理论：linux远程控制openssh详细讲解

前言：

创新互联网站建设提供从项目策划、软件开发，软件安全维护、网站优化(SEO)、网站分析、效果评估等整套的建站服务，主营业务为网站建设、成都网站建设，APP应用开发以传统方式定制建设网站，并提供域名空间备案等一条龙服务，秉承以专业、用心的态度为用户提供真诚的服务。创新互联深信只要达到每一位用户的要求，就会得到认可，从而选择与我们长期合作。这样，我们也可以走得更远！

• SSH远程管理

  1.配置OpenSSH服务端

  2.使用SSH客户端程序

  3.密钥对验证的SSH体系

• TCP Wrappers概述 (针对程序的管理机制)

  1.TCP Wrappers 概述

  2.TCP Wrappers访问策略

一 ：openSSH服务器远程访问

1.1 ssh协议

• 为客户机提供安全的shell环境，用于远程管理
• 默认端口：TCP 22

1.2 openssh

• 服务名称 ：sshd
• 服务端主程序： /usr/sbin/sshd
• 服务端配置文件： /etc/ssh/sshd_config

第二种远程访问：telnet 也是远程访问，是不会经过加密的明文传输，可以用抓包工具直接获取其中的消息 23 tcp 端口；而ssh 是典型的密文访问

因此tlelent 主要应用于局域网；ssh皆可

第三种远程访问是远程桌面，3389端口号，带有图形化访问

例：mstsc命令 windows 中的远程桌面访问形式

通过远程访问的用户必须给其设置密码

vnc软件可以跨微软系统和linux系统之间连接

teamviewer软件 手机连接电脑

被远程方可以手动关闭拒绝远程

ssh_config 是针对客户端的

shhd_config是服务端

1.2 服务监听选项

• 端口号、协议版本、监听IP地址
• 禁用反向解析

[root@localhost ~]# vim /etc/ssh/sshd_config
......
#Port 22    '端口号（可以修改）'
#ListenAddress 0.0.0.0      '监听地址'
Protocol 2      '版本'
#UseDNS no      'DNS反向解析 否'

控制

• 禁止ROOt用户、空密码用户 ————用户层面的控制
• 登录时间、重试次数 ————用户属性的控制
• AllowUsers、DenyUsers ————使用白黑名单控制

AllowUsers 白名单 ：仅允许登陆

DenyUsers 黑名单 ：仅拒绝登陆

[root@localhost ~]# vim /etc/ssh/sshd_config

#LoginGraceTime 2m      '登录时间2min 超过2min自动注销'
#PermitRootLogin yes    '允许root登陆 是 前面有#符号注释则不可以使用'
#StrictModes yes        '严格遵循标准模式 是'
#MaxAuthTries 6     '最大尝试登陆次数为 6'
#MaxSessions 10     '最大创建会话为 10'
PermitEmptPasswords no      '允许空密码登陆 否'
······
AllowUsers jerry admin@61.23.24.25      
'白名单，只允许以下用从指定终端登录，用户与用户之间用空格隔开'

AllowUsers的权限比DenyUsers的权限大，AllowsUsers不要与DenyUsers同时用

1.3 登陆验证

1.3.1 登陆验证对象

• 服务器中的本地用户账号

1.3.2 登陆验证方式

• 密码验证： 核对用户名、密码是否匹配
• 密钥对验证： 核对客户的私钥、服务端公钥是否匹配

密钥对的方式需要自己去创建

密钥对里面包含公钥和私钥，合在一起叫密钥对

公钥给对方，私钥自己保留，这种方式叫做非对称密钥 rsa 相当于虎符

des 或aex或3des模式 是对称密钥，相当于门钥匙

[root@localhost ~]# vim /etc/ssh/sshd_config
······

#PubkeyAuthentication yes   '密钥对验证开启   是'
#PasswordAuthentication yes     '身份密码验证 是'
AuthorizedKeysFile      .ssh/authorized_keys    '密钥对公钥库文件路径'

