ssh客户端

阅读量：5862 次

发布时间：2019-06-19

本文共 4291 字，大约阅读时间需要 14 分钟。

ssh客户端

ssh,配置文件：/etc/ssh/ssh_config

在配置文件/etc/ssh/ssh_config中Strict HostKey Checking no 首次登录不显示检查提示。

格式：ssh [user@]host IP地址 [command]

ssh [-l user]host IP地址 [command]

（如果不指定用户，你是哪个用户就连接哪个用户上，后面还可跟命令）

Ssh客户端允许实现对远程系统经验证地加密安全访问

当用户远程连接ssh服务器时，会复制ssh服务器/etc/ssh/ssh_host*key.pub（CentOS7默认是ssh_host_ecdsa_key.pub）文件中的公钥到客户机的~./ssh/know_hosts中。下次连接时，会自动匹配相应私钥，不能匹配，将拒绝连接

下面来看一下ssh的一些选项：

-p port端口号:远程服务器监听的端口

例如：ssh 192.168.10.178 -p 2222 如果将服务器的端口改为2222，再用ssh连接不指定端口（默认是22端口），此时就无法连接，连接时指定端口号就可以连接了。

改端口号：semanage port -a -t ssh_port_t -p tcp 端口号（如果启用了SELinux策略，改的端口号为非标准端口号，违反了SELinux策略，直接修改配置文件是不可以的，要用这种方法去修改，记得改完之后重启一下sshd服务）

-b 指定源IP来连接服务器

-v:调试模式（连接的时候发现一些错误，可以用-v来排错）

-C：压缩方式

-X: 支持x11转发

xclock命令在centos6上面可以打开小钟表，在centos7上面打不开，现在我用centso7去连接centos6，直接连接上去，执行xclock命令是打不开小钟表的，需要价格-X选项，才能打开

-Y：支持信任x11转发

ForwardX11Trusted yes

-t: 强制伪tty分配

小实验：

如图：假如企业内部有两台机器B,C，其中C是ssh service ,企业内部连接互联网是通过防火墙来连接的，只有B才能连接到C，A不能直接连接C，假如A出差了，在企业外部，现在A想要连接C，怎样连接呢？A可以连接到B，通过B这个跳板再来连接到C ssh -t B(ip地址) ssh C(ip地址)

实验环境：有3台机器A,B,C，这3台机器都在一个网段中。

1）先在C机器上制定防火墙策略，拒绝A机器连接iptables -A INPUT -s 192.168.10.136 -j REJECT

这样A就不能直接连接C了，，B可以连接C，A可以连接B，所以B可以做跳板，让A借助B来连接C

2）ssh -t 192.168.10.135 ssh 192.168.10.178 这样就能连接了，需要输入两次密码

常见的ssh连接问题

在用ssh连接的时候我们会遇到一些问题，接下来介绍一下这些问题和解决这些问题的方案

（1）解决ssh连接较慢的方案

我们在用ssh连接的时候可能会非常慢，可以调整服务器端的配置文件，修改以下两项，重启服务，就能生效，再重启sshd服务，之后再用ssh连接就非常快了

vim /etc/ssh/sshd_config 编辑服务器端的配置文件

然后systemctl restart sshd.service（centos7）或service sshd restart(centos6),重启一下sshd服务，就可以了

（2）去掉ssh第一次连接服务器提示的yes or no？

当某台机器第一次去连接某服务器时，会问你是否要继续连接，yes or no？，敲了yes就会在家目录下的.ssh目录下生成了一个known_hosts文件，这个文件就记录了你所连接的每一台服务器的公钥key（如下图我目前只连接了一个服务器，所以只有一个服务器的公钥key）

