/ssh/ssh_host_ecdsa_key.pub
ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBDiaBpVrOEa+c82sjAXHl7TiQ9RJaPh9U4YLCinNAh3LH2ZX5ykkgEr7gA4Rq1Syd1S6/P3cUHQ5AbgkKiTOpcw=
[root@Server-01 ~]#
[root@Server-01 ~]# ssh-keygen -l -f /etc/ssh/ssh_host_ecdsa_key
256 SHA256:ZGZdN+a+izupZH7iY2/2VLQhB60QNKvIBLiAJHmf4o4 /etc/ssh/ssh_host_ecdsa_key.pub (ECDSA)

[root@Server-01 ~]# logout    # Ctrl + d 退出;返回到跳板机
Connection to 172.16.70.186 closed.
# 查看跳板机上的known_hosts,对应服务器-01的ecdsa_key.pub
[root@wenCheng ~]# cat .ssh/known_hosts
172.16.70.186 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBDiaBpVrOEa+c82sjAXHl7TiQ9RJaPh9U4YLCinNAh3LH2ZX5ykkgEr7gA4Rq1Syd1S6/P3cUHQ5AbgkKiTOpcw=
[root@wenCheng ~]#
[root@wenCheng ~]# ssh-keygen -l -f .ssh/known_hosts
256 SHA256:ZGZdN+a+izupZH7iY2/2VLQhB60QNKvIBLiAJHmf4o4 172.16.70.186 (ECDSA)

2.基于公钥认证。

  • 使用口令认证,每次都必须输入密码,非常麻烦。好在SSH还提供了公钥登录,可以省去输入密码的步骤。
  • 所谓”公钥认证”,原理很简单,就是用户将自己的公钥储存在远程主机上。登录的时候,远程主机会向用户发送一段随机字符串,用户用自己的私钥加密后,再发回来。远程主机用事先储存的公钥进行解密,如果成功,就证明用户是可信的,直接允许登录shell,不再要求密码。
  • ssh-keygen命令基本用法。
为ssh生成、管理和转换认证密钥
ssh-keygen [options] [command]
  -b:指定密钥长度;对于RSA密钥,最小要求768位,默认是2048位。DSA密钥必须恰好是1024位
  -e:读取openssh的私钥或者公钥文件;
  -c:修改私钥和公钥文件中的注释。
  -C:添加注释;
  -f:指定用来保存密钥的文件名;
  -i:读取未加密的ssh-v2兼容的私钥/公钥文件,然后在标准输出设备上显示openssh兼容的私钥/公钥;
  -l:显示公钥文件的指纹数据;
  -N:提供一个新密语;
  -P:提供(旧)密语;
  -q:静默模式;
  -t:指定要创建的密钥类型,dsa | ecdsa | ed25519 | rsa | rsa1。
  -v:详细模式。ssh-keygen 将会输出处理过程的详细调试信息。常用于调试模数的产生过程。

例:在服务器上生成rsa,4096位,使用者为Wen的密钥对。
shell> ssh-keygen -t rsa -b 4096 -C Wen
  •  ssh-copy-id命令基本用法。
可以把本地主机的公钥复制到远程主机的authorized_keys文件上
ssh-copy-id [option] [user@]hostname
  -i 指定认证文件(公钥)
  -f 强制模式
  -n 测试,不实际替换
  -p port 指定端口
  -o option 指定其他 ssh 参数

例:将跳板机的/root/.ssh/id_rsa.pub公钥发送到远程服务器172.16.0.1的Wen用户上。
shell> ssh-copy-id -i /root/.ssh/id_rsa.pub Wen@172.16.0.1
  • # 跳板机首次远程连接服务器-02过程
# 在跳板机wenCheng操作
例1:交互式生成密钥对
[root@wenCheng ~]# ssh-keygen                    # 可自定义参数 -t rsa -b 4096 -C WenCheng
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):    # 回车,默认key保存路径/root/.ssh/id_rsa;可自定义,如/root/.ssh/WenCheng_rsa
Enter passphrase (empty for no passphrase):            # 回车,默认key不设置密码;建议设置密码
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:zyMrRak1AcDZf9SzJKKXLGwJwNjJfsdztHzF08t+URI root@wenCheng
The key's randomart image is:
+---[RSA 2048]----+
| =.+.+..   o .E. |
|. = + . + o B o .|
| .   + B B + = o.|
|  . . X & o . o. |
|   . o OS+   .  .|
|      . .o    . .|
|       .. +    . |
|      .  o .     |
|       ..        |
+----[SHA256]-----+