启用密码密码验证、密钥对验证、指定公钥库位置

二 ： 使用SSH客户端程序

2.1 ssh命令 ————远程安全登录

ssh user@host

ssh 被连接的主机的本地用户名@主机名

选项 -p 即 指定端口号

2.2 scp命令 ———— 远程安全复制

scp user@host：file 1 file2

复制目标主机下面的file文件到自己的file2下

scp file1 user@host：file2

复制自己的file1下的文件到目标主机的file1下

2.3 sftp命令 ————安全FTP上下载

sftp user@host

进入到目标主机的sftp模式

2.4.1 ssh命令 远程安全登录

test01 的ip地址为192.168.139.128

test02的ip地址为192.168.139.129

[root@test01 ~]# cd /etc/ssh    '切换到/etc/ssh目录下'
[root@test01 ssh]# ls
moduli       ssh_host_ecdsa_key      ssh_host_ed25519_key.pub
ssh_config   ssh_host_ecdsa_key.pub  ssh_host_rsa_key
sshd_config  ssh_host_ed25519_key    ssh_host_rsa_key.pub
[root@test01 ssh]# vim sshd_config  '编辑服务端配置文件'

    # semanage port -a -t ssh_port_t -p tcp #PORTNUMBER
 16 #
 17 Port 22 '端口号22，去掉#启用'
 18 #AddressFamily any
 19 #ListenAddress 0.0.0.0
 20 #ListenAddress ::
 21 
 22 HostKey /etc/ssh/ssh_host_rsa_key
 23 #HostKey /etc/ssh/ssh_host_dsa_key
 24 HostKey /etc/ssh/ssh_host_ecdsa_key
 25 HostKey /etc/ssh/ssh_host_ed25519_key
 26 
[root@test01 ssh]# systemctl restart sshd   '重启sshd服务'

[root@test02 ~]# ssh root@192.168.139.128   '连接开启远程服务的主机，以root身份登陆'
The authenticity of host '192.168.139.128 (192.168.139.128)' can't be established.
ECDSA'指密钥对' key fingerprint is SHA256:dXWxtS2ShXQgfb7R672V7+l3i7rGqHBbIB5MTcFnAws.
ECDSA'指密钥对' key fingerprint is MD5:59:fb:20:f0:28:96:5e:14:90:82:63:c9:ae:67:d6:e9.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.139.128' (ECDSA) to the list of known hosts.
root@192.168.139.128's password: 
Last login: Wed Nov 20 17:13:57 2019
[root@test01 ~]#    '注意主机名，此时已经远程登陆成功'
[root@test01 ~]# ifconfig       '查看自身的i网卡（此时已经远程到test01上）'
ens33: flags=4163  mtu 1500
        inet 192.168.139.128  netmask 255.255.255.0  broadcast 192.168.139.255
[root@test01 ~]# exit       '退出'
logout
Connection to 192.168.139.128 closed.
[root@test02 ~]# ifconfig       '查看自身的主机名，test02的主机名'
ens33: flags=4163  mtu 1500
        inet 192.168.139.129  netmask 255.255.255.0  broadcast 192.168.139.255

[root@test02 ~]# ssh gsy@192.168.139.128    ''用gsy的身份去登陆，也可以
gsy@192.168.139.128's password: 
Last login: Wed Nov 20 18:07:37 2019    
[gsy@test01 ~]$ exit    '退出'
logout
Connection to 192.168.139.128 closed.

远程连接目标主机时，使用root或普通用户都可以

[root@test01 ssh]# vim /etc/ssh/sshd_config '配置28的sshd的服务端配置文件'

 38 PermitRootLogin no  '第38行取消注释符，root登陆否'

[root@test01 ssh]# systemctl restart sshd   '重启ssh服务以生效配置'

