SSH（secure shell）协议

一种安全通道协议，主要用来实现字符界面的远程登录、远程复制等功能。

协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入的用户口令

SSH客户端<-----------------网络------------------->SSH服务端
数据传输是加密的，可以防止信息泄漏

数据传输是压缩的，可以提高传输速度

SSH客户端: Putty、Xshell、 CRT

SSH服务端: OpenSSH

SSH服务端 OpenSSH

OpenSSH 是实现 SSH 协议的开源软件项目，适用于各种 UNIX、Linux 操作系统

Centos 7系统默认已安装openssh相关软件包，并已将 sshd 服务添加为开机自启动。

sshd 服务默认使用的是TCP的 22端口密文

telnet服务默认使用的是TCP的 23端口明文

服务名称 sshd

服务端主程序 /usr/sbin/sshd
服务端配置文件 /etc/ssh/sshd_config

执行 systemctl start sshd 命令即可启动 sshd 服务

ssh config和sshd config都是ssh服务器的配置文件，

二者区别在于ssh是针对客户端的配置文件，sshd则是针对服务端的配置文件。

配置openSSH 服务端

查看openssh服务是否启动

systemctl status sshd
netstat -lntp
ss -lntp

修改openssh配置

vim /etc/ssh/sshd_configPort 22                      #监听端口为 22 ✨
ListenAddress 0.0.0.0        #监听地址为任意网段，也可以指定openSSH服务器的具体IPLoginGraceTime 2m            #登录验证时间为 2 分钟
PermitRootLogin no           #禁止 root 用户登录 ✨
MaxAuthTries 6               #最大重试次数为 6PermitEmptyPasswords no      #禁止空密码用户登录 ✨
UseDNS no                    #禁用 DNS 反向解析，以提高服务器的响应速度

黑白名单设置（直接添加在sshd—config下方）

黑白名单的权限最高，若上方运行root用户登录但是白名单没有root用户，登录仍然失败

只允许zhangsan、lisi、wangwu用户登录
且其中wangwu用户仅能够从IP地址为61.23.24.25 的主机远程登录AllowUsers zhangsan lisi wangwu@61.23.24.25    #多个用户以空格分隔禁止某些用户登录，用法于Allowusers 类似(注意黑白名单不能同时使用)
DenyUsers zhangsan

连接ssh服务器

ssh root@192.168.80.101
ssh root@192.168.80.101 -p 2222 #指定端口
用户第一次登录时必须接收服务器发来的ECDSA秘钥（yes确认）后才能继续验证

接收的秘钥信息将保存到~/.ssh/known_host中。

补充：ssh远程执行命令并立刻退出
ssh root@192.168.80.101 ifconfig
ssh root@192.168.80.101 rm -f /opt/1.txt

设置ssh秘钥验证

sshd 服务支持两种验证方式

1.密码验证
对服务器中本地系统用户的登录名称、密码进行验证。简便，但可能会被暴力破解
2.密钥对验证

要求提供和匹配的密钥信息才能通过验班。通常先在客户端中创建一对密钥文件(公钥、私钥)，然后将公钥文件放到服务器中的指定位置。远程登录时，系统将使用公钥、私钥进行加密/解密关联验证。能增强安全性，且可以免交互登录。

公钥和私钥的关系

公钥和私钥是成对生成的，这两个密钥互不相同，可以互相加密和解密。
不能根据一个密钥来推算出另一个密钥。
公钥对外公开，私只有私钥的持有人才知道

设置ssh配置文件开启秘钥验证

当密码验证、密钥对验证都启用时，服务器将优先使用密对验证。可根据实际情况设置验证方式
vim /etc/ssh/sshd_configPasswordAuthentication yes                 #启用密码验证PubkeyAuthentication yes                   #✨启用密钥对验证AuthorizedKeysFile .ssh/authorized_keys    #指定公钥库文件(放在需要登录的对方用户对应的家目录中)  
systemctl restart sshd
#修改配置需要 重启服务
开启秘钥认证简要步骤

