2. 程式人生 > >如何在 Linux 中配置基於密鑰認證的 SSH

如何在 Linux 中配置基於密鑰認證的 SSH

阿新 • • 發佈：2018-10-17
tail 暫時 echo inter lct led home auth 我們

什麽是基於 SSH 密鑰的認證？

眾所周知，Secure Shell，又稱 SSH，是允許你通過無安全網絡（例如 Internet）和遠程系統之間安全訪問/通信的加密網絡協議。無論何時使用 SSH 在無安全網絡上發送數據，它都會在源系統上自動地被加密，並且在目的系統上解密。SSH 提供了四種加密方式，基於密碼認證，基於密鑰認證，基於主機認證和鍵盤認證。最常用的認證方式是基於密碼認證和基於密鑰認證。

在基於密碼認證中，你需要的僅僅是遠程系統上用戶的密碼。如果你知道遠程用戶的密碼，你可以使用 ssh user@remote-system-name 訪問各自的系統。另一方面，在基於密鑰認證中，為了通過 SSH 通信，你需要生成 SSH 密鑰對，並且為遠程系統上傳 SSH 公鑰。每個 SSH 密鑰對由私鑰與公鑰組成。私鑰應該保存在客戶系統上，公鑰應該上傳給遠程系統。你不應該將私鑰透露給任何人。希望你已經對 SSH 和它的認證方式有了基本的概念。

這篇教程，我們將討論如何在 Linux 上配置基於密鑰認證的 SSH。

在 Linux 上配置基於密鑰認證的 SSH

為方便演示，我將使用 Arch Linux 為本地系統，Ubuntu 18.04 LTS 為遠程系統。

本地系統詳情：

  • OS: Arch Linux Desktop
  • IP address: 192.168.225.37/24

遠程系統詳情：

  • OS: Ubuntu 18.04 LTS Server
  • IP address: 192.168.225.22/24

本地系統配置

就像我之前所說，在基於密鑰認證的方法中，想要通過 SSH 訪問遠程系統，需要將公鑰上傳到遠程系統。公鑰通常會被保存在遠程系統的一個 ~/.ssh/authorized_keys

文件中。

註意事項：不要使用 root 用戶生成密鑰對，這樣只有 root 用戶才可以使用。使用普通用戶創建密鑰對。

現在，讓我們在本地系統上創建一個 SSH 密鑰對。只需要在客戶端系統上運行下面的命令。

$ ssh-keygen

上面的命令將會創建一個 2048 位的 RSA 密鑰對。你需要輸入兩次密碼。更重要的是，記住你的密碼。後面將會用到它。

樣例輸出：

Generating public/private rsa key pair.
Enter file in which to save the key (/home/sk/.ssh/id_rsa):
Enter passphrase (empty 
 
for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/sk/.ssh/id_rsa.
Your public key has been saved in /home/sk/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:wYOgvdkBgMFydTMCUI3qZaUxvjs+p2287Tn4uaZ5KyE [email protected]
The key‘s randomart image is:
+---[RSA 2048]----+
|+=+*= + |
|o.o=.* = |
|.oo * o + |
|. = + . o |
|. o + . S |
| . E . |
| + o |
| +.*o+o |
| .o*=OO+ |
+----[SHA256]-----+

如果你已經創建了密鑰對，你將看到以下信息。輸入 y 就會覆蓋已存在的密鑰。

/home/username/.ssh/id_rsa already exists.
Overwrite (y/n)?

請註意密碼是可選的。如果你輸入了密碼，那麽每次通過 SSH 訪問遠程系統時都要求輸入密碼，除非你使用了 SSH 代理保存了密碼。如果你不想要密碼（雖然不安全），簡單地敲兩次回車。不過，我建議你使用密碼。從安全的角度來看，使用無密碼的 ssh 密鑰對不是什麽好主意。這種方式應該限定在特殊的情況下使用，例如，沒有用戶介入的服務訪問遠程系統。（例如，用 rsync遠程備份……）

如果你已經在個人文件 ~/.ssh/id_rsa 中有了無密碼的密鑰，但想要更新為帶密碼的密鑰。使用下面的命令：

$ ssh-keygen -p -f ~/.ssh/id_rsa

樣例輸出：

Enter new passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved with the new passphrase.

