openssh firewalld

其他 2019-01-15 10:00:53 阅读次数: 0

1. 使用 SSH 访问远程命令行

1.1 OpenSSH 简介

OpenSSH这一术语指系统中使用的Secure Shell软件的软件实施。用于在远程系统上安全运行shell。如果您在可提供ssh服务的远程Linux系统中拥有用户帐户，则ssh是通常用来远程登录到该系统的命令。ssh命令也可用于在远程系统中运行命令。

常见的远程登录工具有：

telnet
ssh
dropbear
telnet //远程登录协议，23/TCP
认证明文
数据传输明文

ssh //Secure SHell，应用层协议，22/TCP
通信过程及认证过程是加密的，主机认证
用户认证过程加密
数据传输过程加密

dropbear //嵌入式系统专用的SSH服务器端和客户端工具

1.2 SSH 版本

openssh有两个版本，分别为v1和v2，其特点如下：

v1：基于CRC-32做MAC，无法防范中间人（man-in-middle）攻击
v2：双方主机协议选择安全的MAC方式。基于DH算法做密钥交换，基于RSA或DSA算法实现身份认证

1.3 SSH 认证方式

openssh有两种认证方式，分别是：

基于口令认证
基于密钥认证

1.4 openSSH 的工作模式

openSSH是基于C/S架构工作的。

服务器端 //sshd，配置文件在/etc/ssh/sshd_config
客户端 //ssh，配置文件在/etc/ssh/ssh_config
ssh-keygen //密钥生成器
ssh-copy-id //将公钥传输至远程服务器
scp //跨主机安全复制工具

1.4 Secure Shell 示例

//以当前用户身份创建远程交互式shell，然后在结束时使用exit命令返回到之前的shell

[root@zzg ~]# ssh 192.168.26.11
The authenticity of host '192.168.26.11 (192.168.26.11)' can't be established.
ECDSA key fingerprint is SHA256:d38bS+0VBu2p7tltX3kZ07+5JmXxts5SVnhP+vqz2Fs.
ECDSA key fingerprint is MD5:67:1b:3d:02:14:80:9a:75:58:cc:a6:02:b5:2f:97:0d.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.26.11' (ECDSA) to the list of known hosts.
[email protected]'s password: 
Last login: Mon Jan  7 16:56:29 2019 from 192.168.26.10

//以其他用户身份（remoteuser）在选定主机（remotehost）上连接到远程`shell

[root@zzg ~]# ssh [email protected]
The authenticity of host '192.168.26.11 (192.168.26.11)' can't be established.
ECDSA key fingerprint is SHA256:d38bS+0VBu2p7tltX3kZ07+5JmXxts5SVnhP+vqz2Fs.
ECDSA key fingerprint is MD5:67:1b:3d:02:14:80:9a:75:58:cc:a6:02:b5:2f:97:0d.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.26.11' (ECDSA) to the list of known hosts.
[email protected]'s password: 
Last login: Mon Jan  7 22:26:10 2019 from 192.168.26.10

//以远程用户身份（remoteuser）在远程主机（remotehost）上通过将输出返回到本地显示器的方式来执行单一命令

[root@zzg ~]# ip a show ens32
2: ens32: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:0c:29:9d:53:2e brd ff:ff:ff:ff:ff:ff
    inet 192.168.26.11/24 brd 192.168.26.255 scope global ens32
       valid_lft forever preferred_lft forever
    inet6 fe80::4b9f:281f:e593:c721/64 scope link 
       valid_lft forever preferred_lft forever
[root@zzg ~]# ssh [email protected]
[email protected]'s password: 
Last login: Mon Jan  7 16:57:18 2019 from 192.168.26.10
[root@zzg ~]# ip a show ens32
2: ens32: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:0c:29:9d:53:2e brd ff:ff:ff:ff:ff:ff
    inet 192.168.26.11/24 brd 192.168.26.255 scope global ens32
       valid_lft forever preferred_lft forever
    inet6 fe80::4b9f:281f:e593:c721/64 scope link 
       valid_lft forever preferred_lft forever

