9、ssh服务详解及优化

ssh是“secure shell protocol”的简写，在进行数据传输之前，ssh先对练级数据包通过加密技术进行加密处理，

加密后再进行数据的传输，从而确保了数据的安全；

ssh是专为远程登录会话和其它网络服务提供安全性协议，利用ssh协议可以有效的防止远程管理过程中的信息泄露问题

在当前的生产环境运维中，绝大多数企业普遍采用ssh协议服务来代替传统的不安全的远程联机服务软件，如telnet(23端口，非加密)；

在默认的情况下，ssh服务提供两个服务功能：一个类似telnet远程联机服务，即ssh远程联机，另一个类似

FTP服务的sftp-server，借助ssh协议来传输数据，提供更安全的sftp服务；

ssh客户端包含一个安全的远程拷贝命令scp；

9.1、查看端口号：

[root@web01 ~]# netstat -tunlp | grep sshd

tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1827/sshd

#0.0.0.0（代表监听所有网卡）:22端口号

tcp 0 0 :::22 :::* LISTEN 1827/sshd

9.2、启动：/etc/init.d/start

9.3、查看进程：ps -ef | grep sshd | grep -v grep

9.4、开机自启动：chkconfig sshd on

[root@web01 .ssh]# chkconfig --list sshd

sshd 0:关闭 1:关闭 2:启用 3:启用 4:启用 5:启用 6:关闭

1、根据端口号查出对应的服务

lsof -i :22

netstat -tunlp | grep -w 22

2、根据进程名查看对应的端口号：

netstat -tunlp | grep “sshd”

9.5、ssh小结：

1、ssh连接命令基本语法使用：

ssh -p22 lc@172.16.1.41

-p：接端口，默认22端口是可以省略

@：

@前面为用户名，如果用当前用户连接可以不指定用户

@后面为要连接的服务器的ip

2、提示：ssh -p52113 lc@172.16.1.41 /sbin/ifconfig eth0(会提示输入远程服务器的密码)

此命令表示ssh到远程服务器，执行命令，但是还是在本地服务器上

3、ssh连接报错：

（1）ssh -p22 lc@172.16.1.41

ssh: connect to host 10.0.0.61 port 52113: Connection refused #拒接连接

原因：远程服务器端口服务没有启动、端口不对，可能是防火墙

（2）no route to host

原因：防火墙可能没有关闭

4、知识点：

ssh是安全的加密协议，用于远程连接linux服务器

ssh默认端口号是22，安全协议版本ssh2，出了2之外还有ssh1（有漏洞）

ssh服务端主要包含两个服务功能ssh远程连接和sftp服务

linux ssh客户端包含ssh远程连接命令，以及远程拷贝scp命令等

ssh服务端是一个守护进程，进程名为sshd；

9.6、ssh服务认证的类型：

ssh通过对称加密对数据进行加密，然后通过密码验证或是通过秘钥对进行验证登录，后者更安全，因为前者可能会有中间人进行监听获取远程服务端的密码；

对称加密是使用对方的公钥进行加密，各自使用自己的秘钥进行解密，其中公钥有根钥进行验证其合法性；

一般对称加密和非对称加密的公钥都会存放在对方主机上进行存储；

ssh加密和https加密不具有验证的唯一性，因为https的根钥是共用的，ssh的公钥也是共用的；openvpn数据加密具有验证用户的唯一性，因为它的根钥是唯一的，

