SSH-远程登录
engineer0 2019-06-26
SSH是一种网络协议，用于计算机之间的加密登录。
一、客户端登录基本用法
$ ssh user@host （可以在config中配置，使用 ssh 别名，不需要用户名和主机ip. config配置见五） $ ssh host 如果本地用户名与远程用户名一致，登录时可以省略用户名
SSH的默认端口是22，登录请求会送进远程主机的22端口，使用p参数，可以修改这个端口。
$ ssh -p 2222 user@host
二、口令登录(密码登录)--使用远程主机公钥加密密码，远程私钥解密
过程：
（1）远程主机收到用户的登录请求，把自己的公钥发给用户。（2）用户使用这个公钥，将登录密码加密后，发送回来。
（3）远程主机用自己的私钥，解密登录密码，如果密码正确，就同意用户登录。
首次登录时，系统提示：无法确认主机真实性，只知道它的公钥指纹(公钥1024位，通过MD5计算，变成128位的指纹)，是否连接？
当远程主机的公钥被接受以后，它就会和ip一起被保存在文件$HOME/.ssh/known_hosts之中。再次登录时，主机发来的公钥直接与known_hosts文件中的对应iP的公钥作对比，从而跳过警告部分，直接提示输入密码。
风险: 如果攻击者插在用户与远程主机之间（比如在公共的wifi区域），用伪造的公钥，获取用户的登录密码。再用这个密码登录远程主机，那么SSH的安全机制就荡然无存了。这种风险就是著名的"中间人攻击"（Man-in-the-middle attack）。
每个SSH用户都有自己的独立的known_hosts文件，此外系统也有一个这样的文件，通常在/etc/ssh/ssh_known_hosts，保存一些对所有用户都可信赖的远程主机的公钥。
三、公钥登录(密钥登录)--本地使用私钥加密远程主机发送的随机字符
SSH还提供了公钥登录，可以省去输入密码的步骤。
过程：
（1）用户本地生成密钥对，一个私钥一个公钥。 （也可以远程生成一对，把私钥下载到本地）（2）登录前，上传自己的公钥到服务器 .ssh/authorized_keys中，注意文件夹和文件的权限。
（3）客户端向服务器发出请求，请求用你的密匙进行安全验证；
（4）服务器收到请求之后，先在该服务器上寻找你的公钥，然后把它和你发送过来的公用密匙进行比较。如果两个密匙一致，服务器就用这个公钥加密一个随机字符串并把它发送给客户端；
（5）本地收到后，使用私钥进行解密，如果生成密钥时，加了密码，此时需要密码，然后将解密后的字符串发送给服务端；
（6）远程主机得到的解密字符串与最初发送的一致，就证明用户是可信的，直接允许登录shell，不再要求密码。
这种方式的好处是其他机器无法仿冒真正的服务器，因为必须拿到客户端的公钥。这就要求用户必须提供自己的公钥。使用这种方法的步骤：
1.如果没有，可以直接用ssh-keygen生成一个,ssh-keygen是用于生产密钥的工具：
$ ssh-keygen $ ssh-keygen -b 1024 -t rsa -P '' -f ~/.ssh/id_rsa
参数说明：
-b：采用长度为1024字节的公钥/私钥对，最长4096字节，一般1024或2048,rsa方式最短不能小于768字节长度。 -t：指定生成密钥类型（rsa、dsa、ecdsa等）,默认为SSH-2 的rsa类型; -P：指定passphrase，用于确保私钥的安全 -f：指定存放密钥的文件
运行上面的命令以后，系统会出现一系列提示，可以一路回车。其中有一个问题是，要不要对私钥设置口令（passphrase），如果担心私钥的安全，这里可以设置一个。运行结束以后，在$HOME/.ssh/目录下，会新生成两个文件：id_rsa.pub和id_rsa。前者是你的公钥，后者是你的私钥。
2.最关键的是要留意远程服务器上的文件和目录的权限问题
再一次强调用户自己的目录（~/.ssh）必须不能有其他人可写的权限，否则ssh服务器会拒绝登录。
//~/.ssh 目录的必须是700权限 $ chmod 700 ~/.ssh
// ~/.ssh/authorized_keys 必须是600权限，, 否则ssh服务器会拒绝用户登陆 $ chmod 600 ~/.ssh/authorized_keys
3.将公钥传送到远程主机host上面的3种方法：
$ scp -P 22 ~/.ssh/id_rsa.pub user@host:~/authorized_keys #可选参数-P $ ssh-copy-id user@host #此种方式简单，不需追加改文件名，但不能指定端口号，默认以22端口 $ cat ~/.ssh/id_rsa.pub | ssh -p 22 user@host 'cat >> ~/.ssh/authorized_keys'
