0
  • 聊天消息
  • 系統(tǒng)消息
  • 評(píng)論與回復(fù)
登錄后你可以
  • 下載海量資料
  • 學(xué)習(xí)在線課程
  • 觀看技術(shù)視頻
  • 寫文章/發(fā)帖/加入社區(qū)
會(huì)員中心
电子发烧友
开通电子发烧友VIP会员 尊享10大特权
海量资料免费下载
精品直播免费看
优质内容免费畅学
课程9折专享价
創(chuàng)作中心

完善資料讓更多小伙伴認(rèn)識(shí)你,還能領(lǐng)取20積分哦,立即完善>

3天內(nèi)不再提示

SSH第1部分:配置SSH以安全連接到遠(yuǎn)程設(shè)備

李鑫 ? 來(lái)源:hzp_bbs ? 作者:hzp_bbs ? 2023-01-03 09:45 ? 次閱讀
Secure Shell (SSH) 協(xié)議通常用于遠(yuǎn)程管理,因?yàn)樗诳蛻舳撕瓦h(yuǎn)程設(shè)備之間提供加密連接,并在兩個(gè)系統(tǒng)之間啟用加密的雙向通信路徑。幾十年來(lái),開發(fā)人員一直依靠 SSH 協(xié)議與 Linux ? /UNIX 環(huán)境和網(wǎng)絡(luò)設(shè)備建立安全的命令行會(huì)話。隨著物聯(lián)網(wǎng) (IoT) 設(shè)備的激增,設(shè)置 SSH 以啟用安全登錄比以往任何時(shí)候都更有用。

在客戶端/服務(wù)器應(yīng)用程序中使用 SSH

SSH 是客戶端/服務(wù)器應(yīng)用程序中使用的協(xié)議。服務(wù)器運(yùn)行 SSH 服務(wù)器或守護(hù)進(jìn)程,SSH 客戶端默認(rèn)安裝在大多數(shù) UNIX 和 Mac 系統(tǒng)以及最新版本的 Windows 上。還有其他免費(fèi)和商業(yè)版本可提供附加功能,例如單獨(dú)配置和保存頻繁連接。PuTTY 是一種流行的免費(fèi) SSH 客戶端,而 VanDyke Software 的 SecureCRT 是一種流行的商業(yè)客戶端。

您可以將 SSH 用于需要與另一臺(tái)設(shè)備建立安全遠(yuǎn)程連接的多項(xiàng)活動(dòng),例如:

  • 客戶端和服務(wù)器之間的安全文件復(fù)制
  • 通過(guò)安全隧道重定向網(wǎng)絡(luò)協(xié)議
  • 用于遠(yuǎn)程管理的交互式命令行實(shí)用程序

使用 SSH 安全地復(fù)制文件

您可以使用安全復(fù)制協(xié)議 (SCP) 或安全文件傳輸協(xié)議 (SFTP) 通過(guò) SSH 復(fù)制文件。兩者都通過(guò) TCP 22 復(fù)制文件,但使用不同的協(xié)議。SSH 處理身份驗(yàn)證和加密。SFTP 是 SSH 協(xié)議的擴(kuò)展,需要在服務(wù)器端增加一個(gè) SFTP 服務(wù)器。SFTP 包括更強(qiáng)大的命令集,如列出遠(yuǎn)程目錄和刪除文件,這是 SCP 無(wú)法做到的。

通過(guò) SSH 隧道重定向網(wǎng)絡(luò)流量以實(shí)現(xiàn)安全遠(yuǎn)程管理

SSH 還支持多種其他功能,例如通過(guò)已建立的 SSH 隧道封裝其他網(wǎng)絡(luò)流量的能力。例如,在創(chuàng)建 SSH 隧道后,您可以指示不同的應(yīng)用程序(如 Web 瀏覽器)通過(guò)特定端口連接到本地主機(jī)。然后,系統(tǒng)會(huì)將后續(xù)網(wǎng)絡(luò)調(diào)用發(fā)送到目標(biāo)服務(wù)器。這允許遠(yuǎn)程連接到網(wǎng)絡(luò)而無(wú)需在 Internet 上公開該服務(wù)。

使用 SSH 的交互式命令滿足您的遠(yuǎn)程管理安全需求

SSH 提供身份驗(yàn)證和加密功能,使您能夠配置系統(tǒng)以滿足您的安全要求。默認(rèn)情況下,SSH 配置為用于用戶名和密碼身份驗(yàn)證,但您可以添加通過(guò)其他模塊(如 OATH-TOTP)提供的公鑰身份驗(yàn)證和額外的多因素身份驗(yàn)證 (MFA)。事實(shí)證明,多因素身份驗(yàn)證比單獨(dú)使用密碼更能抵御網(wǎng)絡(luò)釣魚攻擊,因?yàn)?MFA 至少需要一個(gè)除密碼之外的其他因素來(lái)確認(rèn)身份。

SSH 服務(wù)器配置可以在命令行、每個(gè)用戶或系統(tǒng)范圍內(nèi)通過(guò)一個(gè)名為 的文件進(jìn)行配置SSH_config,該文件通常位于/etc/SSH/SSHd_config.

