(转)Linux SSH批量分发管理

Linux SSH批量分发管理

原文：http://blog.51cto.com/chenfage/1831166

第1章 SSH服务基础介绍

1.1 SSH服务

1.1.1SSH介绍

SSH是Secure Shell Protocol的简写，由IETF网络工作小组制定；在进行数据传输之前，SSH先对联机数据包通过加密技术进行加密处理，加密后再进行数据传输。

SSH是专为远程登录会话和其他网络服务提供的安全性协议，利用SSH协议可以有效的防止远程管理过程中的信息泄露问题，比telnet安全。

SSH服务主要提供两个服务功能：

(1)     类似telnet远程联机服务器的服务，即SSH服务。

(2)     类似FTP服务的sftp-server，借助SSH协议来传输数据的，提供更安全的SFTP服务。

SSH客户端还包含一个很有用的远程安全拷贝命令：scp。

 

知识小结：

(1)     SSH是安全的加密协议，用于远程连接Linux服务器。

(2)     SSH默认端口是22，有两个版本：SSH1与SSH2。

(3)     SSH服务端主要包含两个服务功能：SSH远程连接与SFTP服务。

(4)     Linux SSH客户端包含ssh远程连接命令，以及远程拷贝scp命令等。

1.1.2SSH相关软件

[root@m01 ~]# rpm -qa openssh openssl #<==与SSH服务相关的两个软件

openssh-5.3p1-111.el6.x86_64     #<==提供远程连接服务

openssl-1.0.1e-42.el6.x86_64     #<==提供加密服务

/etc/ssh/ssh_config            #<==SSH客户端配置文件

/etc/ssh/sshd_config         #<==SSH服务端配置文件

1.1.3查看SSH服务

[root@m01 ~]# /etc/init.d/sshd status    #<==查看ssh服务的运行状态

openssh-daemon (pid  1273) 正在运行...

[root@m01 ~]# netstat -tunlp |grep -w"22" #<==对外侦听的端口是tcp:22

tcp       0      0 0.0.0.0:22       0.0.0.0:*        LISTEN      1273/sshd

tcp       0      0 :::22            :::*            LISTEN      1273/sshd

[root@m01 ~]# ps -ef |grep sshd       #<==查看进程

root      1273      1  0 23:04 ?        00:00:00 /usr/sbin/sshd

root      1430   1273  0 23:37 ?        00:00:00 sshd: root@pts/0

root      1478   1432  0 23:47 pts/0    00:00:00 grep --color=auto sshd

[root@m01 ~]# lsof -i tcp:22          #<==对外侦听的端口是tcp:22

COMMAND  PIDUSER   FD   TYPE DEVICE SIZE/OFF NODE NAME

sshd    1273root    3u  IPv4 10360      0t0  TCP *:ssh (LISTEN)

sshd    1273 root   4u  IPv6  10362     0t0  TCP *:ssh (LISTEN)

sshd    1430root    3r  IPv4 11455      0t0  TCP 10.0.0.61:ssh->10.0.0.1:50158(ESTABLISHED)

1.2 SSH1.X的联机过程

过程如下：

(1)     服务端先产生768字节的公钥

(2)     客户端主动发起请求

(3)     服务端将公钥发给客户端，客户端利用公钥计算机出独一无二的私钥，并将两者整合成密钥对（pair），再发送给服务端

(4)     之后，客户与服务端就利用这独一无二的密钥对，来相互交流

[root@m01 ~]# grep Protocol /etc/ssh/sshd_config  #<==协议为2

Protocol 2

[root@m01 ~]# grep ServerKey /etc/ssh/sshd_config #<==公钥长度

#ServerKeyBits 1024

1.2.1客户端第1次连接服务端

[root@s1 ~]# ssh 10.0.0.61    #<==客户端第一次连接服务端时，没有服务端的公钥

The authenticity of host '10.0.0.61 (10.0.0.61)'can't be established.

RSA key fingerprint is6d:5c:ed:4e:74:5b:ad:0f:52:94:26:b5:44:57:1f:8f.