[root@wenCheng ~]# ssh-keygen -l -f .ssh/id_rsa.pub    # 查看生成公钥指纹
2048 SHA256:zyMrRak1AcDZf9SzJKKXLGwJwNjJfsdztHzF08t+URI root@wenCheng (RSA)

[root@wenCheng ~]# ls -l .ssh/
-rw-------. 1 root root 1679 Jun 18 17:23 id_rsa
-rw-r--r--. 1 root root  395 Jun 18 17:23 id_rsa.pub

[root@wenCheng ~]# ssh-copy-id -i .ssh/id_rsa.pub root@172.16.70.187    # 将生成的公钥保存至172.16.70.187的root用户的/root/.ssh/authorized_keys
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: ".ssh/id_rsa.pub"
The authenticity of host '172.16.70.187 (172.16.70.187)' can't be established.
ECDSA key fingerprint is SHA256:c/5+RMbf79VeNEzwtdtk9cvRoWIDDRg890ew82Hfj+g.
ECDSA key fingerprint is MD5:41:ce:da:7c:7d:ce:93:ed:6f:c3:1d:81:6d:02:18:3b.
Are you sure you want to continue connecting (yes/no)? yes
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@172.16.70.187's password:    # root@172.16.70.187登入密码

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'root@172.16.70.187'"
and check to make sure that only the key(s) you wanted were added.


# 在Server-02操作
[root@Server-02 ~]# ssh-keygen -l -f .ssh/authorized_keys
2048 SHA256:zyMrRak1AcDZf9SzJKKXLGwJwNjJfsdztHzF08t+URI root@wenCheng (RSA)

===================================================================================
例2:非交互式生成密钥对
[root@wenCheng ~]# ssh-keygen -f .ssh/id_rsa -N ''
Generating public/private rsa key pair.
Your identification has been saved in .ssh/id_rsa.
Your public key has been saved in .ssh/id_rsa.pub.
The key fingerprint is:
SHA256:/fbMSIjWa4wzqiuBs8y7bbvTk4DK4Qc3BB37rf4JGn0 root@wenCheng
The key's randomart image is:
+---[RSA 2048]----+
|  ...            |
| . ..            |
|  ..             |
|   .. .  .       |
| .o  . .S .      |
|o+.+. .  o o     |
|*o+o++.Eooo +    |
|o=o+++o.= o+ =   |
| o=**+++ +. . +  |
+----[SHA256]-----+

[root@wenCheng ~]# ls -l .ssh/
-rw-------. 1 root root 1679 Jun 18 17:47 id_rsa
-rw-r--r--. 1 root root  395 Jun 18 17:47 id_rsa.pub

[root@wenCheng ~]# ssh-keygen -l -f .ssh/id_rsa.pub
2048 SHA256:/fbMSIjWa4wzqiuBs8y7bbvTk4DK4Qc3BB37rf4JGn0 root@wenCheng (RSA)

[root@Server-02 ~]# ls -l .ssh/
-rw-------. 1 root root 395 Jun 18 17:49 authorized_keys
[root@Server-02 ~]#
[root@Server-02 ~]# ssh-keygen -l -f .ssh/authorized_keys
2048 SHA256:/fbMSIjWa4wzqiuBs8y7bbvTk4DK4Qc3BB37rf4JGn0 root@wenCheng (RSA)
  •  跳板机批量实现非交互式双机互信
#跳板机root@172.16.70.182需要和root@172.16.70.186~root@172.16.70.190配置双机互信
[root@wenCheng ~]# cat ~/sshKey.sh
#!/bin/bash
# 创建密钥对
ssh-keygen -t rsa -b 4096 -C WenCheng -f ~/.ssh/wencheng_rsa -P "123456" &>/dev/null

