一、ssh基本介绍
1. ssh简介
- 简单来说，ssh是一种网络协议，用于计算机之间的加密登录。
- 如果一个用户从本地计算机，使用ssh协议登录另一台远程计算机，我们就可以认为，这种登录是安全的，即使被中途截获，密码也不会泄露。
- ssh只有一种协议，存在多种实现，既有商业实现，也有开源实现。
2. ssh基本用法
(1) 使用远程服务器用户名+主机名(ip)：ssh user@host
# 示例
ssh root@106.15.235.215
(2) 如果本地用户名和远程用户名一致，则登录时可以省略用户名：ssh host
# 示例：假设本地切换为root用户，远程也为root用户
ssh 106.15.235.215
(3) 使用-p参数，可以修改这个端口：ssh –p 端口号 user@host
ssh的默认端口是22，即 你的登录请求默认会送进远程主机的22端口
# 示例
ssh -p 5555 root@106.15.235.215
(4) 重启ssh服务
/etc/init.d/sshd restart
# 或
service sshd restart
3. 中间人攻击
- SSH之所以能够保证安全，原因在于它采用了公钥加密。整个过程如下：
（1）远程主机收到用户的登录请求，把自己的公钥发给用户。
（2）用户使用这个公钥，将登录密码加密后，发送回来。
（3）远程主机用自己的私钥，解密登录密码，如果密码正确，就同意用户登录。 -
这个过程本身是安全的，但是实施的时候存在一个风险：
如果有人截获了登录请求，然后冒充远程主机，将伪造的公钥发给用户，那么用户很难辨别真伪。因为不像https协议，SSH协议的公钥是没有证书中心（CA）公证的，也就是说，都是自己签发的。
可以设想，如果攻击者插在用户与远程主机之间（比如在公共的wifi区域），用伪造的公钥，获取用户的登录密码。再用这个密码登录远程主机，那么SSH的安全机制就荡然无存了。
这种风险就是著名的"中间人攻击"。
中间人攻击
4. 安全认证机制
从客户端来看，SSH提供两种级别的安全验证。
(1) 第一种级别（基于口令的安全验证）
- 只要你知道自己帐号和口令，就可以登录到远程主机。
- 所有传输的数据都会被加密，但是不能保证你正在连接的服务器就是你想连接的服务器，可能会有别的服务器在冒充真正的服务器，也就是受到中间人攻击。
(2) 第二种级别（基于密匙的安全验证）
- 需要依靠密匙，也就是你必须为自己创建一对密匙, 并把公用密匙放在需要访问的服务器上；
- 当发送登录远程服务器请求时，会告诉服务器，请求用该用户的密匙进行安全验证；
- 服务器收到请求之后，先在该服务器上该用户的主目录下寻找该用户的公用密匙，然后把它和该用户发送过来的公用密匙进行比较；
- 如果两个密匙一致，服务器就用公用密匙加密“质询”（challenge）并把它发送给客户端。客户端收到“质询”之后就可以用该用户的私人密匙解密再把它发送给服务器。
(3) 两种级别比较
对于第二种级别，你必须知道自己密匙的口令。但是，与第一种级别相比，第二种级别不需要在网络上传送口令。第二种级别不仅加密所有传送的数据，而且“中间人”这种攻击方式也是不可能的（因为他没有用户的私人密匙）。但是整个登录的过程可能需要10秒。
5. authorized_keys文件
将本地用户生成的公钥推送至远程服务器后，远程主机将用户的公钥，保存在登录后的用户主目录的$HOME/.ssh/authorized_keys文件中。公钥就是一段字符串，只要把它追加在authorized_keys文件的末尾就行了。
这里不使用ssh-copy-id命令，改用下面的命令，来解释公钥的保存过程：
ssh user@host 'mkdir -p .ssh && cat >> .ssh/authorized_keys' < ~/.ssh/id_rsa.pub
说明：
1）"ssh user@host"，表示登录远程主机；
2）单引号中的mkdir .ssh && cat >> .ssh/authorized_keys，表示登录后在远程shell上执行的命令；
3）"mkdir -p .ssh"的作用是，如果用户主目录中的.ssh目录不存在，就创建一个；
4）'cat >> .ssh/authorized_keys' < /.ssh/id_rsa.pub的作用是，将本地的公钥文件/.ssh/id_rsa.pub，重定向追加到远程文件authorized_keys的末尾。
5）写入authorized_keys文件后，公钥登录的设置就完成了。
二、ssh配置文件详解
