翼度科技»论坛 云主机 服务器技术 查看内容

关于SSH服务解读

6

主题

6

帖子

18

积分

新手上路

Rank: 1

积分
18
一、SSH基础


1.介绍

SSH(Secure Shell)是一种安全通道协议,主要用来实现字符界面的远程登录、远程 复制等功能。
SSH 协议对通信双方的数据传输进行了加密处理,其中包括用户登录时输入的用户口令,SSH 为建立在应用层和传输层基础上的安全协议。
对数据进行压缩,加快传输速度。

  • SSH是一个应用层协议
  • 实现Linux的远程加密连接
  • 适用于Linux服务器远程管理
SSH客户端<--------------网络---------------->SSH服务端

2.优点


  • 数据传输是加密的,可以防止信息泄漏
  • 数据传输是压缩的,可以提高传输速度

3.作用

SSHD 服务使用 SSH 协议可以用来进行远程控制,或在计算机之间传送文件。
ssh服务端主要包括两个服务功能 ssh远程链接和sftp服务(文件传输功能)
SSH服务端口22/tcp


4.SSH 软件


  • SSH 客户端:finalshell  xshell  putty   secureCRT   MobaXterm
  • SSH 服务端:openSSH (Centos 7 默认安装)

5.openSSH 服务器配置文件


  • 服务名称:sshd
  • 服务端主程序:/usr/sbin/sshd  
  • 服务端配置文件:/etc/ssh/sshd_config
  • 客户端配置文件:/etc/ssh/ssh_config
openSSH是实现SSH协议的开源软件项目,适用于各种UNIX、Linux操作系统。
执行&ldquo;systemctl start sshd&rdquo;命令即可启动sshd服务。默认端口使用的22端口。
ssh服务端主要包括两个服务功能 ssh远程链接和sftp服务(文件传输功能)
作用:SSHD 服务使用 SSH 协议可以用来进行远程控制,或在计算机之间传送文件。 相比较之前用 Telnet 方式来传输文件要安全很多,因为 Telnet 使用明文传输,SSH 是加密传输。
远程管理linux系统基本上都要使用到ssh,原因很简单:telnet、FTP等传输方式是?以明文传送用户认证信息,本质上是不安全的,存在被网络窃听的危险。SSH(Secure Shell)目前较可靠,是专为远程登录会话和其他网络服务提供安全性的协议。利用SSH协议可以有效防止远程管理过程中的信息泄露问题,透过SSH可以对所有传输的数据进行加密,也能够防止DNS欺骗和IP欺骗。

二、ssh原理

登陆:



1.公钥传输原理



  • 客户端发起链接请求
  • 服务端返回自己的公钥,以及一个会话ID(这一步客户端得到服务端公钥)
  • 客户端生成密钥对
  • 客户端用自己的公钥异或会话ID,计算出一个值Res,并用服务端的公钥加密
  • 客户端发送加密值到服务端,服务端用私钥解密,得到Res
  • 服务端用解密后的值Res异或会话ID,计算出客户端的公钥(这一步服务端得到客户端公钥)
  • 最终:双方各自持有三个秘钥,分别为自己的一对公、私钥,以及对方的公钥,之后的所有通讯都会被加密

2.加密通讯原理


2.1 对称加密:
概念:
采用单钥密码系统的加密方法,同一个密钥可以同时用作信息的加密和解密,这种加密方法称为对称加密,由于其速度快,对称性加密通常在消息发送方需要加密大量数据时使用。
常用算法:
对称加密算法中常用的算法有:DES、3DES、TDEA、Blowfish、RC2、RC4、RC5、IDEA、SKIPJACK等。
特点:
1、加密方和解密方使用同一个密钥;
2、加密解密的速度比较快,适合数据比较长时的使用;
3、密钥传输的过程不安全,且容易被破解,密钥管理也比较麻烦;
优缺点:
优点:算法公开、计算量小、加密速度快、加密效率高
缺点:在数据传送前,发送方和接收方必须商定好秘钥,然后使双方都能保存好秘钥。其次如果一方的秘钥被泄露,那么加密信息也就不安全了。另外,每对用户每次使用对称加密算法时,都需要使用其他人不知道的独一秘钥,这会使得收、发双方所拥有的钥匙数量巨大,密钥管理成为双方的负担。
2.2 非对称加密:
概念:
非对称加密算法需要两个密钥:公开密钥(publickey:简称公钥)和私有密钥(privatekey:简称私钥)。公钥与私钥是一对,如果用公钥对数据进行加密,只有用对应的私钥才能解密。因为加密和解密使用的是两个不同的密钥,所以这种算法叫作非对称加密算法。
常用算法:
RSA:目前使用最广泛的算法
DSA:数字签名算法,和 RSA 不同的是 DSA仅能用于数字签名,不能进行数据加密解密,其安全性和RSA相当,但其性能要比RSA快
ECC(椭圆曲线加密算法)
ECDSA:椭圆曲线签名算法,是ECC和 DSA的结合,相比于RSA算法,ECC 可以使用更小的秘钥,更高的效率,提供更高的安全保障
原理:
首先ssh通过加密算法在客户端产生密钥对(公钥和私钥),公钥发送给服务器端,自己保留私钥,如果要想连接到带有公钥的SSH服务器,客户端SSH软件就会向SSH服务器发出请求,请求用联机的用户密钥进行安全验证。SSH服务器收到请求之后,会先在该SSH服务器上连接的用户的家目录下。
优缺点:
相比于对称加密技术,非对称加密技术安全性更好,但性能更慢