1、口令认证：

容易受中间人攻击；客户端当前用户可用远程主机的任意用户登陆到远程主机，远程主机的公钥存会存放在客户端当前用户的~/.ssh/目录之下；

ssh -p22 root@172.16.1.31

只要知道服务器的ssh连接账号和口令，通过ssh客户端登录到服务器；

远程主机收到用户的第一次登录请求时，由于客户端本地没有远程主机的公钥，无法得知远程主机的真实性，会发出警告(询问客户端是否接受服务端的公钥)；

当远程主机的公钥被接受以后，它就会被客户端保存在文件$HOME/.ssh/known_hosts之中；

用户使用这个公钥，将登录密码加密后，发送给服务器端；

远程主机用自己的私钥，解密登录密码，如果密码正确，就同意用户登录；

下次再连接这台主机，系统就会认出它的公钥已经保存在本地了，从而跳过警告部分，直接提示输入密码；

秘钥认证（秘钥、公钥存放家目录的用户和登陆的用户必须一致，且是建立在口令认证之上的；一对一，类似于nfs的用户模式；）

使用口令认证，每次都必须输入密码，非常麻烦。好在SSH还提供了秘钥认证，可以省去输入密码的步骤；

客户端事先建立一对秘钥对，然后把公钥放在需要访问的远程主机上，另外还需把私有秘钥放到对应的客户端服务器上；

当客户端请求登录时远程主机会向用户发送一段随机字符串，用户用自己的私钥加密后再发送给远程给主机；

远程主机用事先储存的公钥进行解密，如果成功，就证明用户是可信的，直接允许登录shell，不再要求密码；

2、ssh秘钥认证建立过程：

（1）所有机器在root下创建用户和密码(当ssh被优化时，root用户是没有ssh登录权限的)

useradd lc（所有的服务器都要建立该用户）

echo '123456' | passwd --stdin lc

（2）建立秘钥对：

[lc@m01 .ssh]$ ssh-keygen -t dsa #直接回车；默认存放目录是~/.ssh/

id_dsa#秘钥600

id_dsa.pub#公钥644

（3）非交互式建立秘钥对

[lc@m01 .ssh]$ ssh-keygen -t dsa -P ' ' -f ~/.ssh/id_dsa >/dev/null 2>&1

（4）发送公钥到远程主机：

默认ssh端口是22：

[lc@m01 .ssh]$ ssh-copy-id -i ~/.ssh/id_dsa.pub lc@172.16.1.31

更改ssh端口后：

[lc@m01 .ssh]$ ssh-copy-id -i ~/.ssh/id_dsa.pub "-p 52113 lc@172.16.1.31"

#此方法只能发送公钥，且发送的位置是远程主机的~/.ssh/目录下，名字变为‘authorized_keys’（权限位600），不能够发送私钥，如果

需要发送公钥需要使用scp命令拷贝到对应用户的家目录下并改名为authorized_keys,修改权限位600；

9.7、企业中ssh连接的三种方案：

1、直接root ssh key：

条件：允许root用户ssh登录，比较不安全；

2、利用sudo提权实现拷贝没有权限用户的拷贝（root用户被禁用的情况下）

[lc@m01 ~]$ scp -P52113 /etc/hosts lc@172.16.1.31:/home/lc/ #只有增量的功能

hosts 100% 360 0.4KB/s 00:00

3、利用ssh隧道模式进行数据的拷贝：

[lc@m01 ~]$ rsync -avz /etc/hosts -e "ssh -p 52113" lc@172.16.1.31:/home/lc/ #增量和加密

[root@m01 ~]# echo ‘lc ALL=(ALL) NOPASSWD:ALL (/usr/bin/rsync) ’ >>/etc/sudoers

[lc@m01 ~]$ ssh -p52113 -t lc@172.16.1.31 sudo rsync -vz ~/hosts /etc/ #使用的是root的权限

4、利用suid来实现拷贝（root用户被禁用的情况下，了解就可以，不用于实际的环境，通过给名利设置suid权限(比较不安全)，使得所有的用户都可以像root用户一样使用该用户不能使用的命令，且文件属于当前用户；）

[lc@m01 ~]$ scp -P52113 /etc/hosts lc@172.16.1.31:/home/lc/

hosts 100% 360 0.4KB/s 00:00

[root@nfs01 .ssh]# chmod u+s `which rsync`

[root@nfs01 .ssh]# ls -l `which rsync`

-rwsr-xr-x. 1 root root 414968 4月 30 2014 /usr/bin/rsync

[lc@m01 ~]$ ssh -p52113 lc@172.16.1.31 rsync -avz ~/hosts /etc/ #连接nfs01服务器，拷贝的是原用户属性；

5、批量分发管理脚本(使用sudo进行提权操作，也可以使用saltstack)

