SSH服务

SSH服务

1.1.1 ssh介绍

  SSH是Secure ShellProtocol的简写，由IETF网络工作小组（Network Working Group）制定；在进行数据传输之前，SSH先对联机数据包通过加密技术进行加密处理，加密后在进行数据传输。确保了传递的数据安全。

  SSH是专为远程登录会话和其他网络服务提供的安全性协议。利用SSH协议可以有效的防止远程管理过程中的信息泄露问题，在当前的生产环境中，绝大多数企业普遍采用SSH协议服务来代替传统的不安全的远程联机服务软件，如telnet(23端口，非加密的)等。

  在默认状态下，SSH服务主要提供两个服务功能：一个是提供类似telnet远程联机服务器的服务，即上面提到的SSH服务；另一个是类似FTP服务的sftp-server，借助SSH协议来传输数据的，提供更安全的SFTP服务。

  特别提醒：SSH客户端(ssh命令)还包含一个很有用的远程安全拷贝命令scp，也是通过ssh协议工作的。

总结：

1、  ssh安全的加密协议，用于远程连接服务器。

2、  默认端口是22，安全协议版本ssh2

3、  服务端主要包含两服务功能shh远程连接，SFTP服务。

4、  Ssh客户端包含ssh连接命令，以及远程拷贝scp命令等。

1.1.2 ssh结构

  SSH服务由服务端软件OpenSSH和客户端（SecureCRT、xshell）组成，SSH服务默认使用22端口提供服务，它有两个不兼容的SSH协议版本，分别是1.x和2.x。

  下面查看服务端上的ssh相关软件

小提示：sudo su – 切换到root模式

 OpenSSH同时支持SSH1.x和2.x。用SSH2.x的客户端程序不能连接到SSH1.x的服务程序上。

  SSH服务端是一个守护进程（demon），他在后台运行并响应来自客户端的连接请求。SSH服务端的进程名为sshd，负责实时监听远程SSH客户端的连接请求，并进行处理，一般包括公共密钥认证、密钥交换、对称密钥加密和非安全连接等。这个SSH服务必须开机自启动。

  ssh客户端包含ssh程序以及像scp(远程拷贝)、slogin(远程登录)、sftp(安全FTP文件传输)等应用程序。

  ssh的工作机制大致是本地的ssh客户端先发送一个连接请求到远程的ssh服务端，服务端检查连接的客户端发送的数据包和IP地址，如果确认合法，就会发送密钥给SSH的客户端，此时，客户端本地再将密钥发回给服务端，自此连接建立。SSH 1.x和SSH 2.x在连接协议上有一些安全方面的差异。

小提示：取IP地址

[root@cl2~]# ifconfig eth0|sed -rn 's#^.*dr:(.*) Bc.*$#\1#gp'

192.168.2.31

1.1.3 加密

  当前，网络上的数据包加密技术一般是通过所谓的一对公钥与私钥（Public key and Private key）组合成的密钥对进行加密与解密操作。

服务端Public key公钥  锁

客户端Private key私钥 钥匙

查看sshd_config配件文件

  另外，SSH2同时支持RSA和DSA密钥，但是SSH1仅支持RSA密钥。

1、SSH 1.x

  每一台SSH服务器主机都可以使用RSA加密方式来产生一个1024-bit的RSAkey，这个RSA的加密方式就是用来产生公钥与私钥的算法之一。SSH 1.x的整个联机加密步骤如下：

  当SSH服务启动时，就会产生一个768-bit的临时公钥（sshd_config配置文件中ServerKeyBits 1024）存放在Server中。

  当Client端SSH联机请求传送过来时，Server就会将这个1024-bit的公钥传给Client端，此时Client会将此公钥与先前存储的公钥进行对比，看是否一致。判断标准是Client端联机用户目录下~/.ssh/known_hosts文件的内容（linux客户端）。

  在Client端接收到这个768-bit的Serverkey后，Client本地也会随机产生一个256-bit的私钥（Privatekey或hostkey），并且以加密的方式（具体的加密算法由客户端在服务器提供的所有可用算法中选择，默认为3DES算法）将Serverkey与hostkey整合成一对完整的keypair，交将这对KeyPair再传给Server。

  当客户端发完成以后，Server与Client端在这次的联机中，就以这一对1024-bit的Keypair来进行数据的传输。

  也就是说，Public key是放在Server上的，而Client端的软件需要接受Public key、计算出Private key，并把二者组合成一把独一无二的Key pair，因为Client每次的256-bit的host key是随机产生的，所以这次联机与下次联机的host key可能就会不一样。此外，在Client端的用户默认目录下的~/.ssh/know_hosts会记录曾经联机过的主机的Public key，用以确认每次来自该主机的联机是否正确。

