站長資訊網在實際生產環境中，不可能一直在服務器本地對服務器進行相應的管理，大多數企業服務器都是通過遠程登錄的方式進行管理的。當需要從一個工作站管理數以百計的服務器主機時，遠程維護的方式將更占優勢。
SSH 簡介
SSH（Secure Shell）是一種安全通道協議，主要用來實現字符界面的遠程登錄、遠程復制等功能。SSH協議對通信雙方的數據傳輸進行加密處理，其中包括用戶登錄時輸入的用戶口令。比以往的Telnet（遠程登錄）、RSH（遠程執行命令）等傳統的方式相比，SSH協議提供了更好的安全性。
一、配置OpenSSH服務端
OpenSSH是實現SSH協議的開源軟件項目。在CentOS 7.3系統中。OpenSSH服務器由openssh、openssh-server等軟件包提供（默認已安裝），并已將sshd添加為標準的系統服務。
1.服務監聽選項
sshd服務使用的默認端口號為22，必要時建議修改此端口號，并指定監聽服務的具體IP地址，以提高在網絡中的隱蔽性。除此之外，SSH協議的版本選用v2比v1的安全性要更好，禁用DNS反向解析可以提高服務器的響應速度。
[root@localhost ~]# vim /etc/ssh/sshd_config //修改sshd服務的主配置文件 ………… //省略部分內容 Port 22 //監聽端口為22 ListenAddress 0.0.0.0 //監聽地址為0.0.0.0，表示全部監聽 Protocol 2 //使用SSH v2的版本 UseDNS no //禁用DNS反向解析，提高響應速度 ………… //省略部分內容 [root@localhost ~]# systemctl restart sshd //重新啟動sshd服務 2.用戶登錄控制
sshd服務默認允許root用戶登錄，但在網絡中是很大的安全隱患，普遍的做法是普通用戶，然后切換到root用戶。
[root@localhost ~]# vim /etc/ssh/sshd_config //修改sshd服務的主配置文件 ………… //省略部分內容 LoginGraceTime 2m //登錄驗證時間為2分鐘 PermitRootLogin no //禁止root用戶登錄 MaxAuthTries 6 //最大重試次數為6次 PermitEmptyPasswords no //禁止空密碼登錄 ………… //省略部分內容 [root@localhost ~]# systemctl restart sshd //重新啟動sshd服務 當希望只允許或禁止某個用戶登錄時，可以使用AllowUsers或DenyUsers配置，兩者用法類似（但是注意不要同時使用）。例如允許xiaoli和xiaozhang用戶登錄，且其中xiaozhang用戶僅能從IP地址為192.168.1.2的地址遠程登錄。
[root@localhost ~]# vim /etc/ssh/sshd_config //修改sshd服務的主配置文件 ………… //省略部分內容 AllowUsers xiaoli xiaozhang@192.168.1.2 //多個用戶之間用空格進行分隔 [root@localhost ~]# systemctl restart sshd //重新啟動sshd服務 3.登錄驗證方式
sshd服務支持兩種驗證方式： 1.密碼驗證：對服務器中的本地系統用戶的登錄名稱、密碼進行驗證。這種方式使用最為簡便，但是系統用戶密碼存在可能遭遇密碼窮舉（暴力破解）; 2.密鑰對驗證：要求提供相匹配的密鑰信息才能通過驗證。通常先在客戶端中創建一對密鑰，然后將公鑰文件存放到服務器指定位置。遠程登錄時，系統將使用公鑰、私鑰進行加密/解密驗證，這種方式不易被假冒，且可以免交互登錄，在Shell中被廣泛應用。
當密碼驗證、密鑰對驗證都啟用時，服務器將優先使用密鑰對驗證！沒有特殊要求，建議兩種方式都啟用！
[root@localhost ~]# vim /etc/ssh/sshd_config //修改sshd服務的主配置文件 ………… //省略部分內容 PasswordAuthentication yes //啟用密碼驗證 PubkeyAuthentication yes //啟用密鑰對驗證 AuthorizedKeysFile .ssh/authorized_keys //指定公鑰庫文件 ………… //省略部分內容 [root@localhost ~]# systemctl restart sshd //重新啟動sshd服務 二、使用SSH客戶端程序
在CentOS 7.3系統中，OpenSSH客戶端由openssh-clients軟件包提供（默認已安裝），其中包括ssh遠程登錄命令，以及scp、sftp遠程復制和文件傳輸命令等。
1.命令程序（ssh、scp、sftp）應用
1）ssh遠程登錄
通過ssh命令可以遠程登錄sshd服務，為用戶提供一個安全的Shell環境，以便對服務器進行管理和維護！
[root@kehuduan ~]# ssh xiaozhang@192.168.1.1