Are you sure you want to continue connecting(yes/no)?  #<==所以会弹出这个对话框，我们要在这里输入yes，再输入服务端的密码。

Warning: Permanently added '10.0.0.61' (RSA) tothe list of known hosts.

root@10.0.0.61's password: xxxxxx             #<==输入服务端的密码

Last login: Wed Jul 27 00:00:38 2016 from 10.0.0.1

[root@m01 ~]#                    #<==远程登录成功

~在客户端查看服务端的公钥，最好再克隆一个窗口

[root@s1 ~]# ls ~/.ssh/                    #<==服务端公钥的存放位置

known_hosts                  #<==只要客户端连接过服务端，就会产生这个文件

[root@s1 ~]# cat ~/.ssh/known_hosts  #<==查看服务端公钥的内容

10.0.0.61 ssh-rsaAAAAB3NzaC1yc2EAAAABIwAAAQEAyNNGcTUQeoCPw+Inhd6M3KicWQuftqNfjtMOxWJBPvvP8s4zmiqLbfa5ZGLOtaVSgPBPN5Lslzy1jYlyXJAM9dHhd+yCwJ33ZaFw+y8K7uaipBMdRwcJ5N92rkV2DZagCAytqptvfnyj/aUFmVeAF6g99XrLgWuZUQ2Nk51b8NSgkbtRGSlR4e0z2RBSP1RE2vza5ZfW06dyRbZy4VDSc6aA5IpReECVlqAmIqcNdXD+ak73FXdHLzcBf6DYPXiHFUWs23YCaLPI6q6qFQyu7kLU6qXB3H5LzNfNJRj6qJgHeqUt4b15GGDag4B5jZYV87bvjWprgWwPIseNRtuBFQ=

1.2.2客户端第2次连接服务端

[root@s1 ~]# ssh 10.0.0.61     #<==再次远程登录服务端

root@10.0.0.61's password:xxxxxx  #<==直接提示输入服务端的密码

#<==因为已经有服务端的公钥了

Last login: Wed Jul 27 00:20:45 2016 from 10.0.0.1

1.2.3SSH2.X的联机过程

SSH2.x多加了一个确认联机正确性的Diffle-Hellman机制。

1.3 SSH服务认证类型

有两种，分别是：

r 基于口令的安全验证

r 基于密钥的安全验证

1.3.1基于口令的安全验证

[root@s1 ~]# ssh 10.0.0.61     #<==远程连接到服务器上

root@10.0.0.61's password:      #<==输入服务端的密码

Last login: Wed Jul 27 00:31:34 2016 from 10.0.0.1

[root@m01 ~]# logout          #<==注销

Connection to 10.0.0.61 closed.

[root@s1 ~]#

1.3.2基于密钥的安全验证

需要依靠密钥，必须事先建立一对密钥对，然后把公钥放在需要访问的目标服务器上，把私钥放到SSH客户端上。

简单记忆，公钥（id_dsa.pub）是锁，私钥（id_dsa）是钥匙，只有钥匙才能开锁。

1.4 更改SSH默认登录配置

更改前，先备份，只需要更改5个地方。

[root@m01 ~]# \cp /etc/ssh/sshd_config{,.ori}  #<==更改前，先备份

[root@m01 ~]# vim /etc/ssh/sshd_config       #<==修改配置文件

13 Port 52113                      #<==对外监听的端口

15 ListenAddress172.16.1.61:52113          #<==只在本机的内网口侦听ssh服务，端口52113

42 PermitRootLoginno                   #<==不允许root用户登录

65 PermitEmptyPasswords no            #<==不允许空密码登录

80 GSSAPIAuthentication no            #<==解决连接慢的问题

122 UseDNS no                  #<==不使用DNS做反向解析

[root@m01 ~]# /etc/init.d/sshd reload      #<==平滑重启

重新载入 sshd：                      [确定]

1.4.1一键修改SSH的配置文件

\cp /etc/ssh/sshd_config{,.ori}

sed -ir '13 iPort 52113\nPermitRootLoginno\nPermitEmptyPasswords no\nGSSAPIAuthentication no\nUseDNS no' /etc/ssh/sshd_config

/etc/init.d/sshd reload

1.4.2牦牛阵法

所有的服务器都不能被ssh连接管理，只有管理服务器能从内网卡连接到所有的服务器来管理。外网可以通过vpn拨号来管理，外网口全部不允许被连接管理，这样做是为了安全。