# 是否安装sshpass
rpm -q sshpass &>/dev/null || yum -y install sshpass &>/dev/null

#批量分发公钥
for ip in `grep Server all_hosts | awk '{print $2}'`
do
  echo "==== hsot $ip ===="
#  ssh-keyscan $ip >> ~/.ssh/known_hosts 2 > /dev/null
  sshpass -p 'centos' ssh-copy-id -i /root/.ssh/wencheng_rsa.pub -o StrictHostKeyChecking=no root@$ip &>/dev/null
  REVAL=$?
	if [ $REVAL -eq 0 ]
	then
	  echo -e "\033[32m Send publickey to host $ip success!!!\033[0m"
	  echo
	else
	  echo -e "\033[41;37m Send publickey to host $ip fail!!! \033[0m"
	  echo
	fi
done

[root@wenCheng ~]# cat ~/all_hosts
hostname	ip
Server-01	172.16.70.186
Server-02	172.16.70.187
Server-03	172.16.70.188
Server-04	172.16.70.189
Server-05	172.16.70.190

[root@wenCheng ~]# ls .ssh/
id_rsa  id_rsa.pub  known_hosts  wencheng_rsa  wencheng_rsa.pub

[root@wenCheng ~]# ssh -i .ssh/wencheng_rsa 172.16.70.186
Enter passphrase for key '.ssh/wencheng_rsa':        # 私钥密码 123456
Last login: Mon Jun 21 15:58:06 2021 from 172.16.70.182
[root@Server-01 ~]# hostname -I
172.16.70.186

虽然上面脚本实现了批量互信,但每次指定私钥的时候还得输入这个passphrase密码,此时该如何解决?

  • ssh-agent可以通过ssh-add命令向ssh-agent注册本机的私钥,ssh-agent会自动推导出这个私钥的指纹(实际上是ssh-add计算的)保存在自己的小本本里(内存),以后只要ssh连接某主机(某用户),将自动转发给ssh-agent,ssh-agent将自动从它的小本本里查找私钥的指纹并将其发送给服务端(sshd端)。如此一来,ssh客户端就无需再指定使用哪个私钥文件去连接。
  • 总的看上去,ssh-agent的角色就是帮忙存储、查找并发送对应的指纹而已,也就是说它是一个连接的转发人,扮演的是一个代理的角色。
  • ssh-agent命令基本用法。
ssh-agent就是一个密钥管理器,运行ssh-agent以后,使用ssh-add将私钥交给ssh-agent保管,其他程序需要身份验证的时候可以将验证申请交给ssh-agent来完成整个认证过程。
ssh-agent [options] [command [arg ...]
  -a bind_address:bind the agent to the UNIX-domain socket bind_address.
  -c:生成C-shell风格的命令输出。
  -d:调试模式。
  -k:把ssh-agent进程杀掉。
  -s:生成Bourne shell 风格的命令输出。
  -t life:设置默认值添加到代理人的身份最大寿命。

例:运行ssh-agent
shell> eval `ssh-agent`
shell> eval "$(ssh-agent)"
  •  ssh-add命令基本用法。
把专用密钥添加到ssh-agent的高速缓存中
ssh-add [options] [file ...]
  -D:删除ssh-agent中的所有密钥.
  -d:从ssh-agent中的删除密钥
  -e pkcs11:删除PKCS#11共享库pkcs1提供的钥匙。
  -s pkcs11:添加PKCS#11共享库pkcs1提供的钥匙。
  -L:显示ssh-agent中的公钥
  -l:显示ssh-agent中的密钥
  -t life:对加载的密钥设置超时时间,超时ssh-agent将自动卸载密钥
  -X:对ssh-agent进行解锁
  -x:对ssh-agent进行加锁

