本文章介绍了SSH工具、服务端、客户端命令等方面知识

---

SSH协议

概念

SSH 为 Secure Shell 的缩写，由 IETF 的网络小组（Network Working Group）所制定；SSH 为建立在应用层基础上的安全协议。SSH 是较可靠，专为远程登录会话和其他网络服务提供安全性的协议。利用 SSH 协议可以有效防止远程管理过程中的信息泄露问题。 SSH最初是UNIX系统上的一个程序，后来又迅速扩展到其他操作平台。SSH在正确使用时可弥补网络中的漏洞。SSH客户端适用于多种平台¹。

优点

传统的网络协议大多在网络中使用明文传输口令和数据，容易被其他终端截取信息并受到中间人攻击，即有人冒充正待链接的服务器接收客户端发送的信息，并返回虚假信息给客户端！SSH协议则加密传输过程中的数据，有效防止DNS、IP欺骗，同时在进行数据传输时会对数据进行压缩，减短数据传输时间，同时能够为众多应用提供数据传输加密通道。

验证方式

1. 基于口令的安全验证
   通过用户名和密码便可以连接指定服务器，但是不能有效防止中间人攻击，即可以有人冒充正待链接的服务器终端。
2. 基于密钥的安全验证
   通过SSH工具生成密钥对，并将生成的公钥在服务端进行设置。连接服务器时，客户端首先将公钥发送至服务端，服务器会将此公钥与对应主目录下的公钥进行比较，如果一致则发送用此公钥加密后的数据，客户端使用私钥解密数据并发送回服务端。该方法可以有效防止中间人攻击，但是会延长连接传输时间。

层次

• 传输层协议
  提供了服务器认证、保密性、完整性以及压缩功能，运行在TCP/IP协议之上，也可用于其他可靠数据流之上。 提供了强力的加密技术、密码主机认证及完整性保护。该协议中的认证基于主机，并且该协议不执行用户认证。更高层的用户认证协议可以设计为在此协议之上。
• 用户认证协议
  提供了在服务器端的用户认证服务，运行在传输层协议之上。 当用户认证开始后，它从低层协议那里接收会话标识符（从第一次密钥交换中的交换哈希H ）。会话标识符唯一标识此会话并且适用于标记以证明私钥的所有权。 用户认证同时需要知道低层协议是否提供保密性保护。
• 连接协议
  将多个加密隧道分成逻辑通道，它运行在用户认证协议上。 它提供了交互式登录话路、远程命令执行、转发 TCP/IP 连接和转发 X11 连接。

结构

SSH协议包括服务端和客户端，现在拥有1.x和2.x两个不兼容的版本，即用2.x的客户端无法连接1.x的服务端。

• 服务端：一个守护进程，监听端口等待客户端的连接，一般是sshd进程，提供了对远程连接的处理，一般包括公共密钥认证、密钥交换、对称密钥加密和非安全连接。
• 客户端：包含ssh程序以及像scp（远程拷贝）、slogin（远程登陆）、sftp（安全文件传输）等其他的应用程序。