1.4.3验证

[root@s1 ~]# ssh -p52113 oldboy@172.16.1.61  #<==指定端口，指定用户名

oldboy@172.16.1.61's password: xxxxxx      #<==输入oldboy的密码

[oldboy@m01 ~]$ hostname               #<==连接成功

m01

[oldboy@m01 ~]$ whoami                #<==查看用户

oldboy

[oldboy@m01 ~]$ sudo su -           #<==通过sudo切换到root用户来管理

[root@m01 ~]# whoami

root

注意：windows 客户端利用Secure CRT连接时，用户名和端口也要修改！

r 用户名：oldboy

r 端口：52113

1.4.4如何防止SSH登录入侵小结

(1)     用密钥登录，不用密码登陆

(2)     牦牛阵法：解决SSH安全问题

r 防火墙封闭SSH，指定源IP限制

r 开启SSH只监听本地内网IP（ListenAddress 172.16.1.61:52113）

(3)     尽量不给服务器外网IP

1.5 SSH命令详解

1.5.1SSH命令用法

ssh -p52113 oldboy@172.16.1.61 [ 命令 ]

ssh：固定命令

-p：指定端口

oldboy：服务端的用户名，以什么身份连接服务端

@：分隔符

172.16.1.61：服务端的内网IP

[ 命令 ]：连接到远程服务器，执行命令；但不登录到远程服务器

1.5.1.1 直接连接远程服务器

[root@s1 ~]# ssh -p52113 oldboy@172.16.1.61

oldboy@172.16.1.61's password:

Last login: Wed Jul 27 13:31:13 2016 from 10.0.0.1

[oldboy@m01 ~]$ exit

1.5.1.2 连接远程服务器执行命令

[root@s1 ~]# ssh -p52113 oldboy@172.16.1.61/sbin/ifconfig eth0

oldboy@172.16.1.61's password:

eth0     Link encap:Ethernet  HWaddr00:0C:29:FD:28:FD

inet addr:10.0.0.61  Bcast:10.0.0.255  Mask:255.255.255.0

inet6 addr: fe80::20c:29ff:fefd:28fd/64 Scope:Link

UPBROADCAST RUNNING MULTICAST MTU:1500  Metric:1

RXpackets:3574 errors:0 dropped:0 overruns:0 frame:0

TXpackets:2443 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:1000

RXbytes:329346 (321.6 KiB)  TX bytes:443310(432.9 KiB)

1.5.2scp命令

scp - secure copy (remote file copy program)

每次都是全量拷贝，增量拷贝用rsync。

可以推（push，本地文件在前）和拉（pull，远端文件在前）。

1.5.2.1 参数

-P：指定端口

-r：递归复制目录

-p：复制目录时，保持属性

-l：限速Kbit/s

1.5.2.2 Push（推）

~客户端将hosts文件复制到服务端

[root@s1 ~]# scp -P52113 /etc/hostsoldboy@172.16.1.61:/tmp

oldboy@172.16.1.61's password:

hosts

[root@m01 ~]# ls /tmp/     #<==服务端验证

hosts

~客户端将/etc目录复制到服务端的/tmp下

[root@s1 ~]# scp -P52113 -rp /etcoldboy@172.16.1.61:/tmp

[root@m01 ~]# ll -d /tmp/etc/  #<==服务端验证

drwxr-xr-x 90 oldboy oldboy 4096 2016-07-26 20:32/tmp/etc/

1.5.2.3 Pull（拉）

~客户端将服务端的/tmp/etc目录复制到客户端的/data下

[root@s1 ~]# scp -P52113 -rpoldboy@172.16.1.61:/tmp/etc /data

[root@s1 ~]# ll -d /data/etc/

drwxr-xr-x 90 root root 4096 2016-07-26 20:32/data/etc/

1.5.2.4 scp知识小结

(1)     scp是加密的远程copy，而cp仅为本地copy。

(2)     可以把数据从一台机器推送到另一台机器，也可以从其它服务把数据拉回到本地执行命令的服务器。

(3)     每次都是全量完整copy，因此，效率不高，适合第一次copy用，如果需要增量copy，用rsync。

1.5.3sftp命令（几乎不用！）

这个工具比较危险！不支持上传目录。

windows客户端和linux服务器之间传输数据工具：

(1)     rz、sz（lrzsz）

(2)     winscp WinSCP-v4.0.5

(3)     SFX（xshell）

(4)     SFTP                       #<==基于ssh加密传输

(5)     samba、http、ftp、nfs

[root@s1 ~]# sftp -oPort=52113 oldboy@172.16.1.61  #<==s1是客户端

Connecting to 172.16.1.61...