[root@test02 ~]# ssh root@192.168.139.128   '去连28，使用root身份，'
The authenticity of host '192.168.139.128 (192.168.139.128)' can't be established.
ECDSA key fingerprint is SHA256:dXWxtS2ShXQgfb7R672V7+l3i7rGqHBbIB5MTcFnAws.
ECDSA key fingerprint is MD5:59:fb:20:f0:28:96:5e:14:90:82:63:c9:ae:67:d6:e9.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.139.128' (ECDSA) to the list of known hosts.
root@192.168.139.128's password: 
Permission denied, please try again.    '拒绝权限，请重试'
root@192.168.139.128's password: 
[root@test02 ~]#
[root@test02 ~]# ssh gsy@192.168.139.128    '使用gsy身份去连接，没问题'
gsy@192.168.139.128's password: 
Last login: Wed Nov 20 18:08:14 2019 from 192.168.139.129
[gsy@test01 ~]$ 
[gsy@test01 ~]$ su - root   '然后su切换到root'
Password: 
Last login: Wed Nov 20 18:30:29 CST 2019 on pts/5
Last failed login: Wed Nov 20 18:32:37 CST 2019 on pts/5
There was 1 failed login attempt since the last successful login.
[root@test01 ~]#    '成功'

permission denied 权限拒绝

为了不让普通用户与root之间随意切换，可以在服务端28 配置pam.d/su,启用pam.d/su后，不在wheel组内的用户无法

 [root@test01 ssh]# vim /etc/pam.d/su   '编辑对应的配置文件'

 6 auth           required        pam_wheel.so use_uid  '取消注释，启用pam.d的su功能'

[root@test01 ssh]# useradd lisi     '新创建用户lisi，该用户不在wheel组内'
[root@test01 ssh]# passwd lisi
Changing password for user lisi.
New password: 
BAD PASSWORD: The password is shorter than 8 characters
Retype new password: 
passwd: all authentication tokens updated successfully.

[root@test02 ~]# ssh lisi@192.168.139.128       '用29去链接28'
lisi@192.168.139.128's password: 
[lisi@test02 ~]$        'lisi登陆成功'
[lisi@test02 ~]$ su - root      'su 切换root'
密码：
su: 拒绝权限            '失败'

[root@test01 ssh]# vim /etc/ssh/sshd_config '给28配置sshd_config'

 21 AllowUsers gsy      '手动添加白名单，即只允许gsy登陆'
[root@test01 ssh]# systemctl restart sshd   '重启sshd服务'

[root@test02 ~]# ssh gsy@192.168.139.128    '以gsy身份，29远程28'
gsy@192.168.139.128's password: 
Last failed login: Wed Nov 20 18:51:43 CST 2019 from 192.168.139.129 on ssh:notty
There was 1 failed login attempt since the last successful login.
Last login: Wed Nov 20 18:48:54 2019 from 192.168.139.128
[gsy@test01 ~]$ logout  '登陆成功，然后退出'
Connection to 192.168.139.128 closed.
[root@test02 ~]# ssh root@192.168.139.128       '以root身份29去远程28'
root@192.168.139.128's password:    '输入密码'
Permission denied, please try again.        '权限拒绝，请重试'
root@192.168.139.128's password: 
Permission denied, please try again.

2.4.2 scp 命令——远程安全复制

[root@test01 ssh]# vim /etc/hosts   '此时在28，以hosts文件为实验'

test01  192.168.139.128 '增加内容'
test02  192.168.139.129 '增加内容'
[root@test01 ssh]# vim /etc/ssh/sshd_config '去配置sshd'
#AllowUsers gsy         '取消白名单，即所有人都可登录'
PermitRootLogin no  '注释掉远程root登陆 否'

[root@test01 ssh]# systemctl restart sshd   '重启sshd服务'

[root@test02 ~]# ssh root@192.168.139.128   '以root身份29去远程28'
root@192.168.139.128's password: 
Last failed login: Wed Nov 20 19:05:55 CST 2019 from 192.168.139.129 on ssh:notty
There were 8 failed login attempts since the last successful login.
Last login: Wed Nov 20 18:41:42 2019    '登陆成功'

