标签：key server1 环境 加密 而且 演示 主机 不能 服务器
ssh,配置文件：/etc/ssh/ssh_config
在配置文件/etc/ssh/ssh_config中Strict HostKey Checking no 首次登录不显示检查提示。
格式：ssh [user@]host IP地址 [command]
ssh [-l user]host IP地址 [command]
（如果不指定用户，你是哪个用户就连接哪个用户上，后面还可跟命令）
?
Ssh客户端允许实现对远程系统经验证地加密安全访问
当用户远程连接ssh服务器时，会复制ssh服务器/etc/ssh/ssh_host*key.pub（CentOS7默认是ssh_host_ecdsa_key.pub）文件中的公钥到客户机的~./ssh/know_hosts中。下次连接时，会自动匹配相应私钥，不能匹配，将拒绝连接
?
下面来看一下ssh的一些选项：
-p port端口号:远程服务器监听的端口
例如：ssh 192.168.10.178 -p 2222 如果将服务器的端口改为2222，再用ssh连接不指定端口（默认是22端口），此时就无法连接，连接时指定端口号就可以连接了。
改端口号：semanage port -a -t ssh_port_t -p tcp 端口号 （如果启用了SELinux策略，改的端口号为非标准端口号，违反了SELinux策略，直接修改配置文件是不可以的，要用这种方法去修改，记得改完之后重启一下sshd服务）
-b 指定源IP来连接服务器
-v:调试模式（连接的时候发现一些错误，可以用-v来排错）
-C：压缩方式
-X: 支持x11转发
xclock命令在centos6上面可以打开小钟表，在centos7上面打不开，现在我用centso7去连接centos6，直接连接上去，执行xclock命令是打不开小钟表的，需要价格-X选项，才能打开
-Y：支持信任x11转发
ForwardX11Trusted yes
-t: 强制伪tty分配
?
小实验：
如图：假如企业内部有两台机器B,C，其中C是ssh service ,企业内部连接互联网是通过防火墙来连接的，只有B才能连接到C，A不能直接连接C，假如A出差了，在企业外部，现在A想要连接C，怎样连接呢？A可以连接到B，通过B这个跳板再来连接到C ssh -t B(ip地址) ssh C(ip地址)
?
?
实验环境：有3台机器A,B,C，这3台机器都在一个网段中。
1）先在C机器上制定防火墙策略，拒绝A机器连接iptables -A INPUT -s 192.168.10.136 -j REJECT
这样A就不能直接连接C了，，B可以连接C，A可以连接B，所以B可以做跳板，让A借助B来连接C
2）ssh -t 192.168.10.135 ssh 192.168.10.178 这样就能连接了，需要输入两次密码
?
在用ssh连接的时候我们会遇到一些问题，接下来介绍一下这些问题和解决这些问题的方案
我们在用ssh连接的时候可能会非常慢，可以调整服务器端的配置文件，修改以下两项，重启服务，就能生效，再重启sshd服务，之后再用ssh连接就非常快了
vim /etc/ssh/sshd_config 编辑服务器端的配置文件
?
然后systemctl restart sshd.service（centos7）或service sshd restart(centos6),重启一下sshd服务，就可以了
当某台机器第一次去连接某服务器时，会问你是否要继续连接，yes or no？，敲了yes就会在家目录下的.ssh目录下生成了一个known_hosts文件，这个文件就记录了你所连接的每一台服务器的公钥key（如下图我目前只连接了一个服务器，所以只有一个服务器的公钥key）
下面就来修改配置文件来解决这个问题
vim /etc/ssh/sshd_config
将该项改为no，第一次连接不用提示yes或者no
?
ssh中的key不能被破坏，如果这些key都被删了，ssh服务不能被启动
先关闭了sshd服务，再开启sshd服务，然后就发现启动失败
再把/app/下的key移回来就可以启动成功了。
?