oldboy@172.16.1.61's password:

sftp> pwd                            #<==查看当前目录，是当前连接用户的家目录

Remote working directory: /home/oldboy

sftp> put /etc/hosts        #<==上传文件

Uploading /etc/hosts to /home/oldboy/hosts /etc/hosts  100% 330  0.3KB/s   00:00

sftp> put /etc/hosts /tmp      #<==上传文件到指定目录下

Uploading /etc/hosts to /tmp/hosts /etc/hosts     100% 330   0.3KB/s  00:00

sftp> cd /tmp          #<==也可以切换路径

sftp> pwd

Remote working directory: /tmp

sftp> ls             #<==也可以查看当前目录的内容

etc    hosts

sftp> get hosts          #<==下载文件

sftp> get hosts /home       #<==下载文件到指定目录下

1.6 报错集

1.6.1Connection refused

(1)     有可能是防火墙阻挡

(2)     有可能端口改变了

(3)     有可能对端服务没开

[root@s1 ~]# ssh -p22 oldboy@172.16.1.61/sbin/ifconfig eth0

ssh: connect to host 172.16.1.61 port 22: Connection refused

1.6.2no route to host

可能是防火墙影响了

1.7 章节重点小结

(1)     ssh为加密的远程连接协议，相关软件有：openssh、openssl

(2)     默认端口是22

(3)     版本有1.x和2.x

(4)     服务端远程连接服务：sftp服务、sshd守护进程

(5)     客户端：ssh、scp、sftp命令

(6)     安全验证方式：口令和密钥

(7)     服务安全优化：修改默认端口22，禁止root远程连接和dns反向解析，ssh听监听内网IP

(8)     密钥对：公钥（id_dsa.pub）在服务端（锁头），私钥（id_dsa）在客户端（钥匙）

第2章 SSH批量管理分发项目实战

基于口令的安全验证：

如何实现批量管理：expect、pssh、sshpass。

基于密钥的安全验证：

需要依靠密钥，必须事先建立一对密钥对，然后把公钥放在需要访问的目标服务器上，把私钥放到SSH客户端上。

公钥（id_dsa.pub）是锁（服务端），私钥（id_dsa）是钥匙（客户端），只有钥匙才能开锁。

2.1 实战环境

2.2 拓扑图

2.3 操作步骤

2.3.1所有机器创建用户及密码

所有的密钥都是基于用户的！用户统一用oldgirl。

useradd oldgirl

echo 123456|passwd --stdin oldgirl

id oldgirl

su - oldgirl

2.3.2m01创建密钥对

ssh-keygen -t dsa       #<==手动生成，一路向北

ssh-keygen -t dsa -P '' -f ~/.ssh/id_dsa>/dev/null 2>&1

echo -e "\n"|ssh-keygen -t dsa -N""

#<==非交互式创建密钥（两种），推荐要第一种

~操作过程

[oldgirl@m01 ~]$ ssh-keygen -t dsa     #<==-t指定dsa加密算法，一路回车

Generating public/private dsa key pair.   #<==产生dsa密钥对

Enter file in which to save the key (/home/oldgirl/.ssh/id_dsa): #<==私钥存放路径

Created directory '/home/oldgirl/.ssh'.

Enter passphrase (empty for no passphrase):

Enter same passphrase again:

Your identification has been saved in /home/oldgirl/.ssh/id_dsa.  #<==私钥

Your public key has been saved in /home/oldgirl/.ssh/id_dsa.pub.  #<==公钥

The key fingerprint is:                                #<==指纹

81:a2:0b:80:27:e3:f3:14:dc:bb:3e:c8:54:a5:e7:beoldgirl@m01

The key's randomart image is:

+--[ DSA 1024]----+

|                |

|. . . o         |

|= .o..+ .       |

|o+ ..+.. .      |

|.o....o S       |

| .+o ..         |

| +....          |

|   o...         |

|    ..E.        |

+-----------------+

[oldgirl@m01 ~]$ ll ~/.ssh/                   #<==查看密钥对

总用量 8

-rw------- 1 oldgirl oldgirl 668 2016-07-27 16:30id_dsa      #<==私钥（钥匙）

-rw-r--r-- 1 oldgirl oldgirl 601 2016-07-27 16:30id_dsa.pub   #<==公钥（锁）

2.3.3先优化sshd的配置文件

所有服务器都执行以下的命令。

\cp /etc/ssh/sshd_config{,.ori}

sed -ir '13 iPort 52113\nPermitRootLoginno\nPermitEmptyPasswords no\nGSSAPIAuthentication no\nUseDNS no'/etc/ssh/sshd_config

/etc/init.d/sshd reload

2.3.4m01分发公钥

ssh-copy-id -i ~/.ssh/id_dsa.puboldgirl@172.16.1.41

#<==默认端口

ssh-copy-id -i ~/.ssh/id_dsa.pub "-p 52113 oldgirl@172.16.1.31"

#<==更改过的端口

操作过程如下：

~默认22端口

[oldgirl@m01 ~]$ ssh-copy-id -i ~/.ssh/id_dsa.puboldgirl@172.16.1.41

[oldgirl@backup ~]$ ll ./.ssh/               #<==在172.16.1.41上验证

总用量 4

-rw------- 1 oldgirl oldgirl 601 2016-07-27 16:53 authorized_keys   #<==公钥名被改了

[root@backup .ssh]# grep authorized_keys/etc/ssh/sshd_config

#AuthorizedKeysFile     .ssh/authorized_keys  #<==因为默认配置文件里有指定了

~更改过的端口：52113

[oldgirl@m01 ~]$ ssh-copy-id -i ~/.ssh/id_dsa.pub"-p 52113 oldgirl@172.16.1.31"

[oldgirl@nfs01 ~]$ ll .ssh/              #<==在172.16.1.31上验证

总用量 4

-rw------- 1 oldgirl oldgirl 601 2016-07-27 17:05 authorized_keys   #<==公钥名被改了

[root@nfs01 ~]# grep authorized_keys/etc/ssh/sshd_config

#AuthorizedKeysFile     .ssh/authorized_keys #<==因为默认配置文件里有指定了

2.3.5测试

连接所有的机器，不提示密码可以直接操作，这是成功的标志！

[oldgirl@m01 ~]$ ssh -p52113 oldgirl@172.16.1.8/sbin/ifconfig eth0

[oldgirl@m01 ~]$ ssh -p52113 oldgirl@172.16.1.31/sbin/ifconfig eth0

[oldgirl@m01 ~]$ ssh -p52113 oldgirl@172.16.1.41/sbin/ifconfig eth0

2.3.6批量管理脚本（执行命令）

[oldgirl@m01 ~]$ mkdir server/scripts -p

cd server/scripts/

cat >>view_ip.sh<<EOF

#!/bin/sh

ssh -p52113 oldgirl@172.16.1.8 /sbin/ifconfig eth0

ssh -p52113 oldgirl@172.16.1.31 /sbin/ifconfigeth0

ssh -p52113 oldgirl@172.16.1.41 /sbin/ifconfigeth0

EOF

sh view_ip.sh

2.3.7优化脚本※※※※※

[oldgirl@m01 scripts]$ cp view_ip.sh{,.ori}

[oldgirl@m01 scripts]$ cat view_ip.sh

#!/bin/sh

. /etc/init.d/functions#<==调用系统函数库

if [ $# -ne 1 ];then#<==传参的个数如果不等于1

echo"USAGE:/bin/sh $0 ARG"#<==打印帮助信息

exit#<==并退出，让用户再次输入

fi

for n in 8 31 41

do

echo=========172.16.8.$n=========

ssh-p52113 oldgirl@172.16.1.$n "$1"#<==$1代表第1个参数

done

~验证

[oldgirl@m01 scripts]$ sh view_ip.sh  #<==必须要加一个参数，否则报错

USAGE:/bin/sh view_ip.sh ARG

[oldgirl@m01 scripts]$ sh view_ip.sh "cat/etc/redhat-release"

#<==后面的参数，用双引号引起来

=========172.16.8.8=========

CentOS release 6.7 (Final)

=========172.16.8.31=========

CentOS release 6.7 (Final)