[root@test01 ssh]# scp /etc/hosts root@192.168.139.129:etc/hosts    
'此时在28上，scp复制 本地 /etc/hosts文件 到29：/etc/hosts'
The authenticity of host '192.168.139.129 (192.168.139.129)' can't be established.  
ECDSA key fingerprint is SHA256:+uy+1TNy69jB97B7+AoYqhNEaBi42DuOYb0oE4pJ8s0.
ECDSA key fingerprint is MD5:00:78:0c:c1:c2:7b:01:45:7c:31:c2:3b:53:4d:5c:10.
Are you sure you want to continue connecting (yes/no)? yes  '询问是否连接，选择是'
Warning: Permanently added '192.168.139.129' (ECDSA) to the list of known hosts.
root@192.168.139.129's password: 
hosts                                     100%  204    87.9KB/s   00:00    '显示进度'
[root@test01 ssh]# 
[root@test01 ssh]# ssh root@192.168.139.129     '以root身份28远程29'
root@192.168.139.129's password: 
Last login: Wed Nov 20 19:18:41 2019 from 192.168.139.129
[root@test02 ~]# cat /etc/hosts     '查看29下的/etc/hosts文件'
127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
test01  192.168.139.128
test02  192.168.139.129
[root@test02 ~]# logout     '注销登陆'
Connection to 192.168.139.129 closed.
[root@test01 ssh]# cd /opt/
[root@test01 opt]# ls
rh
[root@test01 opt]# touch abc.txt    '在本地创建空文件'
[root@test01 opt]# scp /opt/abc.txt root@192.168.139.129:/home/
'把本地的/opt/abc.txt文件 以root身份 复制到192.168.139.129主机的/home/目录下'
root@192.168.139.129's password:    '密码确认'
abc.txt                                   100%    0     0.0KB/s   00:00    
[root@test01 opt]# 

[root@test02 ~]# cd /home
[root@test02 home]# ls
abc.txt  gsy
[root@test02 home]# vim /etc/ssh/sshd_config    '修改sshd_config服务端配置'
Port 22     '开启接口'
[root@test02 home]# systemctl restart sshd  '重启'
[root@test02 home]# mkdir abc

[root@test01 opt]# scp /opt/abc.txt gsy@192.168.139.129:/home/abc/
gsy@192.168.139.129's password: 
scp: /home/abc//abc.txt: Permission denied  '复制失败'

[root@test02 home]# ls -al
total 0
drwxr-xr-x.  4 root root  43 Nov 20 19:32 .
dr-xr-xr-x. 17 root root 224 Oct 24 15:42 ..
'drwxr-xr-x.  2 root root   6 Nov 20 19:32 abc  '权限不够'
-rw-r--r--.  1 root root   0 Nov 20 19:22 abc.txt
drwx------.  3 gsy  gsy   78 Oct 24 15:36 gsy
[root@test02 home]# chmod 777 abc
[root@test02 home]# ls -al
total 0
drwxr-xr-x.  4 root root  43 Nov 20 19:32 .
dr-xr-xr-x. 17 root root 224 Oct 24 15:42 ..
'drwxrwxrwx.  2 root root   6 Nov 20 19:32 abc
-rw-r--r--.  1 root root   0 Nov 20 19:22 abc.txt
drwx------.  3 gsy  gsy   78 Oct 24 15:36 gsy
[root@test02 home]# 

[root@test01 opt]# scp /opt/abc.txt gsy@192.168.139.129:/home/abc/
'重试'
gsy@192.168.139.129's password:     '可以了'
abc.txt                                   100%    0     0.0KB/s   00:00  

然后到29主机上查看验证

[root@test02 home]# ls -al abc  
total 0
drwxrwxrwx. 2 root root 21 Nov 20 19:38 .
drwxr-xr-x. 4 root root 43 Nov 20 19:32 ..
'-rw-r--r--. 1 gsy  gsy   0 Nov 20 19:38 abc.txt

以什么用户传过去的，就会以该用户的属主写入

[root@test01 opt]# scp root@192.168.139.129:/home/gsy.txt /opt
'在28上，从29主机上以root身份去复制/home/gsy.txt文件 到/opt下'
root@192.168.139.129's password:    
gsy.txt                     '成功'       100%    4     1.4KB/s   00:00  
[root@test01 opt]# ls -l
total 4
-rw-r--r--. 1 root root 0 Nov 20 19:21 abc.txt
'-rw-r--r--. 1 root root 4 Nov 20 19:46 gsy.txt'
drwxr-xr-x. 2 root root 6 Mar 26  2015 rh
[root@test01 opt]# cat gsy.txt 
gsy
[root@test01 opt]# 