現在，我們已經在本地系統上創建了密鑰對。接下來，使用下面的命令將 SSH 公鑰拷貝到你的遠程 SSH 服務端上。

$ ssh-copy-id sk@192.168.225.22

在這裏，我把本地（Arch Linux）系統上的公鑰拷貝到了遠程系統（Ubuntu 18.04 LTS）上。從技術上講，上面的命令會把本地系統 ~/.ssh/id_rsa.pub 文件中的內容拷貝到遠程系統 ~/.ssh/authorized_keys 中。明白了嗎？非常棒。

輸入 yes 來繼續連接你的遠程 SSH 服務端。接著，輸入遠程系統用戶 sk 的密碼。

/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
sk@192.168.225.22‘s password:

Number of key(s) added: 1

Now try logging into the machine, with: "ssh ‘[email protected]‘"
and check to make sure that only the key(s) you wanted were added.

如果你已經拷貝了密鑰，但想要替換為新的密碼，使用 -f 選項覆蓋已有的密鑰。

$ ssh-copy-id -f sk@192.168.225.22

我們現在已經成功地將本地系統的 SSH 公鑰添加進了遠程系統。現在，讓我們在遠程系統上完全禁用掉基於密碼認證的方式。因為我們已經配置了密鑰認證，因此不再需要密碼認證了。

在遠程系統上禁用基於密碼認證的 SSH

你需要在 root 用戶或者 sudo 執行下面的命令。

禁用基於密碼的認證，你需要在遠程系統的終端裏編輯 /etc/ssh/sshd_config 配置文件：

$ sudo vi /etc/ssh/sshd_config

找到下面這一行，去掉註釋然後將值設為 no：

PasswordAuthentication no

重啟 ssh 服務讓它生效。

$ sudo systemctl restart sshd

從本地系統訪問遠程系統

在本地系統上使用命令 SSH 你的遠程服務端：

$ ssh sk@192.168.225.22

輸入密碼。

樣例輸出：

Enter passphrase for key ‘/home/sk/.ssh/id_rsa‘:
Last login: Mon Jul 9 09:59:51 2018 from 192.168.225.37
sk@ubuntuserver:~$

現在，你就能 SSH 你的遠程系統了。如你所見，我們已經使用之前 ssh-keygen 創建的密碼登錄進了遠程系統的賬戶，而不是使用當前賬戶實際的密碼。

如果你試圖從其它客戶端系統 ssh（遠程系統），你將會得到這條錯誤信息。比如，我試圖通過命令從 CentOS SSH 訪問 Ubuntu 系統：

樣例輸出：

The authenticity of host ‘192.168.225.22 (192.168.225.22)‘ can‘t be established.
ECDSA key fingerprint is 67:fc:69:b7:d4:4d:fd:6e:38:44:a8:2f:08:ed:f4:21.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added ‘192.168.225.22‘ (ECDSA) to the list of known hosts.
Permission denied (publickey).

如你所見，除了 CentOS（LCTT 譯註：根據上文，這裏應該是 Arch）系統外，我不能通過其它任何系統 SSH 訪問我的遠程系統 Ubuntu 18.04。

為 SSH 服務端添加更多客戶端系統的密鑰

這點非常重要。就像我說過的那樣，除非你配置過（在之前的例子中，是 Ubuntu），否則你不能通過 SSH 訪問到遠程系統。如果我希望給更多客戶端予以權限去訪問遠程 SSH 服務端，我應該怎麽做？很簡單。你需要在所有的客戶端系統上生成 SSH 密鑰對並且手動拷貝 ssh 公鑰到想要通過 ssh 訪問的遠程服務端上。

在客戶端系統上創建 SSH 密鑰對，運行：

$ ssh-keygen

輸入兩次密碼。現在，ssh 密鑰對已經生成了。你需要手動把公鑰（不是私鑰）拷貝到遠程服務端上。

使用以下命令查看公鑰：

$ cat ~/.ssh/id_rsa.pub

應該會輸出類似下面的信息：

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCt3a9tIeK5rPx9p74/KjEVXa6/OODyRp0QLS/sLp8W6iTxFL+UgALZlupVNgFjvRR5luJ9dLHWwc+d4umavAWz708e6Na9ftEPQtC28rTFsHwmyLKvLkzcGkC5+A0NdbiDZLaK3K3wgq1jzYYKT5k+IaNS6vtrx5LDObcPNPEBDt4vTixQ7GZHrDUUk5586IKeFfwMCWguHveTN7ykmo2EyL2rV7TmYq+eY2ZqqcsoK0fzXMK7iifGXVmuqTkAmZLGZK8a3bPb6VZd7KFum3Ezbu4BXZGp7FVhnOMgau2kYeOH/ItKPzpCAn+dg3NAAziCCxnII9b4nSSGz3mMY4Y7 ostechnix@centosserver