1.用户/口令
2.基于密钥
基于用户和口令登录验证（客户端用服务器的公钥加密密码，再发给服务器，服务器再拿私钥解开密码，验证密码是否正确）
1）客户端发起ssh请求，服务器会把自己的公钥发送给用户
2）用户会根据服务器发来的公钥对密码进行加密
3）加密后的信息回传给服务器，服务器用自己的私钥解密，如果密码正确，则用户登录成功
1）首先在客户端生成一对密钥（ssh-keygen）
2）并将客户端的公钥ssh-copy-id 拷贝到服务端
3）当客户端再次发送一个连接请求，包括ip、用户名
4）服务端得到客户端的请求后，会到authorized_keys中查找，如果有响应的IP和用户，就会随机生成一个字符串，例如：acdf
5）服务端将使用客户端拷贝过来的公钥进行加密，然后发送给客户端
6）得到服务端发来的消息后，客户端会使用私钥进行解密，然后将解密后的字符串发送给服务端
7）服务端接受到客户端发来的字符串后，跟之前的字符串进行对比，如果一致，就允许免密码登录
基于密钥的认证：
1）在客户端生成密钥对 ssh-keygen -t rsa -P ‘‘ -f /root/.ssh/id_rsa
-t 指定算法 （默认是rsa算法） -P指定私钥的口令，什么都不写就是生成的私钥没有口令 -f 指定私钥文件路径（默认是/root/.ssh/id_rsa）
2）把公钥文件传输至远程服务器对应用户的家目录 ssh-copy-id -i /root/.ssh/id_rsa 192.168.10.107
ssh-copy -i /root/.ssh/id_rsa 192.168.10.107 该命令看似传输的是私钥，其实传输的是公钥，我们来看一下公私钥是什么样的
如下图：我们看到公私钥的内容
?
在服务器上的家目录下查看一下authorized_keys这个文件是否生成
再来查看一下这个文件authorized_keys
对比一下上面的公私钥的内容，可以发现传输的确实是公钥
3）测试
好了，现在我们开始连接服务器了，如下图，发现直接就能连接上去了，不用输密码
4）在SecureCRT或Xshell实现基于key验证
在SecureCRT工具—>创建公钥—>生成Identity.pub文件
转化为openssh兼容格式（适合SecureCRT，Xshell不需要转化格式），并复制到需登录主机上相应文件authorized_keys中,注意权限必须为600，在需登录的ssh主机上执行：
ssh-keygen-i-f Identity.pub >> .ssh/authorized_keys
5）重设私钥口令：ssh-keygen –p
如果你觉得你的口令不安全，就可以重设私钥口令，我们上面就没有对私钥设口令，这是很不安全的，下面我就给私钥重设口令，如下图，我们可以发现重设私钥密码后，再去连接服务器，就不会那么容易了，需要你输入设定的私钥密码
6）验证代理（authentication agent）保密解密后的密钥
?这样口令就只需要输入一次
?在GNOME中，代理被自动提供给root用户
?否则运行ssh-agent bash
7）钥匙通过命令添加给代理
ssh-add
第六步和第七步合在一起用，我们在管理多台服务器时，你要一个一个的连接，一个一个的输密码，连接上去，这样十分麻烦的，而且效率低下，我们可以基于秘钥登陆的方式，来连接多台服务器，这样你在连接多台服务器时，就不用一个一个的输入每一台服务器的密码了，你只需记住一个私钥密码，连接的时候输入私钥密码，就可以连接多台服务器了，如果你连私钥密码都懒得输入，就可以将第六步和第七步结合在一起使用，如下图，先验证代理，再把私钥密码托管给代理，这样你再去连接其他服务器就不用输入私钥密码了
?
scp[options] SRC... DEST/ 源可以有多个
两种方式：可以将远程主机的文件拷到本机上，也可以将本机的文件拷到远程主机
scp[options] [user@]host:/sourcefile /destpath
scp 192.168.10.178:/app/testdir/ /app/linshi
scp[options] /sourcefile [user@]host:/destpath
scp /app/linshi 192.168.10.178:/app/testdir
常用选项：
-C：压缩数据流
-r：递归复制
-p:保持原文件的属性信息
-q:静默模式
-P port:指明remote host 的监听的端口
基于ssh和rsh服务实现高效率的远程系统之间复制文件
使用安全的shell连接做为传输方式
?rsync –av/etc server1:/tmp复制目录和目录下文件
?rsync –av/etc/ server1:/tmp只复制目录下文件
如下图：testdir后面不加/，复制testdir目录和目录下文件，加/，只复制testdir目录下的文件，testdir目录文身不复制
比scp更快，只复制不同的文件，若只是想更新变化了的文件，就用rsync
选项：
-n 模拟复制过程（并不真实去复制，只是演示一下复制过程）
-v 显示详细过程
-r 递归复制目录树
-p 保留权限
-t 保留时间戳
-g 保留组信息
-o 保留所有者信息
-l 将软链接文件本身进行复制（默认）
-L 将软链接文件指向的文件复制
-a 存档，相当于–rlptgoD，但不保留ACL（-A）和SELinux属性（-X）
?
好了就，今天的内容就到这里，希望对大家能有所帮助
?
?
?
?
?
?
?
?
?
标签：key server1 环境 加密 而且 演示 主机 不能 服务器
原文地址：http://www.cnblogs.com/1477717815fuming/p/7612732.html