使用ssh-agent和ssh-add命令完美解决。

# 跳板机使用指定公钥远程连接服务器
[root@wenCheng ~]# ls .ssh/
id_rsa  id_rsa.pub  known_hosts  wencheng_rsa  wencheng_rsa.pub

[root@wenCheng ~]# eval `ssh-agent`
Agent pid 16800
[root@wenCheng ~]# ssh-add .ssh/wencheng_rsa
Enter passphrase for .ssh/wencheng_rsa:      # 只在这里输入私钥一次密码
Identity added: .ssh/wencheng_rsa (.ssh/wencheng_rsa)
[root@wenCheng ~]# ssh-add -l
4096 SHA256:m9Og2cC65AIfkT6/jXa/L09BUzBsyOV4V9t0XEmNK/0 .ssh/wencheng_rsa (RSA)

[root@wenCheng ~]# ssh 172.16.70.186    # 无需再输私钥密码
Last failed login: Mon Jun 21 16:11:53 CST 2021 from 172.16.70.182 on ssh:notty
There were 2 failed login attempts since the last successful login.
Last login: Mon Jun 21 15:59:50 2021 from 172.16.70.182
[root@Server-01 ~]# hostname -I
172.16.70.186
[root@Server-01 ~]# logout
Connection to 172.16.70.186 closed.

[root@wenCheng ~]# ssh 172.16.70.187    # 无需再输私钥密码
Last login: Mon Jun 21 15:58:10 2021 from 172.16.70.182
[root@Server-02 ~]# hostname -I
172.16.70.187
  •  查询ssh-agent PID 并结束进程
[root@wenCheng ~]# pgrep -l -f ssh-agent
16797 ssh-agent
16800 ssh-agent
[root@wenCheng ~]# ps -ef | grep ssh-agent
root      16797      1  0 16:13 ?        00:00:00 ssh-agent
root      16800      1  0 16:13 ?        00:00:00 ssh-agent

[root@wenCheng ~]# ssh-agent -k
[root@wenCheng ~]# pkill ssh-agent
  •  SSH 别名设置,此方法配合ssh 免密码登录 密钥登录可以快速登录服务器。
[root@wenCheng ~]# cat .ssh/config
Host Server-01
	HostName 172.16.70.186
	User root
	Port 22
	IdentityFile ~/.ssh/wencheng_rsa

Host Server-02
	Hostname 172.16.70.187
	User root
	Port 22
	IdentityFile ~/.ssh/wencheng_rsa


解析:
    Host:别名
    HostName:指定登录的主机名或IP地址
    Port:指定登录的端口号
    User:登录用户名
    IdentityFile:登录的私钥文件

[root@wenCheng ~]# eval `ssh-agent`
Agent pid 18137
[root@wenCheng ~]# ssh-add .ssh/wencheng_rsa
Enter passphrase for .ssh/wencheng_rsa:      # 前面已设置的密码 123456
Identity added: .ssh/wencheng_rsa (.ssh/wencheng_rsa)

[root@wenCheng ~]# ssh-add -l
4096 SHA256:m9Og2cC65AIfkT6/jXa/L09BUzBsyOV4V9t0XEmNK/0 .ssh/wencheng_rsa (RSA)

# 使用别名远程登录172.16.70.186,172.16.70.187 也已无需反复输入key密码
[root@wenCheng ~]# ssh Server-01
Last login: Tue Jun 22 16:14:04 2021 from 172.16.70.182
[root@Server-01 ~]# hostname -I
172.16.70.186
[root@Server-01 ~]# logout
Connection to 172.16.70.186 closed.

[root@wenCheng ~]# ssh Server-02
Last login: Tue Jun 22 16:13:51 2021 from 172.16.70.182
[root@Server-02 ~]# hostname -I
172.16.70.187

附:ssh排查问题

1.判断物理链路是否通ping   本身是icmp协议

2.判断服务是否正常
telnet 172.16.70.186
	
3.Linux防火墙
systemctl status firewalld  

4.打开ssh的调测进行观察
ssh -vvv Wen@172.16.70.186

 

分享到 :
相关推荐