1. /etc/ssh/ssh_config配置文件
选项参数 说明
Host * 选项“Host”只对能够匹配后面字串的计算机有效。“*”表示所有的计算机。
ForwardAgent no 设置连接是否经过验证代理（如果存在）转发给远程计算机。
ForwardX11 no 设置X11连接是否被自动重定向到安全的通道和显示集（DISPLAY set）
RhostsAuthentication no 设置是否使用基于rhosts的安全验证
RhostsRSAAuthentication no 设置是否使用用RSA算法的基于rhosts的安全验证
RSAAuthentication yes 设置是否使用RSA算法进行安全验证
PasswordAuthentication yes 设置是否使用口令验证
FallBackToRsh no 设置如果用ssh连接出现错误是否自动使用rsh
UseRsh no 设置是否在这台计算机上使用“rlogin/rsh”
BatchMode no 如果设为“yes”，passphrase/password（交互式输入口令）的提示将被禁止。当不能交互式输入口令的时候，这个选项对脚本文件和批处理任务十分有用
CheckHostIP yes 设置ssh是否查看连接到服务器的主机的IP地址以防止DNS欺骗。建议设置为“yes”
StrictHostKeyChecking no 如果设置成“yes”，ssh就不会自动把计算机的密匙加入“$HOME/.ssh/known_hosts”文件，并且一旦计算机的密匙发生了变化，就拒绝连接
IdentityFile ~/.ssh/identity 设置从哪个文件读取用户的RSA安全验证标识
Port 22 设置连接到远程主机的端口
Cipher blowfish 设置加密用的密码
EscapeChar ~ 设置escape字符
2. /etc/ssh/sshd_config配置文件
参数选项 说明
Port 22 SSH 预设使用 22 这个 port，您也可以使用多的 port ！
Protocol 2,1 选择的 SSH 协议版本，可以是 1 也可以是 2 ，如果要同时支持两者，就必须要使用 2,1 这个分隔了！
ListenAddress 0.0.0.0 监听的主机适配卡！举个例子来说，如果您有两个 IP，分别是 192.168.0.100 及 192.168.2.20 ，那么只想要开放 192.168.0.100 时，就可以写如同下面的样式：
ListenAddress 192.168.0.100 只监听来自 192.168.0.100 这个 IP 的SSH联机。如果不使用设定的话，则预设所有接口均接受 SSH
PidFile /var/run/sshd.pid 可以放置 SSHD 这个 PID 的档案！左列为默认值
LoginGraceTime 600 当使用者连上 SSH server 之后，会出现输入密码的画面，在该画面中，在多久时间内没有成功连上 SSH server ，就断线！时间为秒！
Compression yes 是否可以使用压缩指令？
HostKey /etc/ssh/ssh_host_key SSH version 1 使用的私钥
HostKey /etc/ssh/ssh_host_rsa_key SSH version 2 使用的 RSA 私钥
HostKey /etc/ssh/ssh_host_dsa_key SSH version 2 使用的 DSA 私钥
KeyRegenerationInterval 3600 由前面联机的说明可以知道， version 1 会使用 server 的 Public Key ，每隔一段时间来重新建立一次！时间为秒！
ServerKeyBits 768 Server key 的长度！
SyslogFacility AUTH 当有人使用 SSH 登入系统的时候，SSH会记录信息
LogLevel INFO 登录记录的等级---》全部
PermitRootLogin no 是否允许 root 登入！预设是允许的，但是建议设定成 no！
UserLogin no 在 SSH 底下本来就不接受 login 这个程序的登入！
StrictModes yes 当使用者的 host key 改变之后，Server 就不接受联机
RSAAuthentication yes 是否使用纯的 RSA 认证！？仅针对 version 1 ！
PubkeyAuthentication yes 是否允许 Public Key ？只有 version 2