客户端 ssh-keygen -t rsa/ecdsa

客户端 ssh-copy-id -i [rsa/ecdsa.pub(公钥文件)] 被连接用户@[被连接主机IP/主机名]

在客户端(host1)创建密钥对

通过ssh-keygen工具为当前用户创建密钥对文件。可用的加密算法为RSA、ECDSA或DSA等(ssh-keygen命令的"-t"选项用于指定算法类型)。
[xue@host1 xue]$ ssh-keygen -t ecdsaGenerating public/private ecdsa key pair.
Enter file in which to save the key (/home/admin/.ssh/id_ecdsa):     #私钥存储位置 直接回车
Created directory '/home/admin/.ssh'.  #生成的私钥、公钥文件默认存放在宿主目录中的隐藏目录.ssh/下
Enter passphrase (empty for no passphrase):               #输入密码
Enter same passphrase again:                              #重复密码
Your identification has been saved in /home/admin/.ssh/id_ecdsa.
Your public key has been saved in /home/admin/.ssh/id_ecdsa.pub.
The key fingerprint is:
SHA256:ML23n9VaoN2vUVAiMRpVOgIGQGID/Lo0vPa1H/3+HkY admin@host1
The key's randomart image is:
+---[ECDSA 256]---+
|o.+.o...o ..=oo .|
| o o   o . o + o |
|  .   o . o o .  |
|   .   o . . . . |
|. .     S .  E. .|
| =      .. ..o = |
|. +  . . .. .o+ +|
| +  . . . ...o.+.|
|. .. ...  .o=oo..|
+----[SHA256]-----+
ls -l ~/.ssh/id_ecdsa*
#id ecdsa是私钥文件，权限默认为600;
#id ecdsa.pub是公钥文件，用来提供给 SSH 服务器
将公钥文件上传至服务器(host2)
scp ~/.ssh/id_ecdsa.pub root@192.168.80.102:/opt    #-P可以指定端口号或#此方法可直接在服务器的/home/xue/.ssh/目录中导入公钥文本,不用在做下一步
cd ~/.ssh/
ssh-copy-id -i id_ecdsa.pub root@192.168.80.102
在服务器(host2)中导入公钥文本
ssh root@192.168.80.102 #在host1客户端上使用ssh操作host2。直接去host2操作也行 
mkdir /home/xue/.ssh/
cat /opt/id_ecdsa.pub >> /home/xue/.ssh/authorized_keys #cat打印公钥内容重定向输出到公钥认证文件
#想要密钥登陆那个用户就放哪个用户家目录
此时完成了密钥登陆设置

有时会出现不生效的情况，可以检查认证文件的权限
[admin@host1 xue]$ ssh xue@192.168.80.102  
#此时再进行连接（注意连接使用的用户，需要是刚刚放置过公钥文件在家目录中的用户）Enter passphrase for key '/home/admin/.ssh/id_ecdsa':   #输入刚刚设置的秘钥密码
Last login: Fri Apr 21 23:07:51 2023 from 192.168.80.1[xue@host2 ~]$
若要实行免交互登录

有两种方法

1.在创建秘钥文件时不输入密码

2.若创建秘钥文件输入了密码，使用ssh会话代理（只有当前会话生效）
ssh-agent bash
ssh-add  #输入秘钥设置的密码

SCP 远程复制

下行复制
scp root@192.168.80.11:/etc/passwd /root/passwd10.txt    
#将远程主机中的/etc/passwd文件复制到本机上行复制
scp -r /etc/ssh/ root@192.168.80.10:/opt      # -r 代表文件夹
#将本机机的/etc/ssh 目录复制到远程主机
#指定端口传输
scp -P 22 /etc/ssh/1.txt root@192.168.80.101:/opt#SCP命令指定端口用-P而不是-p
SCP传输若对方有同名文件将会直接覆盖！！！