[root@m01 ~]$ mkdir -p /server/scripts

[root@m01 ~]$ vim /server/scripts/fenfa.sh

#!/bin/sh

. /etc/init.d/functions

export PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin

for n in 8 31 41;do

scp -P52113 /etc/hosts lc@172.16.1.${n}:/home/lc >/dev/null 2>&1

ssh -p52113 -t lc@172.16.1.${n} sudo rsync -az ~/hosts /etc/hosts >/dev/null 2>&1

if [ $? -eq 0 ];then

action "hosts 172.16.1.$n" /bin/true

else

action "hosts 172.16.1.$n" /bin/false

fi

done

[lc@m01 ~]$ sh /server/scripts/fenfa.sh

9.8、优化ssh服务默认登录配置：

1、更改配置前进行相应的备份：

cp -av /etc/ssh/{sshd_config,sshd_config.ori}

提示：一般来说ssh服务使用默认的配置就已经能够很好的工作了，如果对安全要求不高，仅提供ssh服务的情况下，可以不需要修改任何的更改；

2、相关参数说明：

Port：指定sshd进程监听的端口号，默认是22，可以使用指令监听多个端口，默认将在本机的所有网络接口上监听，

可以通过ListenAddress指定某个特定的接口上监听；

PermitEmptyPasswords：是否允许密码为空的用户远程登录，默认为no

PermitRootLogin：是否允许root登录，yes表示允许(默认），no表示禁止；

without-password：表示禁止使用密码认证登录，默认是不开启的；

forced-commands-only：表示只有在指定了command选项的情况下才允许使用公钥认证登录，同时其他认证方法全部被禁用，这个值常用于做远程备份；

GSSAPIAuthentication ：解决linux之间使用ssh远程连接慢的问题；

UseDns：指定sshd是否应该对远程主机名进行反向解析，以检查此主机名是否与其IP地址真实对应，默认值是yes

3、windows服务器的默认远程端口号是3389，管理员用户是administrator，普通用户是guest。linux管理员用户是root，普通用户默认是多个，

远程连接端口是22，这些黑客都知道，为了系统的安全要隐藏或更改上述的配置；

vim /etc/password 里面不用的用户注释掉；

4、优化设置：

vim /etc/ssh/sshd_config

13 Port 52113 #端口号改为52113

15 ListenAddress 172.16.1.61:52113 #设置监听的端口号地址

42 PermitRootLogin no #不允许roo用户ssh登录

65 PermitEmptyPasswords no #不允许用户空密码ssh登录

80 GSSAPIAuthentication no #解决端ssh连接慢的问题；

122 UseDNS no #不使用Dns

[lc@m01 ~]$ sed -i '13 i Port 52113\nListenAddress 172.16.1.61:52113\nPermitRootLogin no\nPermitEmptyPasswords no\nGSSAPIAuthentication no\nUseDNS no' /etc/ssh/sshd_config

5、vimdiff 进行比较：

vimdiff sshd_config sshd_config.ori

6、平滑重启sshd服务：

/etc/init.d/sshd reload

7、进行连接验证：

[root@web01 ~]# ssh -p52113 lc@10.0.0.61 #连接外网网卡，被拒绝

ssh: connect to host 10.0.0.61 port 52113: Connection refused

[root@web01 ~]# ssh -p52113 root@172.16.1.61 #由于设置了禁止root用户登录，所以用root用户不可以登录

root@172.16.1.61's password:

Permission denied, please try again.

[root@web01 ~]# ssh -p52113 lc@172.16.1.61 #登录成功；

lc@172.16.1.61's password:

welcom to lc_linux

[lc@m01 ~]$

#用户可登录后可以使用su - root 切换用户，但是为了更好地保护密码 ，根据不同的用户给于不同的sudo权限是最好的，我这里用visudo设置的权限是（lc ALL=(ALL) NOPASSWD:ALL）

8、此时用户也无法使用scrt进行登录，需要修改scrt中的配置

9、如何防止ssh登录入侵：

使用秘钥登录，不用密码登录

牤牛阵法：解决ssh安全问题

防火墙封闭ssh，指定源ip限制（局域网，信任公网）

开机ssh只监听本地内网ip（ListenAddress 172.16.1.41:52113）

尽量不给服务器外网ip地址

（1）各服务器上都建立了lc用户，并给于sudo (lc ALL= NOPASSWD:ALL )权限，lc就可以看做是管理员；

（2）跳板机服务器和其它服务器建立了ssh秘钥登录，lc用户之间的；

（3）ssh已经优化，监听特定的网卡和端口，不允许root用户登录；

（4）这种设置不影响网络的联通性，只是改变了远程连接的范围，在有外网和内网接到一台服务器的

时候使用最好，如果是纯内网可以不使用；