三、ssh的应用


1.ssh配置文件信息

在linux中实现ssh,是通过opsnSSH的sshd服务提供的

1.1.ssh服务端的配置文件:
/etc/ssh/sshd_config

1.2 存放ssh客户端的配置文件
/etc/ssh/ssh_config


2.ssh的基本用法

选项:

  • -l 选项,指定登录名称。
  • -p 选项,指定登录端口
  • -t
2.1.直接连接ip地址:
格式:ssh   ip地址

第一次连接时会询问你是否要验证公钥,同意之后,下次登录就会自动获取服务端的公钥
2.2.连接指定用户:

  • ssh   用户名@ip地址
  • ssh  -l   用户名    ip地址

2.3.连接指定端口号:
格式:  ssh    ip地址     -p    端口号
sshd服务的默认端口号是 22,如果不是此端口,需要 -p 来指定端口
在  /etc/ssh/sshd_config下面修改端口号


2.4.跳板机:
使用跳板是为了方便和安全
格式:   ssh   -t  ip地址   ssh   -t   ip地址     ssh   -t     ip地址   ........
将172.16.195.3 做为中间跳板远程连接 172.16.195.4

2.5.直接跟上命令远程操作:
格式: ssh   ip地址    想使用的命令


3. 黑白名单

白名单:默认拒绝所有,只有白名单上允许的人才可以访问
黑名单:默认允许所有,只有黑名单上的用户让你不允许访问
(白名单优先级高,但一般不会同时使用白名单和黑名单,白名单使用会多一点)
3.1 白名单:
在172.16.195.3上
在  /etc/ssh/sshd_config   里手动添加
在空白处添加此内容

在 172.16.195.4上连接


3.2黑名单:
在172.16.195.3上设置

用172.16.195.4上的gg用户请求连接
连接不上

用172.16.195.4上的root用户请求连接
连接上了


3.3.更改默认端口
打开配置文件&mdash;&mdash;vim /etc/ssh/sshd_config



3.4.禁止root用户登陆:
打开配置文件&mdash;&mdash;vim /etc/ssh/sshd_config
在空白处添加
在172.16.195.3上

在172.16.195.4上
发现连接不上

但是可以切换用户连接上

在pam.d/su配置文件上开启

切换用户也连接不上了

3.5. ssh服务的最佳实践:

  • 建议使用非默认端口 22
  • 禁止使用protocol version 1
  • 限制可登录用户 白名单
  • 设定空闲会话超时时长
  • 利用防火墙设置ssh访问策略
  • 仅监听特定的IP地址 公网 内网
  • 基于口令认证时,使用强密码策略,比如:tr -dc A-Za-z0-9_ < /dev/urandom | head -c 12| xargs
  • 使用基于密钥的认证
  • 禁止使用空密码
  • 禁止root用户直接登录
  • 限制ssh的访问频度和并发在线数
  • 经常分析日志 分离
  • 如果有一天登录ssh变得非常非常慢,请禁用反向解析

三. 使用密钥对免交互验证登录

原理:

  • 用户/密码
  • 基于秘钥
用户/密码:

  • 1.生成公钥和私钥
  • 2.将公钥导给对面


  • 客户端发起ssh请求,服务器会把自己的公钥发送给用户
  • 用户会根据服务器发来的公钥对密码进行加密
  • 加密后的信息回传给服务器,服务器用自己的私钥解密,如果密码正确,则用户登录成功
基于密钥的登录方式


  • 首先在客户端生成一对密钥(ssh-keygen)
  • 并将客户端的公钥ssh-copy-id 拷贝到服务端
  • 当客户端再次发送一个连接请求,包括ip、用户名
  • 服务端得到客户端的请求后,会到authorized_keys()中查找,如果有响应的IP和用户,就会随机生成一个字符串,例如:kgc
  • 服务端将使用客户端拷贝过来的公钥进行加密,然后发送给客户端
  • 得到服务端发来的消息后,客户端会使用私钥进行解密,然后将解密后的字符串发送给服务端
  • 服务端接受到客户端发来的字符串后,跟之前的字符串进行对比,如果一致,就允许免密码登录
1.创建密钥

2.将密钥传送给服务端

3.在服务端查看是否收到密钥文件
如果有,会生成一个 authorized_keys 文件


总结

以上为个人经验,希望能给大家一个参考,也希望大家多多支持脚本之家。

来源:https://www.jb51.net/server/319171wo1.htm
免责声明:由于采集信息均来自互联网,如果侵犯了您的权益,请联系我们【E-Mail:cb@itdo.tech】 我们会及时删除侵权内容,谢谢合作!

举报 回复 使用道具