工作机制大致是客户端发送一个连接请求到服务端，服务端检查申请的包和IP地址再发送密钥给客户端，客户端再将密钥发回服务端，自此连接建立。

实现

SSH是一种协议，其具体实现应用广泛的是OpenSSH，该库应用到了OpenSSL。

• OpenSSH-Client：客户端程序
• OpenSSH-Server：服务器端程序

OpenSSH的具体应用

安装OpenSSH

实验环境

• CentOS7 64bit 192.168.56.101

安装

sudo yum install openssh-server
sudo yum install openssh-clients

由于已经安装过了，所以提示包已经存在！通过yum或者apt包管理工具可以方便的安装软件，也可以自动安装相关依赖。

配置

• 在Bash中启动ssh的守护进程sshd：

sudo systemctl start sshd

• 重启sshd进程：

sudo systemctl restart sshd

• 停止sshd进程：

sudo systemctl stop sshd

• 设置ssh开机自动启动：

sudo systemctl enable sshd

• 取消开机自动启动：

sudo systemctl disable sshd

• 在Bash中查看ssh是否运行：

ps -aux | grep ssh

图片中的第一个项目便是ssh的守护进程sshd，即ssh正在运行。

• 在Bash中查看sshd守护进程监听的端口及其他信息：

netstat -anp | grep ssh

图中第一个项目表明监听端口为22，且是运行在TCP/IP协议之上。

• 配置文件²
  服务端以及客户端军事通过配置文件进行配置程序：
  客户端：/etc/ssh/ssh_config
  

选项参数	                          说明
Host *	                                  选项“Host”只对能够匹配后面字串的计算机有效。“*”表示所有的计算机。
ForwardAgent no	                          设置连接是否经过验证代理（如果存在）转发给远程计算机。
ForwardX11 no	                          设置X11连接是否被自动重定向到安全的通道和显示集（DISPLAY set）
RhostsAuthentication no	                  设置是否使用基于rhosts的安全验证
RhostsRSAAuthentication no	          设置是否使用用RSA算法的基于rhosts的安全验证
RSAAuthentication yes	                  设置是否使用RSA算法进行安全验证
PasswordAuthentication yes	          设置是否使用口令验证
FallBackToRsh no	                  设置如果用ssh连接出现错误是否自动使用rsh
UseRsh no	                          设置是否在这台计算机上使用“rlogin/rsh”
BatchMode no	                          如果设为“yes”，passphrase/password（交互式输入口令）的提示将被禁止。当不能交互式输入口令的时候，这个选项对脚本文件和批处理任务十分有用
CheckHostIP yes	                          设置ssh是否查看连接到服务器的主机的IP地址以防止DNS欺骗。建议设置为“yes”
StrictHostKeyChecking no	          如果设置成“yes”，ssh就不会自动把计算机的密匙加入“$HOME/.ssh/known_hosts”文件，并且一旦计算机的密匙发生了变化，就拒绝连接
IdentityFile ~/.ssh/identity	          设置从哪个文件读取用户的RSA安全验证标识
Port 22	                                  设置连接到远程主机的端口
Cipher blowfish	                          设置加密用的密码
EscapeChar ~	                          设置escape字符

服务端：/etc/ssh/sshd_config

参数选项                                                        说明
Port 22                                                         SSH 预设使用 22 这个 port，您也可以使用多的 port ！
Protocol 2,1                                                    选择的 SSH 协议版本，可以是 1 也可以是 2 ，如果要同时支持两者，就必须要使用 2,1 这个分隔了！
ListenAddress 0.0.0.0                                           监听的主机适配卡！举个例子来说，如果您有两个 IP，分别是 192.168.0.100 及 192.168.2.20 ，那么只想要开放 192.168.0.100 时，就可以写如同下面的样式：
ListenAddress 192.168.0.100                                     只监听来自 192.168.0.100 这个 IP 的SSH联机。如果不使用设定的话，则预设所有接口均接受 SSH
PidFile /var/run/sshd.pid                                       可以放置 SSHD 这个 PID 的档案！左列为默认值
LoginGraceTime 600                                              当使用者连上 SSH server 之后，会出现输入密码的画面，在该画面中，在多久时间内没有成功连上 SSH server ，就断线！时间为秒！
Compression yes                                                 是否可以使用压缩指令？
HostKey /etc/ssh/ssh_host_key                                   SSH version 1 使用的私钥
HostKey /etc/ssh/ssh_host_rsa_key                               SSH version 2 使用的 RSA 私钥
HostKey /etc/ssh/ssh_host_dsa_key                               SSH version 2 使用的 DSA 私钥
KeyRegenerationInterval 3600                                    由前面联机的说明可以知道， version 1 会使用 server 的 Public Key ，每隔一段时间来重新建立一次！时间为秒！
ServerKeyBits 768                                               Server key 的长度！
SyslogFacility AUTH                                             当有人使用 SSH 登入系统的时候，SSH会记录信息
LogLevel INFO                                                   登录记录的等级---》全部
PermitRootLogin no                                              是否允许 root 登入！预设是允许的，但是建议设定成 no！
UserLogin no                                                    在 SSH 底下本来就不接受 login 这个程序的登入！
StrictModes yes                                                 当使用者的 host key 改变之后，Server 就不接受联机
RSAAuthentication yes                                           是否使用纯的 RSA 认证！？仅针对 version 1 ！
PubkeyAuthentication yes                                        是否允许 Public Key ？只有 version 2
AuthorizedKeysFile   .ssh/authorized_keys                       设定若要使用不需要密码登入的账号时，那么那个账号的存放档案所在档名！
RhostsAuthentication no                                         本机系统不使用 .rhosts ， .rhosts 不安全！
IgnoreRhosts yes                                                是否取消使用 ~/.ssh/.rhosts 来做为认证！
RhostsRSAAuthentication no                                      针对 version 1 ，使用 rhosts 档案在/etc/hosts.equiv配合 RSA 演算方式来进行认证！
HostbasedAuthentication no                                      这个项目与上面的项目类似，不过是给 version 2 使用的！
IgnoreUserKnownHosts no                                         是否忽略家目录内的 ~/.ssh/known_hosts 这个档案所记录的主机内容
PasswordAuthentication yes                                      密码验证当然是需要的！
PermitEmptyPasswords no                                         上面那一项如果设定为 yes 的话，这一项就最好设定为 no ，这个项目在是否允许以空的密码登入！
ChallengeResponseAuthentication yes                             挑战任何的密码认证！所以，任何 login.conf 规定的认证方式，均可适用！
PAMAuthenticationViaKbdInt yes                                  是否启用其它的 PAM 模块！启用这个模块将会导致 PasswordAuthentication 设定失效！与Kerberos 有关的参数设定！底下不用设定
KerberosAuthentication no
KerberosOrLocalPasswd yes
KerberosTicketCleanup yes
KerberosTgtPassing no有关在 X-Window 底下使用的相关设定
X11Forwarding yes
X11DisplayOffset 10
X11UseLocalhost yesPrintMotd no                                                    登入后是否显示出一些信息呢？例如上次登入的时间、地点等，预设是 yes ，但是，如果为了安全，可以考虑改为 no ！
PrintLastLog yes                                                显示上次登入的信息！预设也是 yes 
KeepAlive yes                                                   一般而言，如果设定这项目的话，那么 SSH Server 会传送KeepAlive 的讯息给 Client 端，以确保两者的联机正常！在这个情况下，任何一端死掉后， SSH 可以立刻知道！而不会有僵尸程序的发生！
UsePrivilegeSeparation yes                                      使用者的权限设定项目！
MaxStartups 10                                                  同时允许几个尚未登入的联机画面
DenyUsers *                                                     设定受抵挡的使用者名称
AllowUsers *                                                    设定允许的使用者名称