=========172.16.8.41=========

CentOS release 6.7 (Final)

[oldgirl@m01 scripts]$ sh view_ip.sh"/sbin/ip a |grep eth1"  #<==超级强大！

=========172.16.8.8=========

3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP>mtu 1500 qdisc pfifo_fast state UP qlen 1000

inet172.16.1.8/24 brd 172.16.1.255 scope global eth1

=========172.16.8.31=========

3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP>mtu 1500 qdisc pfifo_fast state UP qlen 1000

inet172.16.1.31/24 brd 172.16.1.255 scope global eth1

=========172.16.8.41=========

3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP>mtu 1500 qdisc pfifo_fast state UP qlen 1000

inet172.16.1.41/24 brd 172.16.1.255 scope global eth1

2.4 实现提权多种解决方案实践

企业里实现ssh方案：3种。

2.4.1直接root用户分发sshkey

条件：允许root用户ssh登录。

2.4.2利用suid实现没有权限用户拷贝（只做了解！）

一个命令如果设置了suid，那么任何用户执行这个命令，就会有与这个命令属主相同的权限。

[root@nfs01 ~]# chmod u+s `which rsync`           #<==在nfs01上给命令授权

#<==在m01上实现推送

[oldgirl@m01 ~]$ scp -P52113 hostsoldgirl@172.16.1.31:~   #<==先把文件推送过去

[oldgirl@m01 ~]$ ssh -p52113 oldgirl@172.16.1.31rsync ~/hosts /etc/hosts

#<==再利用已授权的命令来强制执行覆盖

2.4.3sudo提权实现没有权限用户拷贝※

所有的服务都配置sudoers文件：

#<==让所有的服务器都允许oldgirl用户使用rsync命令

echo "oldgirl ALL= NOPASSWD:/usr/bin/rsync" >>/etc/sudoers

visudo -c

[oldgirl@m01 ~]$ cp /etc/hosts .           #<==先把hosts文件拷贝到oldgirl的家目录

[oldgirl@m01 ~]$ scp -P52113 hostsoldgirl@172.16.1.8:~ #<==将本地文件推送到远端

[oldgirl@m01 ~]$ rsync -avz hosts -e 'ssh -p52113' oldgirl@172.16.1.8:~

#<==增量推送，它是加密的

#<==远程sudo，将远端家目录下的hosts文件直接覆盖/etc目录下的hosts文件

[oldgirl@m01 ~]$ ssh -p52113 -t oldgirl@172.16.1.8sudo rsync ~/hosts /etc/hosts

2.4.4批量分发文件脚本

[oldgirl@m01 ~]$ mkdir server/scripts -p

cd server/scripts/

cat >>fenfa.sh<<EOF

#!/bin/sh

scp -P52113 hosts oldgirl@172.16.1.31:~

ssh -p52113 -t oldgirl@172.16.1.31 sudo rsync~/hosts /etc/hosts

scp -P52113 hosts oldgirl@172.16.1.41:~

ssh -p52113 -t oldgirl@172.16.1.41 sudo rsync~/hosts /etc/hosts

scp -P52113 hosts oldgirl@172.16.1.8:~

ssh -p52113 -t oldgirl@172.16.1.8 sudo rsync~/hosts /etc/hosts

EOF

sh view_ip.sh

2.4.5优化脚本※※※※※

[oldgirl@m01 scripts]$ cp fenfa.sh fenfa1.sh

[oldgirl@m01 scripts]$ cat fenfa1.sh

#!/bin/sh

. /etc/init.d/functions

for n in 8 31 41

do

scp-P52113 ~/hosts oldgirl@172.16.1.${n}:~ >/dev/null 2>&1 &&\

ssh-p52113 -t oldgirl@172.16.1.$n sudo rsync ~/hosts /etc/hosts >/dev/null2>&1

if [ $?-eq 0 ];then

action"fenfa hosts 172.16.1.$n" /bin/true

else

action"fenfa hosts 172.16.1.$n" /bin/false

fi

done

~可以实现输入要复制的文件，直接可以推送到远程的服务器

[oldgirl@m01 scripts]$ cp fenfa1.sh fenfa2.sh

[oldgirl@m01 scripts]$ cat fenfa2.sh

#!/bin/sh

. /etc/init.d/functions#<==调用函数库

if [ $# -ne 2 ];then#<==$#代表传参的个数，ne代表如果不等于2个

echo"USAGE:/bin/sh $0 ARG1 ARG2"#<==打印帮助信息

exit#<==并退出，让用户再次输入

fi

for n in 8 31 41

do

scp-P52113 ~/$1 oldgirl@172.16.1.${n}:~ >/dev/null 2>&1 &&\#<==$1代表第1个参数

ssh-p52113 -t oldgirl@172.16.1.$n sudo rsync ~/$1 $2 >/dev/null 2>&1#<==$2代表第2个参数