想要ssh远程其他，就需要吧其他的的权限放开

2.4.3 sftp命令 ————安全FTP上下载

[root@test01 ~]# sftp root@192.168.139.129      'ftp上下载方式连接29'
root@192.168.139.129's password: 
Connected to 192.168.139.129.
sftp> 
sftp> ls -a
.                        ..                       .ICEauthority            
.Xauthority              .bash_history            .bash_logout             
.bash_profile            .bashrc                  .cache                   
.config                  .cshrc                   .dbus                    
.esd_auth                .local                   .mozilla                 
.ssh                     .tcshrc                  .viminfo                 
anaconda-ks.cfg          initial-setup-ks.cfg     下载                   
公共                   图片                   文档                   
桌面                   模板                   视频                   
音乐                   
sftp> cd /opt
sftp> ls
rh  
sftp> mkdir aaa
sftp> ls
aaa  rh   
sftp> rm -rf aaa
rm: Invalid flag -r
sftp> 
ls
aaa  rh   
sftp> 
sftp>  help
Available commands:
bye                                Quit sftp
cd path                            Change remote directory to 'path'
chgrp grp path                     Change group of file 'path' to 'grp'
chmod mode path                    Change permissions of file 'path' to 'mode'
chown own path                     Change owner of file 'path' to 'own'
df [-hi] [path]                    Display statistics for current directory or
                                   filesystem containing 'path'
exit                               Quit sftp
get [-afPpRr] remote [local]       Download file
reget [-fPpRr] remote [local]      Resume download file
reput [-fPpRr] [local] remote      Resume upload file
help                               Display this help text
lcd path                           Change local directory to 'path'
lls [ls-options [path]]            Display local directory listing
lmkdir path                        Create local directory
ln [-s] oldpath newpath            Link remote file (-s for symlink)
lpwd                               Print local working directory
ls [-1afhlnrSt] [path]             Display remote directory listing
lumask umask                       Set local umask to 'umask'
mkdir path                         Create remote directory
progress                           Toggle display of progress meter
put [-afPpRr] local [remote]       Upload file
pwd                                Display remote working directory
quit                               Quit sftp
rename oldpath newpath             Rename remote file
rm path                            Delete remote file
rmdir path                         Remove remote directory
symlink oldpath newpath            Symlink remote file
version                            Show SFTP version
!command                           Execute 'command' in local shell
!                                  Escape to local shell
?                                  Synonym for help
sftp> rmdir aaa
sftp> ls
rh  
sftp> 

在sftp模式下，命令跟linux的命令有些不一样

三 ： 构建密钥对验证的SSH体系

[root@test02 ~]# ssh-keygen rsa     ‘创建密钥对的选项’
Too many arguments.
usage: ssh-keygen [-q] [-b bits] [-t dsa | ecdsa | ed25519 | rsa | rsa1]
                  [-N new_passphrase] [-C comment] [-f output_keyfile]
       ssh-keygen -p [-P old_passphrase] [-N new_passphrase] [-f keyfile]
       ssh-keygen -i [-m key_format] [-f input_keyfile]
       ssh-keygen -e [-m key_format] [-f input_keyfile]
       ssh-keygen -y [-f input_keyfile]
       ssh-keygen -c [-P passphrase] [-C comment] [-f keyfile]
       ssh-keygen -l [-v] [-E fingerprint_hash] [-f input_keyfile]
       ssh-keygen -B [-f input_keyfile]
       ssh-keygen -D pkcs11
       ssh-keygen -F hostname [-f known_hosts_file] [-l]
       ssh-keygen -H [-f known_hosts_file]
       ssh-keygen -R hostname [-f known_hosts_file]
       ssh-keygen -r hostname [-f input_keyfile] [-g]
       ssh-keygen -G output_file [-v] [-b bits] [-M memory] [-S start_point]
       ssh-keygen -T output_file -f input_file [-v] [-a rounds] [-J num_lines]
                  [-j start_line] [-K checkpt] [-W generator]
       ssh-keygen -s ca_key -I certificate_identity [-h] [-n principals]
                  [-O option] [-V validity_interval] [-z serial_number] file ...
       ssh-keygen -L [-f input_keyfile]
       ssh-keygen -A
       ssh-keygen -k -f krl_file [-u] [-s ca_public] [-z version_number]
                  file ...
       ssh-keygen -Q -f krl_file file ...