下面就来修改配置文件来解决这个问题

vim /etc/ssh/sshd_config

将该项改为no，第一次连接不用提示yes或者no

（3）/etc/ssh中的key不能被破坏

ssh中的key不能被破坏，如果这些key都被删了，ssh服务不能被启动

先关闭了sshd服务，再开启sshd服务，然后就发现启动失败

再把/app/下的key移回来就可以启动成功了。

ssh服务登录验证方式

1.用户/口令

2.基于密钥

1.基于用户名口令登录验证

基于用户和口令登录验证（客户端用服务器的公钥加密密码，再发给服务器，服务器再拿私钥解开密码，验证密码是否正确）

1）客户端发起ssh请求，服务器会把自己的公钥发送给用户

2）用户会根据服务器发来的公钥对密码进行加密

3）加密后的信息回传给服务器，服务器用自己的私钥解密，如果密码正确，则用户登录成功

2.基于密钥的登录方式

1）首先在客户端生成一对密钥（ssh-keygen）

2）并将客户端的公钥ssh-copy-id 拷贝到服务端

3）当客户端再次发送一个连接请求，包括ip、用户名

4）服务端得到客户端的请求后，会到authorized_keys中查找，如果有响应的IP和用户，就会随机生成一个字符串，例如：acdf

5）服务端将使用客户端拷贝过来的公钥进行加密，然后发送给客户端

6）得到服务端发来的消息后，客户端会使用私钥进行解密，然后将解密后的字符串发送给服务端

7）服务端接受到客户端发来的字符串后，跟之前的字符串进行对比，如果一致，就允许免密码登录

基于密钥的认证：

1）在客户端生成密钥对 ssh-keygen -t rsa -P '' -f /root/.ssh/id_rsa

-t 指定算法（默认是rsa算法） -P指定私钥的口令，什么都不写就是生成的私钥没有口令 -f 指定私钥文件路径（默认是/root/.ssh/id_rsa）

2）把公钥文件传输至远程服务器对应用户的家目录 ssh-copy-id -i /root/.ssh/id_rsa 192.168.10.107

ssh-copy -i /root/.ssh/id_rsa 192.168.10.107 该命令看似传输的是私钥，其实传输的是公钥，我们来看一下公私钥是什么样的

如下图：我们看到公私钥的内容

在服务器上的家目录下查看一下authorized_keys这个文件是否生成

再来查看一下这个文件authorized_keys

对比一下上面的公私钥的内容，可以发现传输的确实是公钥

3）测试

好了，现在我们开始连接服务器了，如下图，发现直接就能连接上去了，不用输密码

4）在SecureCRT或Xshell实现基于key验证

在SecureCRT工具—>创建公钥—>生成Identity.pub文件

转化为openssh兼容格式（适合SecureCRT，Xshell不需要转化格式），并复制到需登录主机上相应文件authorized_keys中,注意权限必须为600，在需登录的ssh主机上执行：

ssh-keygen-i-f Identity.pub >> .ssh/authorized_keys

5）重设私钥口令：ssh-keygen –p

如果你觉得你的口令不安全，就可以重设私钥口令，我们上面就没有对私钥设口令，这是很不安全的，下面我就给私钥重设口令，如下图，我们可以发现重设私钥密码后，再去连接服务器，就不会那么容易了，需要你输入设定的私钥密码

6）验证代理（authentication agent）保密解密后的密钥

•这样口令就只需要输入一次

•在GNOME中，代理被自动提供给root用户

•否则运行ssh-agent bash

7）钥匙通过命令添加给代理

ssh-add

第六步和第七步合在一起用，我们在管理多台服务器时，你要一个一个的连接，一个一个的输密码，连接上去，这样十分麻烦的，而且效率低下，我们可以基于秘钥登陆的方式，来连接多台服务器，这样你在连接多台服务器时，就不用一个一个的输入每一台服务器的密码了，你只需记住一个私钥密码，连接的时候输入私钥密码，就可以连接多台服务器了，如果你连私钥密码都懒得输入，就可以将第六步和第七步结合在一起使用，如下图，先验证代理，再把私钥密码托管给代理，这样你再去连接其他服务器就不用输入私钥密码了