小技巧

不想输入长地址，或是位于同一文件夹中两机传输数据，可以使用 `` （双撇号，数字1左边）。在双撇号中的命令会被获取命令的结果。

例如`pwd` 就代表获取当前目录的路径，与前面的命令相结合
cd /etc/yum.repos.d/scp local.repo 192.168.80.102:/etc/yum.repos.d/
scp local.repo 192.168.80.102:`pwd`
#想要从本机/etc/yum.repos.d/传输到目标主机/etc/yum.repos.d/目录

SFTP 安全FTP

安全FTP由于使用了加密/解密技术，所以传输效率比普通的FTP要低，但使用 SSH协议连接安全性更高。
sftp zhangsan@192.168.80.102
sftp -P 22 zhangsan@192.168.80.102    #SCP命令指定端口用-P而不是-psftp> get 文件名    #下载文件到ftp目录
sftp> put 文件名    #上传文件到ftp目录
sftp> quit          #退出

TCP Wrappers 访问控制

TCP Wrappers (TCP封套)

将TCP服务程序"包裹"起来，代为监听TCP服务程序的端口，增加了一个安全检测过程，外来的连接请求必须先通过这层安全检测，恭得许可后才能访问真正的服务程序。大多数 Linux 发行版，TCP Wrappers 是默认提供的功能。
rpm -q tcp wrappers
TCP wrappers 保护机制的两种实现方式

1.直接使用 tcpd 程序对其他服务程序进行保护，需要运行 tcpd程序。

2.由其他网络服务程序调用 libwrap.so.*链接库，不需要运行 tcpd 程序。此方式的应用更加广泛，也更有效率

使用 ldd 命令可以查看程序是否含义 libwrap.so.*链接库,据此判断该程序是否支持tcp wrappers

一般sshd,vsftpd,telnet,pop3,imap都会支持（httpd不支持）
ldd $(which sshd) | grep libwrapwhich sshd   #which找出服务路径，传递给ldd，查看服务的链接库，并筛选出libwrap
ldd /usr/sbin/sshd | grep libwrapldd `which sshd` | grep libwrap#三种不同写法
TCP Wrappers 的访问策略

TCP wrappers 机制的保护对象为各种网络服务程序，针对访问服务的客户端地址进行访问控制。

对应的两个策略文件为/etc/hosts.allow 和/etc/hosts.deny，分别用来设置允许和拒绝的策略
格式:
<服务程序列表>:<客户端地址列表>(1) 服务程序列表
ALL: 代表所有的服务。
单个服务程序:如”vsftpd”。
多个服务程序组成的列表: 如”vsftpd,sshd”。
(2)客户端地址列表
ALL:代表任何客户端地址。
LOCAL: 代表本机址。
多个地址以逗号分隔
允许使用通配符“*” 和“?”，前者代表任意长度字符，后者仅代表一个字符
网段地址，如“192.168.80.”或者 192.168.80.0/255.255.255.0
区域地址，如“.benet.com”匹配“benet.com”域中所有主机
TCP wrappers 机制的基本原则

首先检查/etc/hosts.allow文件，如果找到相匹配的策略，则允许访问
否则继续检查/etc/hosts.deny文件，如果找到相匹配的策略，则拒绝访问
如果检查上述两个文件都找不到相匹配的策略，则允许访问。

允许所有，拒绝个别
只需在/etc/hosts.deny文件中添加相应的拒绝策略

允许个别，拒绝所有

除了在/etc/hosts.allow中添加允许策略之外

还需要在/etc/hosts.deny文件中设置"ALL:ALL"的拒绝策略。
实例

若只希望从IP地址为12.0.0.1的主机或者位于192.168.80.0/24网段的主机访问sshd服务，其他地址被拒绝
vi /etc/hosts.allowsshd:12.0.0.1,192.168.80.*#sshd,vstpd:12.0.0.1,192.168.80.* 两个服务的写法vi /etc/hosts.denysshd:ALL