拷貝所有內容（通過 USB 驅動器或者其它任何介質），然後去你的遠程服務端的終端，像下面那樣，在 $HOME 下創建文件夾叫做 .ssh。你需要以 root 身份執行命令（註：不一定需要 root）。

$ mkdir -p ~/.ssh

現在，將前幾步創建的客戶端系統的公鑰添加進文件中。

echo {Your_public_key_contents_here} >> ~/.ssh/authorized_keys

在遠程系統上重啟 ssh 服務。現在，你可以在新的客戶端上 SSH 遠程服務端了。

如果覺得手動添加 ssh 公鑰有些困難，在遠程系統上暫時性啟用密碼認證，使用 ssh-copy-id 命令從本地系統上拷貝密鑰，最後禁用密碼認證。

推薦閱讀：

  • SSLH – Share A Same Port For HTTPS And SSH
  • ScanSSH – Fast SSH Server And Open Proxy Scanner

好了，到此為止。基於密鑰認證的 SSH 提供了一層防止暴力破解的額外保護。如你所見，配置密鑰認證一點也不困難。這是一個非常好的方法讓你的 Linux 服務端安全可靠。

轉自：https://zhuanlan.zhihu.com/p/46122014

如何在 Linux 中配置基於密鑰認證的 SSH

相關推薦

如何在 Linux 中配置基於密鑰認證的 SSH

tail 暫時 echo inter lct led home auth 我們 什麽是基於 SSH 密鑰的認證？ 眾所周知，Secure Shell，又稱 SSH，是允許你通過無安全網絡（例如 Internet）和遠程系統之間安全訪問/通信的加密網絡協議。無論何時使用 SS

linux主機間基於密鑰認證

認證 密鑰 1.生成公鑰私鑰 ssh-genkey -t rsa2.復制公鑰到其他主機 ssh-copy-id -i /root/.ssh/id_rsa.pub [email protected]/* */ 該命令實際是將公鑰放到~/.ssh/authorized_keys文件

ssh基於密鑰認證的登錄方式

ssh （ssh:secure shell, protocol, 22/tcp,安全的遠程登錄） SSH相關的安裝包： openssh-clients.x86_64 SSH的客戶端安裝包 openssh-server.x86_64 SSH的服務器端安裝包 o

Linux之SSH密鑰認證

onf data- 啟用 般的 aid com 通過 進行 登錄 1、SSH協議的認識 SSH 為 Secure Shell 的縮寫，由 IETF 的網絡小組（Network Working Group）所制定；SSH 為建立在應用層基礎上的安全協議。SSH 是目前較可靠，

基於密鑰的認證機制（ssh）

ssh 基於密鑰登陸 網絡中的兩臺服務器需要經常進行通信，而頻繁的輸入賬號和密碼既繁瑣又不安全，所以需要使用基於密鑰的認證，這種使用在服務器集群配置中非常的常用。下面以CentOS服務器系統為例簡單介紹下配置方法（服務器必須安裝SSH）。1、客戶端首先生成一對密鑰，包括公鑰和私鑰 ssh-key

ssh key密鑰認證實現批量分發、管理、部署

ssh免密認證、批量分發在實際生產環境中，如果需要批量管理和部署服務器，可以采用ssh+key秘鑰認證，然後可以免密碼進行數據分發，服務部署及管理。 SSH服務（TCP端口號22）：安全的命令解釋器為客戶機提供安全的Shell 環境，用於遠程管理SSH基於公鑰加密（非對稱加密）技術： 數據加密傳輸； 客戶端

putty、Xshell遠程連接Linux以及密鑰認證

putty、xshell、linux、密鑰認證一、遠程登錄註：首先要保證虛擬機和主機之間可以互相ping通，如果不能ping通則後續工作無法進行。1、putty遠程登錄先在一個putty軟件組putty.zip（包含putty、puttygen等）--># ifconfig 查詢自己的IP-->打