2、SSH 2.x

  在SSH 1.x的联机过程中，当Server接受Client端的Privatekey后，就不再针对该次联机的Key pair进行检验。此时若有恶意黑客户针对该联机的Key pair对插入恶意的程序代码时，由于服务端你不会再检验联想的正确性，因为可能会接收该程序代码，从而造成系统被黑掉的问题。

  为了改正这个缺点，SSH version 2多加了一个确认联机正确性的Diff-Hellman机制，在每次数据传输中，server都会以该机制检查数据的来源是否正确，这样，可以避免联机过程中被插入恶意程序代码的问题。也就是说，SSH verion 2是比较安全的。

1.1.4 ssh服务谁类型

  从SSH客户端来看，SSH服务主要提供两种级别的安全验证，具体级别如下：

  基于口令的安全验证：

  基于口令的安全验证方式就是大家现在一直在用的，只要知道服务器的SSH连接帐号和口令（服务器的IP及开放的SSH端口，默认为22），就可以通过ssh客户端登录到这台远程主机。此时，联机过程中所有传输的数据都是加密的。

小提示：查看ssh使用的端口

ssh客户端连接演示

在连接之前ls -l ~/.ssh没有文件，连接之后就会产生文件

基于密钥的安全验证：

  基础密钥的安全验证方式是指，需要依靠密钥，也就是必须事先建立一对密钥对，然后把公用密钥（Public key）放在需要访问的目录服务器上，另外，还需要把私有密钥（Private key）放到SSH的客户端或对应的客户端服务器上。

  此时，如果要想连接到这个带有公用密钥的SSH服务器，客户端SSH软件或者客户端服务器就会向SSH服务器发出请求，请求用联机的用户密钥进行安全验证。SSH服务器收到请求之后，会先在该SSH服务器上连接的用户的家目录下寻找事先放上去的对应用户的公用密钥，然后反它和连接的SSH客户端发送过来的公用密钥进行比较。如果两个密钥一致，SSH服务器就用公用密钥加密“质询“（challenge）并反它发送给SSH客户端。

  SSH客户端收到“质询“之后就可以用自己的私匙解密，再把它发送给SSH服务器。使用这种方式，需要知道联机用户的密钥文件。与第一种基于口令难的方式相比，第二种方式不需要在网络上传送口令密码，所以安全性更高了，这时我们也要注意保护我们的密钥文件，特别是私钥文件，一旦被黑客获取，危险就很大了。

1.1.5 启动SSH服务

  SSH服务所需要的软件包含OpenSSL和OpenSSH，通过命令查询如下：

面试题：给你一个端口，如果查出对应的服务

下面以22端口为例，进行查询

小结：

1、  切换到别的机器ssh–p52113 user@ip

2、  到其他机器执行命令（不会切到机器上）ssh –p52113 user@ip 命令（全路径！不识别环境变量

当第一次连接的时候，本地会产生一个密钥文件~/.ssh/known_hosts（可能有多个密钥）

1.1.6 ssh客户端附带的远程拷贝scp命令

示例：把cl1机器tmp目录下的123.log复制到cl2上。这个相当于推push

示例：拉

推：PUSH

scp -P22 /tmp/123.log root@192.168.2.30:/tmp

拉：PULL

scp -P22 root@192.168.2.30:~/ddd .

#-àscp为远程拷贝文件或目录的命令

#-à-P(大写，注意和ssh命令的不同)接端口，默认22端口时可以省略-P22

#-à-r表示拷贝目录

#-à-p表示在拷贝前后保持文件或目录属性

#-à/tmp为本地的目录。“@”前为用户名，“@”后为要连接的服务器IP。IP后的:/tmp目录，为远端的目标目录。->以上命令作用是反本地/tmp下的123.log拷贝到远端服务器192.168.2.30的/tmp目录；

#-à还可以把远端目录抓到本地，scp –P22 root@192.168.2.30:/tmp /tmp/zdw。就是把PUSH的目录位置对调一下即可。

  小结：

  scp是加密的远程拷贝，可以把数据从一台机器推送到另一台机器，也可以从其它服务器把数据拉回到本地执行命令的服务器，但是，每次都是全量拷贝(rsync增量拷贝)，因此，效率不高。

sftp服务：

小结：

1、  sftp –oPort=22 root@192.168.2.30

2、  上传put加客户端本地路径，也可以指定路径上传，put /etc/hosts /tmp

3、  下载get服务端的内容，下载到本地的当前目录

客户端sftp：

上传：

下载：

下载的目录在选项-会话选项里设置

注：下载操作时，如果没有成功。退出重新连接生效。

学习自：

老男孩Linux

      本文转自cix123  51CTO博客，原文链接：http://blog.51cto.com/zhaodongwei/1825712，如需转载请自行联系原作者