[root@test02 ~]# ssh-keygen -t rsa      '创建密钥对 -t '
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:ZL4EmtVT8fXoCPScBgL7bldPv380zK93PQnA9kmORF8 root@test02
The key's randomart image is:
+---[RSA 2048]----+
|      ... =.  .  |
|       o + * o E |
|      + = + B o .|
|     + * . B =   |
|    o   S o O *  |
|       o . o B =.|
|        + .   o.*|
|       . .     oB|
|              .+*|
+----[SHA256]-----+
[root@test02 ~]# ls -a
.                .bash_logout   .dbus                 .ssh         图片
..               .bash_profile  .esd_auth             .tcshrc      文档
123123           .bashrc        .ICEauthority         .viminfo     桌面
123123.pub       .cache         initial-setup-ks.cfg  .Xauthority  模板
anaconda-ks.cfg  .config        .local                下载         视频
.bash_history    .cshrc         .mozilla              公共         音乐

[root@test02 ~]# cd .ssh
[root@test02 .ssh]# ls
id_rsa  id_rsa.pub  known_hosts

[root@test02 .ssh]# ssh-copy-id -i id_rsa.pub gsy@192.168.139.128       
'复制密钥对的公钥复制到28服务端，以gsy身份'
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
gsy@192.168.139.128's password:     '输入密码'

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'gsy@192.168.139.128'"
and check to make sure that only the key(s) you wanted were added.

[root@test01 ~]# cd /home/gsy
[root@test01 gsy]# ls
下载  公共  图片  文档  桌面  模板  视频  音乐
[root@test01 gsy]# ls -a
.              .bash_logout   .cache     .ICEauthority  .ssh  图片  模板
..             .bash_profile  .config    .local         下载  文档  视频
.bash_history  .bashrc        .esd_auth  .mozilla       公共  桌面  音乐
[root@test01 gsy]# cd .ssh
[root@test01 .ssh]# ls      '验证是否成功复制到28服务端'
authorized_keys

[root@test02 ~]# ssh gsy@192.168.139.128    '再次远程登陆服务端28'
Enter passphrase for key '/root/.ssh/id_rsa':   '输入之前输入的密码'
Last failed login: Wed Nov 20 20:17:55 CST 2019 from 192.168.139.129 on ssh:notty
There was 1 failed login attempt since the last successful login.
Last login: Wed Nov 20 18:51:51 2019 from 192.168.139.129
[gsy@test01 ~]$     '登陆成功'
[gsy@test01 ~]$ exit
logout
Connection to 192.168.139.128 closed.

[root@test02 ~]# ls -a
.                .bash_logout   .dbus                 .ssh         图片
..               .bash_profile  .esd_auth             .tcshrc      文档
123123           .bashrc        .ICEauthority         .viminfo     桌面
123123.pub       .cache         initial-setup-ks.cfg  .Xauthority  模板
anaconda-ks.cfg  .config        .local                下载         视频
.bash_history    .cshrc         .mozilla              公共         音乐
[root@test02 ~]# ls -a .ssh
.  ..  id_rsa  id_rsa.pub  known_hosts
[root@test02 ~]# ssh-agent bash     '创建自动代理功能'
[root@test02 ~]# ssh-add    '免交互'
Enter passphrase for /root/.ssh/id_rsa:     '输入密码确认'
Identity added: /root/.ssh/id_rsa (/root/.ssh/id_rsa)
[root@test02 ~]# 
[root@test02 ~]# ssh gsy@192.168.139.128    '再次以gsy身份去登陆28服务端'
Last login: Wed Nov 20 21:33:22 2019 from 192.168.139.130   '网络被切换，客户机IP地址改变'