//w命令可以显示当前登录到计算机的用户列表。这对于显示哪些用户使用ssh从哪些远程位置进行了登录以及执行了何种操作等内容特别有用

[root@zzg ~]# w
 17:02:58 up  4:35,  4 users,  load average: 0.00, 0.01, 0.05
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
root     tty1                      20:28     ?     0.42s  0.42s -bash
root     pts/0    192.168.26.1     16:54    4:10   0.06s  0.06s -bash
root     pts/1    192.168.26.10    16:57    2.00s  0.08s  0.03s ssh [email protected]
root     pts/2    192.168.26.11    17:02    2.00s  0.05s  0.04s w

1.5 SSH 主机密钥

ssh通过公钥加密的方式保持通信安全。当某一ssh客户端连接到ssh服务器时，在该客户端登录之前，服务器会向其发送公钥副本。这可用于为通信渠道设置安全加密，并可验证客户端的服务器。

当用户第一次使用ssh连接到特定服务器时，ssh命令可在用户的/.ssh/known_hosts文件中存储该服务器的公钥。在此之后每当用户进行连接时，客户端都会通过对比/.ssh/known_hosts文件中的服务器条目和服务器发送的公钥，确保从服务器获得相同的公钥。如果公钥不匹配，客户端会假定网络通信已遭劫持或服务器已被入侵，并且中断连接。

这意味着，如果服务器的公钥发生更改（由于硬盘出现故障导致公钥丢失，或者出于某些正当理由替换公钥），用户则需要更新其~/.ssh/known_hosts文件并删除旧的条目才能够进行登录。

//主机ID存储在本地客户端系统上的 ~/.ssh/known_hosts 中

[root@zzg ~]# cat /root/.ssh/known_hosts 
192.168.26.11 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBJo+ulNEOs7mK6TC2xlD2yGJla1AO6E+Ymgi8hHBoVrXtRRnqMVBMo5wJm0BkoMOpQTQFsAq9jbzgP95TRuJJxw=

//主机密钥存储在SSH服务器上的 /etc/ssh/ssh_host_key* 中

[root@zzg ~]# cd /etc/ssh
[root@zzg ssh]# ls
moduli      sshd_config         ssh_host_ecdsa_key.pub  ssh_host_ed25519_key.pub  ssh_host_rsa_key.pub
ssh_config  ssh_host_ecdsa_key  ssh_host_ed25519_key    ssh_host_rsa_key

2. 配置基于 SSH 密钥的身份验证

用户可通过使用公钥身份验证进行ssh登录身份验证。ssh允许用户使用私钥-公钥方案进行身份验证。这意味着将生成私钥和公钥这两个密钥。私钥文件用作身份验证凭据，像密码一样，必须妥善保管。公钥复制到用户希望登录的系统，用于验证私钥。公钥并不需要保密。拥有公钥的ssh服务器可以发布仅持有您私钥的系统才可解答的问题。因此，可以根据所持有的密钥进行验证。如此一来，就不必在每次访问系统时键入密码，但安全性仍能得到保证。

使用ssh-keygen命令生成密码。将会生成私钥/.ssh/id_rsa和公钥/.ssh/id_rsa.pub。

注意：

生成密钥时，系统将提供指定密码的选项，在访问私钥时必须提供该密码。如果私钥被偷，除颁发者之外的其他任何人很难使用该私钥，因为已使用密码对其进行保护。这样，在攻击者破解并使用私钥前，会有足够的时间生成新的密钥对并删除所有涉及旧密钥的内容。
生成ssh密钥后，密钥将默认存储在家目录下的.ssh/目录中。私钥和公钥的权限就分别为600和644。.ssh目录权限必须是700。

在可以使用基于密钥的身份验证前，需要将公钥复制到目标系统上。可以使用ssh-copy-id完成这一操作

[root@zzg ~]# ssh-copy-id remoteuser@remotehost
通过ssh-copy-id将密钥复制到另一系统时，它默认复制~/.ssh/id_rsa.pub文件