通过修改配置文件可以使服务端的sshd只接受密钥登录等特殊服务。

具体应用

在Windows端中安装ssh客户端，例如putty、xshell等，也可以只安装ssh服务进行连接。此处使用Windows Terminal中安装的ssh进行测试。

登录

• 客户端通过用户名和密码登录：
  
  因为是通过用户名、密码登录，客户端不知道服务端是否是信任的终端，因此要求服务端返回了公钥指纹，需要客户端自行确定是否一致，并自行决定是否连接，确认后ECDSA将添加到known hosts中。
  
  最后一个选项即将192.168.56.101的公钥指纹加入了known hosts文件中，下次连接时便不会再次询问。
  
  该文件仅仅是记录了连接过的主机的指纹，因此当连接出现一些错误时，清空此文件也是一个解决问题的方向。
• 客户端公钥登录：
  公钥登录是用户将自己的公钥储存在远程主机上。登录的时候，远程主机会向用户发送一段随机字符串，用户用自己的私钥加密后，再发回来。远程主机用事先储存的公钥进行解密，如果成功，就证明用户是可信的，直接允许登录shell，不再要求密码。

1. 提供公钥

ssh-keygen

该命令会自动生成密钥对，并存储在指定的位置。

既可以设置生成的id_rsa以及id_rsa.pub文件的存储位置，也可以为私钥设置密码。
2. 设置服务端ssh配置文件
/etc/ssh/sshd_config以下配置去掉注释，具体意义见上。

PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

远程主机将用户的公钥，保存在登录后的用户主目录的$HOME/.ssh/authorized_keys文件中，因此需要手动将生成的公钥复制到该文件的最后。

ssh root@192.168.56.101 'mkdir -p .ssh && cat .ssh/suthorized_keys' < ./.ssh/id_rsa.pub

之后，在客户端中启动ssh-agent：

Windows PowerShell：
Set-Service -Name ssh-agent -StartUpType Automatic
Linux:
eval $(ssh-agent -s)

然后添加生成的私钥，也就是说可以拥有多组钥匙，对不同的服务器使用不同的私钥进行加密罢了！

ssh-add .ssh/id_rsa.pub

添加成功后，再次连接服务端，便可以不在需要使用密码。

服务端限制配置

1. 取消密码登录，只允许公钥登录
   修改服务端配置文件/etc/ssh/sshd_config

PasswordAuthentication no
PubkeyAuthentication yes

2. 指定特定的网络接口进行登录
   在host拥有多个ip时，可以限制登录到的ip地址，修改服务端配置文件/etc/ssh/sshd_config，默认为0.0.0.0

ListenAddress 192.168.56.101

3. 禁止空密码登录
   修改服务端配置文件/etc/ssh/sshd_config

PermitEmptyPasswords no 

4. 仅允许特定用户登录
   修改服务端配置文件/etc/ssh/sshd_config

PermitRootLogin no
AllowUsers user1 user2 user3
DenyUsers user4 user5
AllowGroups group1 group2

参考

• [1] 百度百科
• [2] ssh配置文件详解