AuthorizedKeysFile .ssh/authorized_keys 设定若要使用不需要密码登入的账号时，那么那个账号的存放档案所在档名！
RhostsAuthentication no 本机系统不使用 .rhosts ， .rhosts 不安全！
IgnoreRhosts yes 是否取消使用 ~/.ssh/.rhosts 来做为认证！
RhostsRSAAuthentication no 针对 version 1 ，使用 rhosts 档案在/etc/hosts.equiv配合 RSA 演算方式来进行认证！
HostbasedAuthentication no 这个项目与上面的项目类似，不过是给 version 2 使用的！
IgnoreUserKnownHosts no 是否忽略家目录内的 ~/.ssh/known_hosts 这个档案所记录的主机内容
PasswordAuthentication yes 密码验证当然是需要的！
PermitEmptyPasswords no 上面那一项如果设定为 yes 的话，这一项就最好设定为 no ，这个项目在是否允许以空的密码登入！
ChallengeResponseAuthentication yes 挑战任何的密码认证！所以，任何 login.conf 规定的认证方式，均可适用！
PAMAuthenticationViaKbdInt yes 是否启用其它的 PAM 模块！启用这个模块将会导致 PasswordAuthentication 设定失效！
# 与Kerberos 有关的参数设定！底下不用设定
KerberosAuthentication no
KerberosOrLocalPasswd yes
KerberosTicketCleanup yes
KerberosTgtPassing no
# 有关在 X-Window 底下使用的相关设定
X11Forwarding yes
X11DisplayOffset 10
X11UseLocalhost yes
PrintMotd no 登入后是否显示出一些信息呢？例如上次登入的时间、地点等，预设是 yes ，但是，如果为了安全，可以考虑改为 no ！
PrintLastLog yes 显示上次登入的信息！预设也是 yes
KeepAlive yes 一般而言，如果设定这项目的话，那么 SSH Server 会传送KeepAlive 的讯息给 Client 端，以确保两者的联机正常！在这个情况下，任何一端死掉后， SSH 可以立刻知道！而不会有僵尸程序的发生！
UsePrivilegeSeparation yes 使用者的权限设定项目！
MaxStartups 10 同时允许几个尚未登入的联机画面
DenyUsers * 设定受抵挡的使用者名称
AllowUsers * 设定允许的使用者名称
三、ssh几种登录方式
1. 口令登录
输入命令 ssh user@host ，然后根据提示输入远程服务器的登录密码
user: 远程服务器的用户名
host: 远程服务器的主机名或ip
# 示例
ssh root@106.15.235.215
也可在配置文件/etc/ssh/ssh_config 中设置user和host(ip), 来简化命令, 配置如下：
Host ali-test
HostName 106.15.235.215
User root
配置后, 登录请求时只需输入如下命令：
ssh ali-test
2. 公钥登录
使用密码登录，每次都必须输入密码，非常麻烦。好在SSH还提供了公钥登录，可以省去输入密码的步骤。
公钥登录原理：就是用户将自己的公钥储存在远程主机上。登录的时候，远程主机会向用户发送一段随机字符串，用户用自己的私钥加密后，再发回来。远程主机用事先储存的公钥进行解密，如果解密验证成功，就证明用户是可信的，直接允许登录shell，不再要求密码。
- 步骤1：客户端(本地主机)生成密钥对
ssh-keygen -t rsa -b 2048 -v
执行上述命令首先会让你输入生成密钥的文件名： myPemKey (自定义)，之后一路回车。
Generating public/private rsa key pair.
Enter file in which to save the key (/home/anonymouse/.ssh/id_rsa): myPemKey
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in hetzner.
Your public key has been saved in hetzner.pub.