4.如果连接不成功，打开远程主机的/etc/ssh/sshd_config这个文件，打开密钥登录功能。检查下面几行前面"#"注释是否取掉。
RSAAuthentication yes PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys
另外，请留意 root 用户能否通过 SSH 登录：
PermitRootLogin yes
当你完成全部设置，并以密钥方式登录成功后，再禁用密码登录：
PasswordAuthentication no
然后，重启远程主机的ssh服务。
// ubuntu系统 service ssh restart // debian系统 /etc/init.d/ssh restart
四、known_hosts、authorized_keys文件
known_hosts, 首次登录远程主机时，确认后，远程主机发来的公钥(是固定的，不是随机改变的，因为是公钥，可公开)，之后登录就不再需要确认了。authorized_keys, 远程主机$HOME/.ssh/authorized_keys中，保存登录用户的公钥。用于密钥登录（免密码登录）。公钥就是一段字符串，只要把它追加在authorized_keys文件的末尾就行了。
这里不使用上面的ssh-copy-id命令，改用下面的命令，解释公钥的保存过程：
$ ssh user@host 'mkdir -p .ssh && cat >> .ssh/authorized_keys' < ~/.ssh/id_rsa.pub
这条命令由多个语句组成，依次分解开来看：
- "$ ssh user@host"，表示登录远程主机；
- 单引号中的mkdir .ssh && cat >> .ssh/authorized_keys，表示登录后在远程shell上执行的命令：
- "$ mkdir -p .ssh"的作用是，如果用户主目录中的.ssh目录不存在，就创建一个；
- 'cat >> .ssh/authorized_keys' < ~/.ssh/id_rsa.pub的作用是，将本地的公钥文件~/.ssh/id_rsa.pub，重定向追加到远程文件authorized_keys的末尾。
写入authorized_keys文件后，公钥登录的设置就完成了。
五、config文件
ssh client有两个配置文件，/etc/ssh/ssh_config和~/.ssh/config，前者是对所有用户，后者是针对某个用户，不存在可以创建一个，两个文件的格式是一样的。ssh默认使用~/.ssh/id_rsa这个密钥，想使用指定密钥的两种方法：
1.ssh -i path/to/id_rsa username@server.com
2.可以在~/.ssh/config中配置IdentifyFile，同时也可以配置用户名、服务器地址
Host server1
HostName server.com
User username
IdentifyFile path/to/id_rsa使用 ssh server1。server1 就是个别名，可以任意取名，不取也可以
Host *github.com*
User git
IdentityFile ~/.ssh/id_rsa_github示例： 有两个github账号，一台电脑上都要访问这两个账号，都使用ssh key认证方式
Host github-user1
HostName github.com
User git
IdentityFile ~/.ssh/id_rsa1
Host github-user2
HostName github.com
User git
IdentityFile ~/.ssh/id_rsa2使用git clone时就用如下命令：
$ git clone github-user1:user1/repo.git $ git clone github-user2:user2/repo.git
指定哪个用户登录哪个主机，使用哪个私钥，权限 rw--r--r。 （ly：指定的是私钥，所以用于公钥／密钥／免密码登录时。密码登录不需要私钥。）
六、ssh配置文件ssh_config和sshd_config区别（参考：www.cnblogs.com/xiaochina/p/5802008.html）
ssh_config和sshd_config都是ssh服务器的配置文件，二者区别在于，前者是针对客户端的配置文件，后者则是针对服务端的配置文件。两个配置文件都允许你通过设置不同的选项来改变客户端程序的运行方式。