如果sshd服務器使用非默認的端口號（比如2222）則需要使用“-p”選項指定端口號。
[root@kehuduan ~]# ssh -p 2222 xiaozhang@192.168.1.1 xiaozhang@192.168.1.1's password: //輸入密碼 [xiaozhang@fuwuduan ~]$ //登錄成功2）scp遠程復制
[root@kehuduan ~]# scp root@192.168.1.1:/etc/passwd /mnt //從服務器下載文件 root@192.168.1.1's password: passwd 100% 2360 2.3KB/s 00:00 [root@kehuduan ~]# scp 123.txt root@192.168.1.1:/mnt //從客戶端上傳文件 root@192.168.1.1's password: 123.txt 100% 0 0.0KB/s 00:00如果需要指定端口，使用“-P”選項！
3）sftp安全FTP
通過sftp命令可以利用SSH安全連接與遠程主機上傳、下載文件，采用了與FTP類似的登錄過程和交互式環境，便于目錄資源管理。
[root@kehuduan ~]# sftp root@192.168.1.1 root@192.168.1.1's password: Connected to 192.168.1.1. sftp> put 456.txt //上傳文件 Uploading 456.txt to /root/456.txt 456.txt 100% 0 0.0KB/s 00:00 sftp> get /root/789.txt //下載文件 Fetching /root/789.txt to 789.txt sftp> bye2.圖形化工具
在Windows主機上可以使用一些列圖形化工具Xshell、SecureCRT、Putty等圖形工具，支持Telnet、SSH、SFTP等協議，方便對Linux主機進行遠程管理。這些圖形化工具都提供了中文界面、功能和操作比較簡單，這里不再做深入介紹。
三、構建密鑰對驗證的SSH體系
密鑰對驗證方式可以為遠程登錄提供提供更好的安全性，流程圖：
1）第一種實現方法：
1.在客戶端創建密鑰對
在LInux客戶端中，通過ssh-keygen工具為當前用戶創建密鑰對文件，可用的加密算法為ECDSA或DSA（ssh-keygen命令的“-t”選項用于指定算法類型）
root@kehuduan ~]# su - xiaowang //切換到用戶xioawang [xiaowang@kehuduan ~]$ ssh-keygen -t ecdsa //創建基于ECDSA算法的SSH密鑰對 Generating public/private ecdsa key pair. Enter file in which to save the key (/home/xiaowang/.ssh/id_ecdsa): //指定私鑰存放位置 Created directory '/home/xiaowang/.ssh'. Enter passphrase (empty for no passphrase): //設置私鑰短語 Enter same passphrase again: //確認所設置的短語 Your identification has been saved in /home/xiaowang/.ssh/id_ecdsa. Your public key has been saved in /home/xiaowang/.ssh/id_ecdsa.pub. The key fingerprint is: 13:c2:03:63:bc:2e:d8:7e:be:f1:1b:1d:95:6b:4c:49 xiaowang@kehuduan The key's randomart image is: +--[ECDSA 256]---+ | .+ E | | ..+ . o | | .+ . = | | . o = . | | o . S + | |. o . . + | | . .. . . | | . .o . | | oo.o. | +-----------------+ [xiaowang@kehuduan ~]$ ls -lh ~/.ssh/id_ecdsa* -rw-------. 1 xiaowang xiaowang 227 8月 8 16:45 /home/xiaowang/.ssh/id_ecdsa -rw-r--r--. 1 xiaowang xiaowang 179 8月 8 16:45 /home/xiaowang/.ssh/id_ecdsa.pub新生成的密鑰對文件中，id_ecdsa是私鑰文件 ，權限為600，需妥善保管；id_ecdsa.pub是公鑰文件，用來提供給SSH服務器。
2.將公鑰文件上傳至服務器
將剛才生成的公鑰文件上傳到服務端用戶的公鑰數據庫中。