if [ $?-eq 0 ];then#<==$?返回值是0，代表执行成功

action"fenfa hosts 172.16.1.$n" /bin/true

else

action"fenfa hosts 172.16.1.$n" /bin/false

fi

done

~验证

[oldgirl@m01 scripts]$ cd ../..

[oldgirl@m01 ~]$ touch a.txt

[oldgirl@m01 ~]$ sh server/scripts/fenfa2.sh

2.5 自动化批量管理方案

(1)     最简单常用ssh key，功能最强大，一般中小型企业会用，50—100台以下。

(2)     sina cfengine/puppet较早的批量管理工具，现在基本没有企业用。

(3)     门户级别比较流行的，puppet批量管理工具，复杂，笨重。

(4)     saltstack批量管理工具，特点：简单，功能强大，赶集网，小米，一些CDN公司。

(5)     http+cron

批量管理路线：sshkey  cfengine puppet  saltstack/ansible

2.6 expect非交互式功能

在m01上执行：

rpm -qa expect

yum install expect -y

#<==安装expect软件包后，会附带安装上mkpasswd命令，该命令可以生成随机字符串

[root@m01 ~]# mkpasswd -l 20   #<==生成随机字符串，-l参数指定生成字符串的长度

zo1bviqOf(xoj4uduxKc

2.6.1非交互密钥分发

2.6.2添加用户（所有机器）

useradd oldgirl888

echo 123456|passwd --stdin oldgirl888

id oldgirl888

2.6.3m01创建密钥对

su - oldgirl888

ssh-keygen -t dsa -P '' -f ~/.ssh/id_dsa>/dev/null 2>&1

2.6.4m01分发公钥expect脚本

[oldgirl888@m01 ~]$vim fenfa_sshkey.exp

#!/usr/bin/expect

if { $argc !=2 } {

send_user"usage:expect fenfa-expect.exp file host\n"

exit

}

#define var

set file [lindex $argv 0]

set host [lindex $argv 1]

set password "123456"

#spawn scp /etc/hosts root@10.0.0.142:/etc/hosts

#spawn scp -P52113 $file oldboy@$host:$dir

spawn ssh-copy-id -i $file "-p52113oldgirl888@$host"

expect {

"yes/no"   {send "yes\r";exp_continue}

"*password"   {send "$password\r"}

}

expect eof

exit -onexit {

send_user"Oldboy say good bye to you!\n"

