注意：此处的操作都是在CentOS(Redhat)下完成的，其他linux系统下的配置可能略有不同。
[TOC]
几个名词
ssh
Security SHell的简写。他主要是用于解决telnet的明文认证过程。
ssh有两个版本,下文用v1和v2表示这两个版本。
OpenSSH
ssh的开源实现版本
ssh客户端
- linux
- ssh
- windows
- putty
- SecureCRT
- x-manager
- sshSecureShellClient
ssh服务端
一般而言,ssh的服务端都是linux下的，windows下的服务端并未听说。
此处指的也是linux下的ssh服务端--sshd
默认的sshd都是运行在后台，监听于 22号 端口
[root@c2 ~]# netstat -tnlp | grep ssh
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 2581/sshd
tcp 0 0 127.0.0.1:6010 0.0.0.0:* LISTEN 3124/sshd
tcp 0 0 :::22 :::* LISTEN 2581/sshd
tcp 0 0 ::1:6010 :::* LISTEN 3124/sshd
[root@c2 ~]# service sshd status
openssh-daemon (pid 2581) is running...
ssh认证方式
基于口令
在这种比较传统的方式下，无论是明文口令还是相当复杂的加密之后的口令，最终都会在网络上传输给远程主机以验证登陆者的身份。当然，这种方式不是ssh认证的推荐方式，在此也不讨论该种方式，重点在基于秘钥的认证。也不重点讨论基于秘钥的认证过程原理，重点讨论如何配置(OpenSSH)基于秘钥的认证。
基于秘钥
简言之，这种方式就是服务端和客户端“对暗号”，而不再是传输口令。至于具体的原理请搜索对称加密算法，比如rsa、dsa。
基本方式就是：发送方用自己的私钥加密数据，接收方用公钥解密数据。
一般情况下，ssh是禁止root用户直接进行远程登录的，都是先用普通用户登录到系统，之后在su到root用户。比如，ubuntu系统默认是禁止root远程登录的。
ssh配置文件
一般在CentOS/RedHat下，ssh服务端和客户端的配置文件都在/etc/ssh/目录下，修改配置之后一般需要重启或重新加载sshd服务的配置。
脚本位置：/etc/init.d/sshd
具体用法:
sshd {start|stop|restart|reload|force-reload|condrestart|try-restart|status}
[root@c2 ~]# tree /etc/ssh/
/etc/ssh/
├── moduli
├── ssh_config # 服务端配置文件
├── sshd_config # 客户端配置文件
├── ssh_host_dsa_key # v2-基于dsa的主机秘钥
├── ssh_host_dsa_key.pub # v2-基于dsa的主机秘钥
├── ssh_host_key # v1
├── ssh_host_key.pub # v1
├── ssh_host_rsa_key # v2-基于rsa的主机秘钥
└── ssh_host_rsa_key.pub# # v2-基于rsa的主机秘钥
sshd_config
以下是部分常用配置
其他具体配置请使用 man sshd_config
# ………………
Port 22 #端口
Protocol 2 #sshd启用的协议版本
AddressFamily any # 支持的ip协议版本,any表示同时支持ipv4h和ipv6
# v1对应的主机秘钥
#HostKey /etc/ssh/ssh_host_key
# v2对应的主机秘钥
#HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_dsa_key
# 秘钥重新生成的时间间隔，每一小时更换一次“暗号”
KeyRegenerationInterval 1h
# 服务器端秘钥长度
ServerKeyBits 1024
# 登录认证宽限期:2分钟
LoginGraceTime 2m
# 禁用root通过远程登录
PermitRootLogin no
# 是否使用严格模式
StrictModes yes
# 认证失败时允许重试的次数
MaxAuthTries 6
#是否支持基于rsa的秘钥认证
RSAAuthentication yes
#是否支持基于秘钥的认证
PubkeyAuthentication yes
#认证秘钥的存放位置
AuthorizedKeysFile .ssh/authorized_keys
#是否启用基于口令的认证
PasswordAuthentication yes
#是否允许空口令
PermitEmptyPasswords no
# ………………
# ssh远程登录成功后的欢迎语所在文件的路径
#Banner /path/to/some/file
# 是否打印 /etc/motd文件内容
PrintMotd yes
# 是否打印上次登录日志
PrintLastLog yes
# override default of no subsystems
Subsystem sftp /usr/libexec/openssh/sftp-server
#PidFile /var/run/sshd.pid
用户家目录下的配置文件
一般情况下，只要你使用过ssh服务，用户家目录下会生成一个名为 .ssh的目录。
drwx------. 2 root root 4096 Sep 17 15:32 .ssh
并且该目录的权限为700,若该目录是你手动创建,请注意手动修改权限，否则ssh服务可能无法正常使用。
[root@c2 ~]# tree ~/.ssh/
/root/.ssh/
├── authorized_keys #受信任的认证过的主机秘钥信息
├── id_rsa #私钥
├── id_rsa.pub #公钥
└── known_hosts #已知主机
- known_hosts:该文件保存着登录过的已知的主机秘钥信息,文件内容可能如下所示：
c2 ssh-rsa A...Fw==
127.0.0.1 ssh-rsa AAA...oFw==
c3,192.168.110.143 ssh-rsa AAsdfsdf......oFw==
常用命令
ssh
ssh -l <user-name> <host> ['command']
ssh -l root 127.0.0.1 #登录到127.0.0.1
ssh -l root 127.0.0.1 'ifconfig' #发送命令到远程主机执行
ssh <user-name>@<host> ['command']
ssh root@127.0.0.1 #登录到127.0.0.1
ssh root@127.0.0.1 'ifconfig' #发送命令到远程主机执行
scp
顾名思义，就是基于ssh的copy命令。能够实现在主机间传输数据。而且是基于ssh基名传输的。用法和copy命令类型。
scp [option] <src> <dest>
option
-a
-r
-p
scp ~/.bashrc root@c3:/home/tmp.file
该命令既可以当下载命令也可以当上载命令。取决于src和dest的实际意义。
ssh-keygen
该命令用于生成秘钥
ssh-keygen
-t :算法类型 rsa|dsa
-f :生成的秘钥文件
-N :'password'
# 将会在~/.ssh/下生成文件id_rsa(私钥)和id_rsa.pub(公钥)
ssh-keygen -t rsa -f ~/.ssh/id_rsa
ssh-keygen -t rsa #省略-f选项时默认的文件为~/.ssh/id_rsa
ssh-copy-id
专门用于传输公钥的命令
ssh-copy-id -i /path/to/pub-key user@remotehost
ssh-copy-id -i ~/.ssh/id_rsa.pub root@c3
sftp
可以理解为ssh版本的ftp
sftp user@remotehost
应用
ssh免登陆配置
此处以c2主机免登陆c3主机为例
- (1) c2上生成一对秘钥
ssh-keygen -t rsa -f ~/.ssh/id_rsa
- (2) 将公钥传输至服务器端(c3)某用户家目录下
~/.ssh/authorized_keys文件中
方式一:ssh-copy-id
ssh-copy-id -i ~/.ssh/id_rsa.pub root@c3
方式二:scp复制公钥并追加至服务端某用户家目录下~/.ssh/authorized_keys文件中,其实ssh-copy-id命令实际上也是做了类似的事情
- (3) 测试登录
ssh root@c3