用xshell連linux &putty密鑰認證

linux 程序 認證 密碼 鍵盤 xshell中的工具-選項-鍵盤和鼠標做如下更改，可以右鍵直接粘貼選中內容putty密鑰：點擊開始-putty-putTTYgen程序，單擊Generate，註意鼠標要一直的動，生成密鑰對。可以設置密碼生成私鑰在linux上進行下列操作mkdir /ro

使用密鑰登錄CentOS系統（基於密鑰的認證）

支持 使用 enter ase add 默認 strong rdquo mage 在Window客戶端有多種軟件可以登陸ssh，比如putty，xshelll，secureCRT，我就以xshell為例設置使用公鑰和私鑰驗證登陸服務器。 使用Xshell密鑰認證機制遠程登

Linux密鑰認證錯誤解決

clas des author logs shell orm 遠程 kit 錯誤 問題描述： 　　Xshell用key認證登錄，提示所選的用戶密鑰未在遠程主機上註冊 問題解決： 　　查看日誌/var/log/secure，基本上都是用戶根目錄的權限問題 根據日誌提示

使用PuTTY、Xshell遠程連接linux及密鑰認證連接

linux putty xshell 前言：如果你安裝的windows系統，則需要額外安裝一個Linux遠程登錄的終端軟件，目前比較常見的終端登錄軟件有Xshell、SecureCRT、PuTTY、SSH Secure Shell等，軟件選擇看大家需求，我們的目的只有一個那就是遠程登錄到Linux

Linux下密鑰認證

log air sts for dsa permanent ner bsp cati 1.1 生成密鑰 ssh2同時支持RSA和DSA密鑰，但是ssh1僅支持RSA密鑰。 [root@linux-node1 ~]# ssh-keygen -t dsa Gene

ssh密鑰認證

roc 復制 blog logging ber ssh root 加密 mach xshel ??基於密鑰的認證實現基於密鑰的認證，在登錄過程中不需要輸入密碼，客戶端和ssh服務端以密鑰對進行認證，不在網絡中傳輸用戶名和密碼信息，其公鑰存儲於ssh服務端，私鑰當然是存儲在客

Linux之sshkey密鑰認證實戰

file tab png man ssh cxf list bubuko denied 　　在實際的生產環境中，經常會用到sshkey密鑰認證實行數據分發數據等操作，還可以批量操作內網服務器，實行免密認證進行推送分發數據。 1、環境查看 分發服務器 節點服務器

使用xshell工具密鑰認證登錄Linux系統

xshell密鑰認證登錄 Linux服務器的系統安全問題，可能是你要考慮的，而系統登錄方式有兩種，密碼和密鑰。哪一種更加安全呢？無疑是後者，這裏為分享用xshell使用密鑰的方式登錄Linux服務器！ 關於xshell，它是一個強大的安全終端模擬軟件，它支持SSH1，SSH2以及Microsoft

SSH服務-密鑰認證

ssh 密鑰認證 交互式 非交互式首先統一創建用戶身份(已禁止root遠程登陸)useradd zhenghaoecho 123456|passwd --stdin zhenghaosu - zhenghao1、交互式1）創建密鑰對ssh-keygen -t dsa密鑰指定路徑和密碼直接按回車鍵跳過即可2）

使用putty和xshell配置密鑰認證來登錄服務器系統

密鑰驗證 linux 1.9 使用PuTTY遠程連接Linux1.10 使用xshell連接Linux1.11 PuTTY密鑰認證1.12 xshell密鑰認證2018.05.30筆記 1.9 使用PuTTY遠程連接Linux首先搜索下載putty遠程工具現(baidu)官網地址：www.chiark

xshell遠程連接linux及密鑰認證

xshell linux 下載xshell，下載地址http://120.221.34.87:6510/sqdownb.onlinedown.net/down/Xshell5v36383.exe打開xshell，填入linux的ip地址和自定義名稱即可，然後確定，輸入用戶名密碼。3.更改設置，設置鼠標

跟阿銘學linux之三使用putty、xshell遠程連接Linux及密鑰認證

putty使用方法 xshell使用方法 密鑰登陸 一、本節課要用到的兩款軟件分別是putty、xshellputty下載地址：https://the.earth.li/~sgtatham/putty/latest/w64/putty.zipxshell下載地址：https://www.netsa

ssh基於密鑰免密碼登錄

oot -i etc 登錄 conf config strong 日誌文件 var 1.客戶端生成密鑰對 **ssh-keygen -t rsa ** 選項： -t：加密類型