}

#scripts uasge

#expect oldboy-6.exp file host dir

#expamle

#expect fenfa_sshkey.exp file host

#./fenfa_sshkey.exp ~/hosts 172.16.1.41:~/hosts

~验证

[oldgirl888@m01 ~]$ expect fenfa_sshkey.exp.ssh/id_dsa.pub 172.16.1.31#<==管理机

[oldgirl888@nfs01 ~]$ ls .ssh/ #<==服务端，可以看到公钥被推送过来了

authorized_keys

[oldgirl888@m01 ~]$ ssh -p52113 oldgirl888@172.16.1.31/sbin/ifconfig eth0

eth0     Link encap:Ethernet  HWaddr00:0C:29:21:26:C7

inet addr:10.0.0.31 Bcast:10.0.0.255 Mask:255.255.255.0

inet6 addr: fe80::20c:29ff:fe21:26c7/64 Scope:Link

UPBROADCAST RUNNING MULTICAST MTU:1500  Metric:1

RX packets:17426 errors:0 dropped:0overruns:0 frame:0

TXpackets:10238 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:1000

RXbytes:4460294 (4.2 MiB)  TX bytes:1158786(1.1 MiB

2.6.5m01分发公钥脚本

循环expect脚本，达到非交互式的功能；

循环脚本如下：（fenfa_sshkey.sh）

[oldgirl888@m01 ~]$ cat fenfa_sshkey.sh

#!/bin/sh

. /etc/init.d/functions

for ip in 8 31 41

do

expectfenfa_sshkey.exp ~/.ssh/id_dsa.pub 172.16.1.$ip >/dev/null 2>&1

if [ $?-eq 0 ];then

action"$ip" /bin/true

else

action"$ip" /bin/false

fi

done

第3章 一键给多台服务器安装vsftpd服务

几乎所有的操作，全部在管理机上面操作。

3.1 创建用户（所有机器）

useradd oldboy888

echo 123456|passwd --stdin oldboy888

id oldboy888

3.2 配置sudoers（所有机器）

echo "oldboy888 ALL= NOPASSWD: ALL">>/etc/sudoers

visudo -c

su - oldboy888

3.3 脚本（m01）

3.3.1脚本路径

[root@m01 ~]# tree /home/oldboy888/

/home/oldboy888/

├── auto_deploy.sh       #<==一键安装软件的脚本（最后执行这个脚本）

├── fenfa_sshkey.exp       #<==一键分发公钥的脚本

└── scripts

└── install.sh     #<==安装vsftpd软件的脚本

1 directory, 3 files

3.3.2安装软件

[oldboy888@m01 ~]$ mkdir scripts

[oldboy888@m01 ~]$ vim scripts/install.sh

[oldboy888@m01 ~]$ cat scripts/install.sh

yum install vsftpd -y

3.3.3分发公钥

[oldboy888@m01 ~]$ cat fenfa_sshkey.exp

#!/usr/bin/expect

if { $argc !=2 } {

send_user"usage:expect fenfa-expect.exp file host\n"

exit

}

#define var

set file [lindex $argv 0]

set host [lindex $argv 1]

set password "123456"

#spawn scp /etc/hosts root@10.0.0.142:/etc/hosts

#spawn scp -P52113 $file oldboy@$host:$dir

spawn ssh-copy-id -i $file "-p52113oldboy888@$host"

expect {

"yes/no"        {send"yes\r";exp_continue}

"*password"     {send"$password\r"}

}

expect eof

exit -onexit {

send_user"Oldboy say good bye to you!\n"

}

#scripts uasge

#expect oldboy-6.exp file host dir

#expamle

#expect fenfa_sshkey.exp file host

#./fenfa_sshkey.exp ~/hosts 172.16.1.41:~/hosts

3.3.4一键安装软件

[oldboy888@m01 ~]$ cat auto_deploy.sh

#!/bin/sh

. /etc/init.d/functions

##1.Product key pair

ssh-keygen -t dsa -P '' -f ~/.ssh/id_dsa>/dev/null 2>&1

if [ $? -eq0 ];then

action"create dsa $ip" /bin/true

else

action"create dsa $ip" /bin/false

exit 1

fi

##2.Distribute pub key

for ip in 8 31 41

do

expectfenfa_sshkey.exp ~/.ssh/id_dsa.pub 172.16.1.$ip >/dev/null 2>&1

if [ $?-eq 0 ];then

action"$ip" /bin/true

else

action"$ip" /bin/false

fi

done

##3.Distribute fenfa scripts

for n in 8 31 41

do

scp -P52113 -rp ~/scripts oldboy888@172.16.1.$n:~

done

##4.Install service soft

for m in 8 31 41

do

ssh -t -p52113 oldboy888@172.16.1.$m sudo /bin/bash ~/scripts/install.sh

done

3.4 一键完美安装

见证奇迹的时刻！

[oldboy888@m01 ~]$ sh -x auto_deploy.sh       #<==参数-x可以看到执行脚本的过程

省略……

已安装:

vsftpd.x86_64 0:2.2.2-21.el6

完毕！

Connection to 172.16.1.41closed.

3.5 打包备份

[root@m01 ~]# cd /home/

[root@m01 home]# tar zcvfauto_install_vsftpd_scripts.tar.gz ./oldboy888

[root@m01 home]# szauto_install_vsftpd_scripts.tar.gz -y

备份包存放路径：

I:\00-老男孩培训-软件\01-备份包

3.6 vim批量替换的方法

需求：把oldboy888替换为gongli

:%s@oldboy888@gongli@g