ssh-agent bash 创建自动代理功能

ssh-add 免交互

可以用于在shelle脚本远程

四 ：TCP Wrappers 概述

4.1 保护机制的实现方式

• 方式1 ： 通过tcpd主程序对其他服务程序进行包装
• 方式2 ： 有其他服务程序调用libwrap.so.*链接库

4.2 访问控制策略的配置文件

• /etc/hosts.allow
• /etc/hosts.deny

其中，ssh就是能够被它管控的服务

[root@test01 .ssh]# ldd `which sshd`
        linux-vdso.so.1 =>  (0x00007ffd5eb16000)
        libfipscheck.so.1 => /lib64/libfipscheck.so.1 (0x00007f4e20f2b000)
        libwrap.so.0 => /lib64/libwrap.so.0 (0x00007f4e20d20000)
        libaudit.so.1 => /lib64/libaudit.so.1 (0x00007f4e20af7000)
        libpam.so.0 => /lib64/libpam.so.0 (0x00007f4e208e8000)
        libselinux.so.1 => /lib64/libselinux.so.1 (0x00007f4e206c1000)
        libsystemd.so.0 => /lib64/libsystemd.so.0 (0x00007f4e20698000)
        libcrypto.so.10 => /lib64/libcrypto.so.10 (0x00007f4e20237000)
        libdl.so.2 => /lib64/libdl.so.2 (0x00007f4e20033000)
        libldap-2.4.so.2 => /lib64/libldap-2.4.so.2 (0x00007f4e1fdde000)
        liblber-2.4.so.2 => /lib64/liblber-2.4.so.2 (0x00007f4e1fbcf000)
        libutil.so.1 => /lib64/libutil.so.1 (0x00007f4e1f9cc000)
        libz.so.1 => /lib64/libz.so.1 (0x00007f4e1f75000)
        libcrypt.so.1 => /lib64/libcrypt.so.1 (0x00007f4e1f57e000)
        libresolv.so.2 => /lib64/libresolv.so.2 (0x00007f4e1f364000)
        libgssapi_krb5.so.2 => /lib64/libgssapi_krb5.so.2 (0x00007f4e1f116000)
        libkrb5.so.3 => /lib64/libkrb5.so.3 (0x00007f4e1ee2e000)
        libk5crypto.so.3 => /lib64/libk5crypto.so.3 (0x00007f4e1ebfb000)
        libcom_err.so.2 => /lib64/libcom_err.so.2 (0x00007f4e1e9f6000)
        libc.so.6 => /lib64/libc.so.6 (0x00007f4e1e633000)
        libnsl.so.1 => /lib64/libnsl.so.1 (0x00007f4e1e41a000)
        libcap-ng.so.0 => /lib64/libcap-ng.so.0 (0x00007f4e1e213000)
        libpcre.so.1 => /lib64/libpcre.so.1 (0x00007f4e1dfb1000)
        /lib64/ld-linux-x86-64.so.2 (0x0000562f68c55000)
        libcap.so.2 => /lib64/libcap.so.2 (0x00007f4e1ddac000)
        libm.so.6 => /lib64/libm.so.6 (0x00007f4e1daa9000)
        librt.so.1 => /lib64/librt.so.1 (0x00007f4e1d8a1000)
        liblzma.so.5 => /lib64/liblzma.so.5 (0x00007f4e1d67b000)
        libgcrypt.so.11 => /lib64/libgcrypt.so.11 (0x00007f4e1d3f9000)
        libgpg-error.so.0 => /lib64/libgpg-error.so.0 (0x00007f4e1d1f4000)
        libdw.so.1 => /lib64/libdw.so.1 (0x00007f4e1cfad000)
        libgcc_s.so.1 => /lib64/libgcc_s.so.1 (0x00007f4e1cd96000)
        libpthread.so.0 => /lib64/libpthread.so.0 (0x00007f4e1cb7a000)
        libsasl2.so.3 => /lib64/libsasl2.so.3 (0x00007f4e1c95d000)
        libssl3.so => /lib64/libssl3.so (0x00007f4e1c710000)
        libsmime3.so => /lib64/libsmime3.so (0x00007f4e1c4e9000)
        libnss3.so => /lib64/libnss3.so (0x00007f4e1c1bf000)
        libnssutil3.so => /lib64/libnssutil3.so (0x00007f4e1bf91000)
        libplds4.so => /lib64/libplds4.so (0x00007f4e1bd8d000)
        libplc4.so => /lib64/libplc4.so (0x00007f4e1bb88000)
        libnspr4.so => /lib64/libnspr4.so (0x00007f4e1b949000)
        libfreebl3.so => /lib64/libfreebl3.so (0x00007f4e1b746000)
        libkrb5support.so.0 => /lib64/libkrb5support.so.0 (0x00007f4e1b537000)
        libkeyutils.so.1 => /lib64/libkeyutils.so.1 (0x00007f4e1b333000)
        libattr.so.1 => /lib64/libattr.so.1 (0x00007f4e1b12d000)
        libelf.so.1 => /lib64/libelf.so.1 (0x00007f4e1af15000)
        libbz2.so.1 => /lib64/libbz2.so.1 (0x00007f4e1ad04000)