[xiaowang@kehuduan ~]$ scp ~/.ssh/id_ecdsa.pub root@192.168.1.1:/mnt root@192.168.1.1's password: //輸入密碼 id_ecdsa.pub 100% 179 0.2KB/s 00:00 //上傳成功3.在服務器中導入公鑰文本
在服務器中，目標用戶（指用阿里遠程登錄的賬號）的公鑰數據庫位于~/.ssh目錄，默認的文件名“authorized_keys”，需要自己手動創建！
[root@fuwuduan ~]# mkdir /home/xiaozhang/.ssh [root@fuwuduan ~]# cat /mnt/id_ecdsa.pub >> /home/xiaozhang/.ssh/authorized_keys [root@fuwuduan ~]# cat /home/xiaozhang/.ssh/authorized_keys ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBJmtmVbjnjH6NbWBRQcFjbYHoDBILQYclqrIHbVe0oyA15IXd+WBGsOcX3FYX8FYnIPHfL36Auj7aWb2MuVqmac= xiaowang@kehuduan4.在客戶端使用密鑰對驗證
[xiaowang@kehuduan ~]$ ssh xiaozhang@192.168.1.1
Last login: Thu Aug 8 16:03:33 2019 from 192.168.1.2
//不用輸入密碼，即可連接，實驗完成！
2）第二種實現方法：
[root@kehuduan ~]# ssh-keygen -t ecdsa //以root為例，生成root用戶的密鑰對文件 [root@kehuduan ~]# ssh-copy-id -i ~/.ssh/id_ecdsa.pub root@192.168.1.1 //“-i”用來指定公鑰文件，這一步把剛才第二、三步結合在一起 /bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed /bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys root@192.168.1.1's password: //輸入服務端root用戶密碼 Number of key(s) added: 1 Now try logging into the machine, with: "ssh 'root@192.168.1.1'" and check to make sure that only the key(s) you wanted were added. [root@kehuduan ~]# ssh root@192.168.1.1 Last login: Thu Aug 8 17:03:20 2019 //驗證實驗效果使用密鑰對驗證的方式登錄時，不需要知道目標用戶的面膜，而是驗證客戶端用戶的私鑰短語并檢查私鑰、公鑰是否配對，這樣安全性更好。
四、TCP Wrappers訪問控制
1）TCP Wrappers概述
TCP Wrappers將TCP服務程序“包裹”起來，代為堅挺TCP服務程序的端口，增加了一個安全監測過程，外聯的連接請求必須先通過這層安全監測，獲得許可證才能訪問真正的服務程序。如圖：
對于大多數Linux發行版，TCP Wrappers是默認提供的功能。CentOS 7.3使用的軟件包是tcp_wrappers-7.6-77.el7.x86_64.rpm。
對應TCP Wrappers保護機制的兩種實現方式： 1.直接使用tcpd程序對其他服務程序進行保護，需要運行tcpd； 2.由其他網絡服務程序調用libwrap.so.*鏈接庫，不需要運行tcpd程序。 通常，鏈接庫方式的應用要更為廣泛，也更有效率。
2）TCP Wrappers的訪問策略
TCP Wrappers機制的保護對象為各種網絡服務程序，針對訪問服務的客戶端地址進行訪問控制，對應的兩個策略文件為/etc/hosts.allow和/etc/hosts.deny ，分別用阿里設置允許和拒絕的策略。
1、策略配置格式
服務列表:客戶機地址列表服務器程序列表，客戶端地址列表之間用冒號進行分隔，在列表內的多個項之間用逗號分隔。
1）服務程序列表
2）客戶端地址列表
2、策略的應用順序
先檢查hosts.allow，找到匹配則允許訪問 否則再檢查hosts.deny，找到則拒絕訪問 若兩個文件中均無匹配策略，則默認允許訪問
3、配置實例
要求：希望僅允許192.168.1.0網段的主機訪問sshd服務
[root@fuwuduan ~]# vim /etc/hosts.allow sshd:192.168.1. [root@fuwuduan ~]# vim /etc/hosts.deny sshd:ALL