Openssh服务的部署及安全优化

Openss服务的部署及安全优化

1.Openssh服务概述
2.实验环境设置
3.ssh命令
4.Openssh服务的key认证
5.Openssh服务的常用配置参数

---

---

---

1.Openssh服务概述

1.Openssh功能介绍
2.ssh命令
3.Openssh的服务的key认证
4.Openssh服务的安全优化
Openssh功能概述
Openssh是ssh（secure shell）协议的免费开源软件
软件安装名称 Openssh-server
配置文件 /etc/ssh/sshd-conf
默认端口 22 ip:大门 接口：小门
客户端命令 ssh

2.设置实验环境

设置workstation IP地址，



ip addr show 看是否被设置好

同理:设置servera 的IP
设置完两台主机的地址后在servera中ping workstation

服务端，测试端？
Workstation:客户端：用来做测试
Servera：服务端 在服务端设置，在测试端设置
设定火墙：连谁设定谁：servera
Cd 切换到家目录 删掉 .ssh文件（在两台主机中都进行操作）

网络不稳定时：换一下网卡
1.真机中system tools virtual machine manager
2.Servera中 ip addr show 看要删掉哪块网卡 相应的mac 值

网卡换了之后要重新设定之前的步骤

3.Ssh命令

Ssh remoteUSER@remoteIP 远程主机

-l	指定登录用户
-i	指定密钥
-X	开启图形
-p	指定端口
-f	后台运行
-o	指定连接参数
-t	指定连接跳板

Ssh @172.25.254.70 ssh -l root 172.25.254.70
w :查看哪些用户登录
w -i 看从哪里登录的


文本连接，不能开启图形

可以开启远程主机的图形


打开的gedit进程在servera中，可以用ps aux | prep gedit 过滤
默认的接口为22


占用终端

不占用终端 在远程主机打开gedit 在后台进行

用man 命令去查看帮助ssh -o 查看参数

-t

在servera上看到是1 连接的 ，把1作为跳板

4.Openssh的key认证

Openssh认证方式

密码认证	密钥认证
1.至少6个字符	1.新型认证方式
2.包含数字，字母，下划线特殊符号等	2.公钥上传服务器
3.易泄露	3.私钥配对认证
4.可被暴力破解	4.***者一般无法通过密钥登录服务器
5.密码容易丢失

公钥：锁头 私钥;密码

Openssh key
支持rsa及dsa加密
加密方法
1.生成密钥： ssh -keygen
2.上传密钥： ssh-copy-id -i keyfile remoteUSER@remoteIP
做实验：先删掉家目录下的.ssh文件
Servera 服务器 做加密 用公钥锁，锁服务器的用户 有私钥可以免密登录，没有的可以暴力破解（一直试），存在安全隐患，所以要关掉功能，没有私钥的就不能尝试登录
可以通过修改锁，让原本拥有私钥的用户就不能登录，
1.ssh-keygen 回车，再回车 生成密钥 公钥，私钥分别存放在不同文件中。

2，

3


锁头已经生成（公钥）

谁想连servera 有密钥的才能登录 workstation 可以连，因为有私钥

没有私钥的不能免密登录，但可以暴力破解，一直试，70主机认证存在安全隐患

所以要在servera中要关掉功能 （原始认证功能）

78行，把yes改为no


功能关闭，没有私钥的1用户无权进行尝试登录servera用户

可以改掉密钥名称ssh服务无法识别，有密钥的用户也无法进行登录，权限被拒绝

把密钥名称改回去，之前拥有私钥的用户就可以进行登录

5.Openssh服务的常用配置参数

做实验之前，把上个实验所改动的原始认证功能还原
sshd服务常用相关配置参数

配置文件	配置参数
/etc/ssh/sshd_config	Port 22 监听端口 17行
Protocol 2 指定协议版本
ListenAddress 绑定IP;
Hostkey 设定hostkey密钥路径;
Permitrootlogin 设定超级用户是否能登录
PubkeyAuthentication 公钥认证开关
PasswordAuthentication 私钥认证开关
AllowUsers 用户白名单
DenyYUsers 用户黑名单

做实验之前 setenforce 0

1.在配置文件中改掉端口后 systemctl reload sshd 用netstat -anltupe | grep sshd查看端口号
2.绑定IP（有多个ip）指定只能连某个ip


只能去连接指定端口70
3.设定超级用户是否能登录 46行

Systemctl restart sshd 重启（在servera中）

4.做完上一步的实验要还原之前的数据
设置黑名单


westos用户无法登录

同理：设置白名单

只有白名单上的用户可以登录