The key fingerprint is:
bb:c6:9c:ee:6b:c0:67:58:b2:bb:4b:44:72:d3:cc:a5 localhost@localhost
The key's randomart image is:
执行上述命令后，会在执行命令的当前目录下会生成myPemKey.pub、myPemKey 两个文件。
- 步骤2：将生成的公钥文件myPemKey.pub推送到远程服务器端，使服务器自动添加认证这个证书。
ssh-copy-id -i ~/myPemKey.pub root@106.15.235.215
- 步骤3：使用另外一个文件进行登录
sudo ssh -i ~/myPemKey root@106.15.235.215
# 或者将myPemKey 重命名为 myPemKey.pem
sudo ssh -i ~/myPemKey.pem root@106.15.235.215
- 步骤4：设置配置文件，简化命令
客户端在/etc/ssh/ssh_config配置文件设置:
Host ali-test
HostName 106.15.235.215
User root
IdentityFile ~/.ssh/myPemKey.pem # 密钥对中另一个文件的路径，建议放在./ssh/目录下
配置后，登录远程服务器时只需输入一下命令，便可直接登录成功：
ssh ali-test
四、ssh自定义安全设置
1. 修改默认端口，增加登陆时的一层保护。在远程服务器端配置文件/etc/ssh/sshd_config中修改：
Port 2222
修改后重启ssh服务
service sshd restart
则远程连接时指定端口
ssh user@host -p 2222
2. ssh使用时加参数 -l 后面跟用户名，表示登陆到对方的这个用户下面。
ssh -l user host -p 2222
等同于
ssh user@host -p 2222
3. ip限制：限制ssh登陆的来源ip，白名单设置（hosts.allow优先级最高）
(1) 通过iptables设置ssh端口的白名单,如下设置只允许192.168.1.0/24网段的客户机可以远程连接本机
Iptables -A INPUT -s 192.168.1.0/24 -p tcp -m state --state NEW -m tcp --dport 2222 -j ACCEPT
# 或者
vim /etc/sysconfig/iptables
-A INPUT -s 192.168.1.0/24 -p tcp -m state --state NEW -m tcp --dport 2222 -j ACCEPT
(2) 通过/etc/hosts.allow里面进行限制(如下)，/etc/hosts.deny文件不要任何内容编辑，保持默认！
vim /etc/hosts.allow
sshd:192.168.1.*,192.168.9.*,124.65.197.154,61.148.60.42,103.10.86.7:allow
sshd:all:deny
4. 用户限制：仅允许特定的用户通过SSH登陆
例如：
- 不允许root用户登录；
- 只允许几个指定的用户登录(如zhangsan、lisi、wangwu用户)
- 禁止某些指定的用户登录（如zhaoliu、zhouqi用户）
但是要注意：设置的这几个用户必须同时存在于本机和对方机器上
修改远程服务器ssh服务配置文件/etc/ssh/sshd_config
配置如下：
PermitRootLogin no //将yes修改为no
AllowUsers zhangsan lisi wangwu // 这个参数AllowUsers如果不存在，需要手动创建，用户之间空格隔开；
DenyUsers zhagnda liqin // 这个参数DenyUsers如果不存在，需要手动创建，用户之间空格隔开；
AllowGroups wheel ops // 也可以设置仅允许某个组的成员通过ssh访问主机。
5. 取消密码验证，只用密钥对验证
修改远程服务器ssh服务配置文件/etc/ssh/sshd_config
PasswordAuthentication no
PubkeyAuthentication yes
6. 只允许通过指定的网络接口来访问SSH服务，(如果服务器有多个IP的时候)
修改远程服务器配置文件/etc/ssh/sshd_config， 如下：
# 只允许远程机器通过ssh连接本机的192.168.1.15内网ip来进行登陆了。
ListenAddress 192.168.1.15 //默认监听的是0.0.0.0
7. 禁止空密码登录
如果本机系统有些账号没有设置密码，而ssh配置文件里又没做限制，那么远程通过这个空密码账号就可以登陆了，这是及其不安全的，所以一定要禁止空密码登陆。
修改远程服务器配置文件/etc/ssh/sshd_config，如下：
PermitEmptyPasswords no //这一项，默认就是禁用空密码登陆
参考：
