day36综合架构远程管理篇

• 远程管理服务概念介绍

• 远程管理连接原理

• 远程管理登录主机方式

  • 基于密码登录方式

  • 基于秘钥登录方式

• 远程管理服务配置文件

1.远程管理服务介绍
SSH：Secure Shell(SSH) 是由 IETF(The Internet Engineering Task Force) 制定的建立在应用层基础上的安全网络协议。服务端口默认 22 ，对远程传输数据进行加密 ，默认支持root用户远程连接。
telnet：telnet命令通常用来远程登录。telnet程序是基于TELNET协议的远程登录客户端程序。Telnet协议是TCP/IP协议族中的一员，是Internet远程登陆服务的标准协议和主要方式。它为用户提供了在本地计算机上完成远程主机工作的 能力。在终端使用者的电脑上使用telnet程序，用它连接到服务器。终端使用者可以在telnet程序中输入命令，这些命令会在服务器上运行，就像直接在服务器的控制台上输入一样。可以在本地就能控制服务器。要开始一个 telnet会话，必须输入用户名和密码来登录服务器。Telnet是常用的远程控制Web服务器的方法。

但是，telnet因为采用明文传送报文，安全性不好，很多Linux服务器都不开放telnet服务，而改用更安全的ssh方式了。但仍然有很多别的系统可能采用了telnet方式来提供远程登录，因此弄清楚telnet客户端的使用方式仍是很有必要的。

telnet命令还可做别的用途，比如确定远程服务的状态，比如确定远程服务器的某个端口是否能访问。

2.远程服务通讯原理

1. 客户端 ---> 服务端 建立三次握手
2. 客户端 ---> 服务端 SSH远程连接请求
3. 服务端 ---> 客户端 SSH远程连接确认信息 确认是否建立连接/确认是否接受公钥信息
4. 客户端 ---> 服务端 发送确认连接信息
5. 服务端 ---> 客户端 发送公钥信息 /etc/ssh/公钥信息
6. 客户端 ---> 服务端 接受公钥保存 进行确认 ~/.ssh/know_hosts
7. 服务端 ---> 客户端 询问连接密码信息
8. 客户端 ---> 服务端 登录密码信息
9. 服务端 ---> 客户端 最终确认
   PS: 基于密码建立远程通讯过程
   
   远程服务基于密码通讯原理.png

3.远程服务建立方式
a.基于密码登录方式
b.基于秘钥登录方式（公钥，私钥）
秘钥作用：1.利用秘钥对数据信息进行加密处理
          2.利用秘钥信息进行用户身份认证

基于秘钥登录原理过程：

1. 管理端 ---> 被管理端 管理端创建秘钥对,将公钥进行发送
2. 管理端 ---> 被管理端 发送远程连接请求
3. 被管理端 ---> 管理端 进行公钥质询
4. 管理端 ---> 被管理端 响应公钥质询信息

5. 被管理端 ---> 管理端 公钥质询结果确认

   
   
   基于秘钥连接原理.png

4.基于秘钥连接配置过程

第一个里程：创建秘钥对信息（管理端服务器（10.0.0.61））
[root@m01 ~]# ssh-keygen -t dsa
    Generating public/private dsa key pair.
    Enter file in which to save the key (/root/.ssh/id_dsa): 
    Enter passphrase (empty for no passphrase): 
    Enter same passphrase again: 
    Your identification has been saved in /root/.ssh/id_dsa.
    Your public key has been saved in /root/.ssh/id_dsa.pub.
    The key fingerprint is:
    SHA256:SKILYzPt2d158FOzekqHjHaW8ITok1eboeXi1kn3lBE root@web01
    The key's randomart image is:
    +---[DSA 1024]----+
    |                 |
    |               E |
    |    . .         .|
    |  .. o .. .    . |
    |o+..  ..S+ = o  o|
    |.o+.o o o #.B.oo |
    |  .o . = Oo/ooo  |
    |        =.*o+. . |
    |        .. oo    |
    +----[SHA256]-----+
[root@m01 ~]# ll ~/.ssh/
    total 12
    -rw------- 1 root root 668 Aug 20 11:16 id_dsa
    -rw-r--r-- 1 root root 600 Aug 20 11:16 id_dsa.pub
    -rw-r--r-- 1 root root 171 Aug 20 10:42 known_hosts

第二个里程: 将公钥进行发送  管理端服务器(10.0.0.61)
    ssh-copy-id -i /root/.ssh/id_dsa.pub 172.16.1.31

第三个里程: 进行基于秘钥登录连接测试
    ssh 172.16.1.31 
    ssh 172.16.1.31  hostname

需求: 管理端(10.0.0.61) --- 多台被管理端需要管理 100台
    如何批量分发公钥 --- shell脚本
    
    免交互批量分发公钥脚本
    [root@m01 ~]# cat /server/scripts/distribute_key.sh 
    #!/bin/bash
    . /etc/init.d/functions
    # 创建秘钥对
    if [ ! -f /root/.ssh/id_dsa ]
    then
      ssh-keygen -t dsa -f /root/.ssh/id_dsa -P "" >/dev/null
      action "key pair create"  /bin/true
    else
      action "key pair already exists" /bin/false
    fi
    # 分发公钥信息
    for ip in 7 31 41
    do
       sshpass -p654321 ssh-copy-id -i ~/.ssh/id_dsa.pub 172.16.1.$ip -o StrictHostKeyChecking=no &>/dev/null
       if [ $? -eq 0 ]
       then 
          action "host 172.16.1.$ip pub_key distribute"  /bin/true
          echo ""
       else
          action "host 172.16.1.$ip pub_key distribute"  /bin/false
          echo ""
       fi
    done
----------------------------------------------------------------------------

免交互批量检查公钥脚本
    [root@m01 ~]# cat /server/scripts/check_key.sh 
    #!/bin/bash
    . /etc/init.d/functions
    # 检查公钥信息
    for ip in 7 31 41
    do
       ssh 172.16.1.$ip hostname &>/dev/null
       if [ $? -eq 0 ]
       then 
          action "host 172.16.1.$ip connect"  /bin/true
          echo ""
       else
          action "host 172.16.1.$ip connect"  /bin/false
          echo ""
       fi
    done
------------------------------------------------------------------
问题: 如何免交互分发密码
    01. 不要输入yes确认信息
    ssh 172.16.1.31 -o StrictHostKeyChecking=no
    ssh-copy-id -i ~/.ssh/id_dsa.pub 172.16.1.31 -o StrictHostKeyChecking=no

理解分发公钥原理过程  ssh-copy-id 
    1) 利用ssh和远程主机建立连接
    2) 将本地公钥文件信息传输到远程主机上
    3) 远程主机收到公钥信息 会保存到~/.ssh/authorized_keys  并且授权为600

02. 不要输入密码信息
    yum install -y sshpass
    sshpass - noninteractive ssh password provider (提供一个ssh密码信息, 进行非交互ssh连接)
    sshpass -p123456 ssh-copy-id -i ~/.ssh/id_dsa.pub 172.16.1.31 -o StrictHostKeyChecking=no