//SSH密钥演示
//使用 ssh-keygen 创建公钥-私钥对

[root@zzg ssh]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:9t++PugMsDCLgSOzqTFz+c1pAa26zsLGvvOZD4Z+aCM root@zzg
The key's randomart image is:
+---[RSA 2048]----+
|                 |
|                 |
|     .           |
|   .. .          |
|o o .oo S        |
| =.o.o.= +       |
|O.++. ... o  .   |
|E#oo+o..   +...  |
|**X=oo+    .+o=o |
+----[SHA256]-----+

//使用 ssh-copy-id 将公钥复制到远程系统上的正确位置

[root@zzg ssh]# ssh-copy-id -i /root/.ssh/id_rsa.pub [email protected]
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
[email protected]'s password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh '[email protected]'"
and check to make sure that only the key(s) you wanted were added.

//使用 ssh 命令无命令登录远程主机

[root@zzg ssh]# ssh [email protected]
Last login: Mon Jan  7 17:02:55 2019 from 192.168.26.11
[root@zzg ~]#

//使用 scp 命令传送文件到远程主机

[root@zzg ~]# scp anaconda-ks.cfg [email protected]:/tmp/zzg
anaconda-ks.cfg                                                                                   100% 1734    89.7KB/s   00:00    
[root@zzg ~]# ssh 192.168.26.11
Last login: Mon Jan  7 17:11:06 2019 from 192.168.26.11
[root@zzg ~]# ll /tmp/zzg 
-rw-------. 1 root root 1734 1月   7 17:12 /tmp/zzg

//使用 scp 命令从远程主机上下载文件到本地

[root@zzg ~]# ssh 192.168.26.11
Last login: Mon Jan  7 17:12:25 2019 from 192.168.26.11
[root@zzg ~]# ll /tmp/zzg 
-rw-------. 1 root root 1734 1月   7 17:12 /tmp/zzg
[root@zzg ~]# exit
登出
Connection to 192.168.26.11 closed.
[root@zzg ~]# scp [email protected]:/tmp/zzg .
zzg                                                                                               100% 1734   745.0KB/s   00:00    
[root@zzg ~]# ls
anaconda-ks.cfg  zzg

//scp命令常用选项
-r //递归复制
-p //保持权限
-P //端口
-q //静默模式
-a //全部复制

3. 自定义 SSH 服务配置

虽然OpenSSH服务器通常无需修改，但会提供其他安全措施，可以在配置文件/etc/ssh/sshd_config中修改OpenSSH服务器的各个方面。

PermitRootLogin {yes|no} //是否允许root用户远程登录系统
PermitRootLogin without-password //仅允许root用户基于密钥方式远程登录
PasswordAuthentication {yes|no} //是否启用密码身份验证，默认开启

4. SSH 安全注意事项

密码应该经常换且足够复杂

[root@zzg ~]# tr -dc A-Za-z0-9_ < /dev/urandom | head -c 30 |xargs
sNLvohWMveRsX21VlFs44fu0ffs_62

[root@zzg ~]# openssl rand 20 -base64
/5bfwDucvGVWhW1uvXeFzGmSfLI=
[root@zzg ~]#

使用非默认端口
限制登录客户端地址
仅监听特定的IP地址
禁止管理员直接登录
仅允许有限制用户登录
AllowUsers
AllowGroups
使用基于密钥的认证
禁止使用空密码
禁止使用SSHv1版本
设定空闲会话超时时长
利用防火墙设置ssh访问策略
限制ssh的访问频度和并发在线数
做好日志的备份，经常分析（集中于某台服务器）

5.利用防火墙来控制拒绝和访问

5.1三种防火墙

三种防火墙：iptables（默认允许，在红帽7以前使用）
firewalld（默认拒绝，在红帽7以前使用）
ebtables （红帽8）
防火墙 --> tcp wrappers --> service --> selinux (流量的关卡)

5.2 使用firewalld防火墙来拒绝和允许访问

/查看防火墙规则

[root@zzg ~]# firewall-cmd --list-all
public (default, active)
  interfaces: eno16777728
  sources: 
  services: dhcpv6-client ssh
  ports: 
  masquerade: no
  forward-ports: 
  icmp-blocks: 
  rich rules:

/firewall默认拒绝，永久移除ssh

[root@zzg ~]# firewall-cmd --remove-service=ssh --permanent
success

/永久允许客户端192.168.220.10访问该主机

[root@zzg ~]# firewall-cmd --add-rich-rule 'rule family=ipv4 source address=192.168.220.10/32 service name=ssh accept' --permanent

success

/重新加载规则

[root@zzg ~]# firewall-cmd --reload
success

/重新查看防火墙规则

[root@zzg ~]# firewall-cmd --list-all
public (default, active)
  interfaces: eno16777728
  sources: 
  services: dhcpv6-client
  ports: 
  masquerade: no
  forward-ports: 
  icmp-blocks: 
  rich rules: 
	rule family="ipv4" source address="192.168.220.10/32" service name="ssh" accept

/客户机192.168.220.10和客户机192.168.220.20分别登入服务器

root@zzg ~]# ip a show eno16777728
2: eno16777728: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:0c:29:dd:26:a1 brd ff:ff:ff:ff:ff:ff
    inet 192.168.220.10/24 brd 192.168.220.255 scope global eno16777728
       valid_lft forever preferred_lft forever
    inet6 fe80::20c:29ff:fedd:26a1/64 scope link 
       valid_lft forever preferred_lft forever
[root@zzg ~]# ssh 192.168.220.30
[email protected]'s password: 
Last login: Tue Jan  8 04:18:24 2019 from 192.168.220.10


[root@zzg ~]# ip a show eno16777728
2: eno16777728: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
    link/ether 00:0c:29:38:00:69 brd ff:ff:ff:ff:ff:ff
    inet 192.168.220.20/24 brd 192.168.220.255 scope global eno16777728
       valid_lft forever preferred_lft forever
    inet6 fe80::20c:29ff:fe38:69/64 scope link 
       valid_lft forever preferred_lft forever
[root@zzg ~]# ssh 192.168.220.30
ssh: connect to host 192.168.220.30 port 22: No route to host

猜你喜欢

转载自blog.csdn.net/weixin_44437026/article/details/86014352
今日推荐
基于大语言模型的开源知识库问答系统 MaxKB GitHub Star 数量突破 5,000 个！
美国拟限制 AI 大模型出口中国和俄罗斯
苹果将与 OpenAI 达成协议，将 ChatGPT 应用于 iPhone
openKylin 社区生态委员会第六次会议圆满召开
阿里云正式发布通义千问 2.5
Python 3.13 发布首个 Beta：实验性自由线程模式和 JIT、改进交互式解释器
Stack Overflow 拿我的代码去训练 AI 大模型，还封了我的账号
Pop!_OS 的 COSMIC 桌面完成 App Store 上架工作
《2024 年一季度互联网投融资运行情况》研究报告
报告：Django 仍然是 74% 开发者的首选
15 年前上了“FFmpeg 耻辱柱”，今天他还得谢谢咱——腾讯QQPlayer一雪前耻？
TIOBE 5 月榜单：Fortran “复活”进入 Top 10
周排行
记一下去大梅沙的准备（2018-05-26）
Spring 注解 事务
基于HTTP协议的客户端缓存
阿里云rds 备份和还原
[PHP] 几个拖慢 PHP 程序/API 运行速度的点
python 代码风格------------PEP8规则
js控制json生成菜单——自制菜单（一）
将字符串: 'k:1|k1:2|k2:3|k3:4 ' ,处理成 python 字典: {'k':1, 'k1':2, ...}
微信小程序转支付宝小程序
Qt551.窗口滚动条
每日归档
更多
2024-05-13(18)
2024-05-12(0)
2024-05-11(38)
2024-05-10(38)
2024-05-09(35)
2024-05-08(42)
2024-05-07(14)
2024-05-06(40)
2024-05-05(0)
2024-05-04(7)

代码天地 © 2018 codetd.com

境外服务器   最新电视剧2022