SSH免密登錄詳解

SSH（Security Shell）安全外殼協議，是較為可靠的，專為遠程登錄會話和其他網絡服務提供安全保證的協議。

​ 對於傳統的網絡服務程序（例如，FTP，Telnet等）來說，其本質上並不是安全的，主要原因在於，這些網絡應用程序在網絡上都是直接使用明文傳輸口令和數據的，對於別有用心的人來說，這些口令和數據是很容易被截獲的。另外，這些網絡服務程序的安全驗證方式也是存在弱點的，非常容易受到中間人（Man-In-The-Middle）這種方式的攻擊，簡而言之，就是中間人冒充真正的服務器接收你傳輸的數據，然後，再將數據轉發給真正的服務器，通過這種方式中間人就可以神不知鬼不覺地拿到你所有數據。

​ 通過使用SSH，則可以將所有傳輸的數據及口令進行加密，從而防止中間人攻擊，還可以防止DNS和IP欺騙，另外，使用SSH還有加快傳輸速度的好處，原因在於，SSH是可以對數據進行壓縮的。

SSH安裝詳解

SSH是安全外殼協議，而open-ssh則是SSH的開源實現，CentOS通常是默認安裝了open-ssh的。

整個SSH服務是包含SSH服務端(openssh-server)和SSH客戶端(openssh-clients)的，常用的ssh命令就是客戶端一部分。

SSH服務端與SSH客戶端之間的關係：節點A想要控制節點B，則節點A上需要安裝SSH客戶端，而節點B上需要安裝相應的SSH服務端，這樣，節點A才能向節點B發送控制命令和數據。

# 安裝openssh-server
[root@cos1 ~]# yum install -y openssh-server
Loaded plugins: fastestmirror
Loading mirror speeds from cached hostfile
 * base: mirrors.ustc.edu.cn
 * extras: mirrors.ustc.edu.cn
 * updates: mirrors.ustc.edu.cn
Package openssh-server-7.4p1-21.el7.x86_64 already installed and latest version
# 啟動openssh-server
[root@cos1 ~]# systemctl start sshd.service
# 安裝openssh-clients
[root@cos1 ~]# yum install -y openssh-clients
Loaded plugins: fastestmirror
Loading mirror speeds from cached hostfile
 * base: mirrors.ustc.edu.cn
 * extras: mirrors.ustc.edu.cn
 * updates: mirrors.ustc.edu.cn
Package openssh-clients-7.4p1-21.el7.x86_64 already installed and latest version

openssh服務的主配置文件路徑：/etc/ssh/sshd_config。

# SSH-Server常見的配置項
# 如果SSH連接提示端口不可用，可以在改文件中查看SSH端口，端口沒問題，就要考慮SSH服務是否正常啟動了
# SSH客戶端與服務端連接的默認端口號
Port 22

默認情況下，SSH服務提供了以下兩個非常有用的功能：

1、類似Telnet遠程連接服務器功能，即SSH服務（安全可靠的遠程登錄會話服務）

# 遠程連接服務
ssh user@hostname/ip

2、類似FTP的sftp-server服務，藉助SSH協議來傳輸數據，提供更安全的SFTP服務(vsftp, proftp).

# 文件拷貝服務
scp files user@hostname:/path/

SSH免密登錄配置

​ 對於分佈式環境組件（例如，Hadoop，HBase等）來說，組件的主/從節點通常需要遠程登錄到集群中其他節點並執行Shell命令，如果不使用SSH，則集群安全就無法保證，使用SSH服務的話，又需要用戶輸入目標服務器的免密，而主/從節點何時訪問其他節點是不可控的，而且，頻繁的需要用戶輸入密碼也是不可行的，這時候，免密登錄就非常重要的。

主機A通過SSH實現免密登錄主機B所需的配置過程大致可以分為以下兩步：

1、主機A在本地通過加密算法生成公鑰和私鑰

通過rsa算法生成公鑰和私鑰key對，默認情況下，身份驗證信息（也就是私鑰）保存在/user/.ssh/id_rsa文件下，而公鑰信息則保存在/user/.ssh/id_rsa.pub文件中。

[root@cos1 .ssh]# pwd
/root/.ssh
[root@cos1 .ssh]# ll
total 8
-rw-------. 1 root root 1679 Jun 22 00:04 id_rsa
-rw-r--r--. 1 root root  391 Jun 22 00:04 id_rsa.pub

2、將主機A的公鑰拷貝到主機B的授權文件(authorized_keys)中

# 通過ssh-copy-id命令將本地服務器公鑰上傳到指定服務器
[root@cos1 ~]# ssh-copy-id root@cos
... ... ... ... ... ... 
Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'root@cos'"
and check to make sure that only the key(s) you wanted were added.
# 現在，可以通過ssh root@cos訪問主機cos了
[root@cos1 ~]# ssh root@cos
Last login: Thu Jun 18 06:38:25 2020 from 192.168.58.1
[root@cos ~]# 

為了安全起見，通常將保存具體哪些主機可以免密訪問當前主機的授權文件authorized_keys文件設置為及root具有查看和修改的權限，用戶組及其他人無權訪問。

通過ssh-copy-id將主機A的公鑰拷貝到主機B之後，本質上，是在主機B的授權文件中添加了主機A的公鑰。

[root@cos .ssh]# ll
total 8
-rw-------. 1 root root 781 Jun 22 00:16 authorized_keys
-rw-r--r--. 1 root root 176 Jun 18 07:34 known_hosts

注意：

1、免密登錄，是用戶對用戶的，切換為其他用戶時，仍需要輸入密碼

2、免密登錄是單向的，也就是說，主機A將公鑰拷貝到主機B后，主機A可以免密登錄主機A，而主機B登錄主機A時仍然需要輸入密碼

圖解SSH免密登錄原理

通過上面一頓操作，主機A就可以免密登錄到主機A了，感覺有點神奇，那麼，免密登錄到底是怎麼實現的呢？也就是說，SSH協議又到底是什麼樣子呢？且看下圖分解~

上圖便是整個SSH免密登錄的配置及原理圖：

1、ServerA生成公鑰並上傳到ServerB上

2、Step 1: ServerA發送鏈接請求到ServerB

3、Step 2: ServerB在authorized_key中檢索ServerA的公鑰，隨機生成字符串，隨後利用公鑰對字符串進行加密，併發送給ServerA

4、Step 3: ServerA接收到密文後，利用私鑰進行解密，並將內容以明文的形式發送給ServerB

本站聲明:網站內容來源於博客園,如有侵權,請聯繫我們,我們將及時處理

【其他文章推薦】

※自行創業缺乏曝光? 網頁設計幫您第一時間規劃公司的形象門面

※網頁設計一頭霧水該從何著手呢? 台北網頁設計公司幫您輕鬆架站!

※想知道最厲害的網頁設計公司"嚨底家"!

※幫你省時又省力,新北清潔一流服務好口碑

※別再煩惱如何寫文案,掌握八大原則!

※產品缺大量曝光嗎?你需要的是一流包裝設計!