查询功能模块 `后面接命令

五 ： TCP Wrappers 策略应用

5.1 设置访问控制策略

• 策略格式 ： 服务列表：客户机地址列表
• 服务列表
  • 多个服务以逗号分隔，ALL表示所有服务
• 客户机地址列表
  • 多个地址以逗号分隔，ALL表示所有地址
  • 允许使用通配符？和*
  • 网段地址，如192.168.4. 或者192.168.4.0/255.255.255.0
  • 区域地址，如 .bennet,com

5.2 策略的应用顺序

• 先检查hosts.allow，找到匹配则允许访问
• 否则再检查hosts.deny，找到则拒绝访问
• 若两个文件中均无匹配策略，则默认允许访问
• 禁止其他所有地址访问受保护的服务

[root@localhost ~]# echo "sshd:61.63.65.67,192.168.2.*" > /etc/hosts.allow
[root@localhost ~]# vi /etc/hosts.allow
sshd:61.63.65.67,192.168.2.*

[root@localhost ~]# echo "sshd:ALL" > /etc/hosts.deny
[root@localhost ~]# vi /etc/hosts.deny
sshd:ALL

[root@localhost ~]# 

优先读取allow，然后再度deny

如果只想禁止某些主机登陆，则只做黑名单，白名单不写

小结：

ssh 22端口

服务端配置文件 /etc/ssh/sshd_config

Port 22     '端口号'
ListenAddress 192.168.155.155   '监听地址'
Protocol 2      '版本号'
UserDNS no      'DNS反向解析，否'
LoginGraceTime  2m      '登陆时间 2m'
PermitRootLogin no      '允许root登陆 否'
MaxAuthTries 6          '最大尝试登陆次数 6 次'
PermitEmptyPasswords no     '禁止空密码'
AllowUsers gsy  lisi@192.168.88.88  
'只允许gsy登陆，lisi从192.168.88.88登陆，别人都不行'
PasswordAuthentication yes  '需要密码验证 是'
PubkeyAuthentication yes    '开启密钥对验证 是'
AuthorizedKeyFile .ssh/authorized_keys '密钥对文件位置'

远程登陆

ssh 用户名@ip地址 -p 指定端口号

远程复制

scp 要复制的文件 复制到的目标位置

scp 用户名@ipdizhi：源文件路径 目标路径

远程上下载

sftp 用户名@ip地址

ssh中构建密钥对

ssh-keygen -t rsa（或dsa算法） 创建密钥对

ssh-copy -i 公钥文件路径 用户名@目标ip地址

ssh-copy -i ~/.ssh/id_rsa.pub gsy@192.168.88.88

ssh-agent bash 创建自动代理功能

ssh-add 免交互

TCP Wrappers 保护主程序

ldd ·which sshd·

访问控制策略的配置文件

/etc/hosts.allow

/etc/hosts.deny

如果做黑名单，白名单可以不写

文章题目：理论：linux远程控制openssh详细讲解
分享URL：http://mswzjz.cn/article/pdcghe.html