為用戶名和密碼身份驗(yàn)證配置 SSH 是最簡(jiǎn)單的。默認(rèn)情況下,在許多設(shè)備上,您只需要在服務(wù)器上創(chuàng)建一個(gè)用戶帳戶,分配一個(gè)密碼,確保安裝并偵聽 SSH 服務(wù)器守護(hù)程序,然后就可以開始了。

在客戶端計(jì)算機(jī)上,使用以下命令遠(yuǎn)程登錄到服務(wù)器:
ssh username@remotehost

當(dāng)您首次登錄新設(shè)備時(shí),系統(tǒng)會(huì)向您顯示無(wú)法驗(yàn)證您所連接的服務(wù)器或設(shè)備的真實(shí)性的警報(bào)。這是正常的,也是一種很好的安全措施。SSH 客戶端將向您顯示服務(wù)器提供的主機(jī)密鑰。為確保您連接的服務(wù)器是您打算連接的實(shí)際服務(wù)器(而不是欺騙或中間人),您應(yīng)該確認(rèn)其身份。在服務(wù)器上,使用此命令輸出服務(wù)器的身份公鑰:

ssh-keygen -l -f

例如:

ssh-keygen -l -f ssh_host_ecdsa_key.pub

然后,將此命令的輸出與 SSH 客戶端提供給您的散列值進(jìn)行比較。你只需要這樣做一次。SSH 客戶端會(huì)將此條目保存在文件中您之前登錄的所有已知主機(jī)的列表中,~/.SSH/known_hosts并且只會(huì)在檢測(cè)到不匹配時(shí)提醒您。

設(shè)置用于身份驗(yàn)證的證書稍微復(fù)雜一些,但是許多 Internet 站點(diǎn)都詳細(xì)說(shuō)明了所需的步驟。例如,https://ssh.com 上提供了一個(gè)非常好的演練。這些站點(diǎn)顯示了為不同的 Linux 發(fā)行版安裝和配置 SSH 和證書的細(xì)節(jié)。生成的密鑰是實(shí)際憑證,與用戶名和密碼一樣重要,應(yīng)謹(jǐn)慎處理并妥善保護(hù)。這些證書將允許訪問(wèn)您的設(shè)備。

一般來(lái)說(shuō),步驟包括:

  1. 通過(guò)運(yùn)行命令生成包含授權(quán)密鑰和身份密鑰的密鑰對(duì)ssh-keygen。默認(rèn)情況下,ssh-keygen將創(chuàng)建一個(gè)新的身份(私有)和授權(quán)(公共)SSH 協(xié)議 2 RSA 密鑰對(duì)到~/.ssh directory. 如果您在創(chuàng)建 SSH 密鑰時(shí)選擇輸入密碼,則在嘗試使用該密鑰登錄遠(yuǎn)程計(jì)算機(jī)時(shí)將需要重新輸入該密碼。重新輸入密碼是一種很好的安全措施,因?yàn)槊艽a會(huì)加密您的私鑰并防止攻擊者使用它。

    從客戶端計(jì)算機(jī)上的命令行運(yùn)行:
    ssh-keygen
  2. 將授權(quán)密鑰從客戶端計(jì)算機(jī)復(fù)制到服務(wù)器。使用 ssh 默認(rèn)值,此密鑰具有 .pub 擴(kuò)展名,并且位于用戶的 .ssh 目錄中的身份密鑰旁邊。運(yùn)行 ssh-keygen 生成 ssh 密鑰后,在客戶端計(jì)算機(jī)上運(yùn)行此工具:

    ssh-copy-id username@remotehost

    此工具將在您的客戶端計(jì)算機(jī)上查找密鑰,并將登錄到您指定的遠(yuǎn)程計(jì)算機(jī)并將密鑰復(fù)制到(新)文件中,位于~/.ssh/authorized_keys。

這樣就以最簡(jiǎn)單的形式完成了這個(gè)過(guò)程。現(xiàn)在,當(dāng)您登錄該遠(yuǎn)程設(shè)備時(shí),它將使用您的證書對(duì)您進(jìn)行身份驗(yàn)證。

指定要使用的加密密碼

SSH 還允許您指定要使用的加密密碼。并不是所有的密碼都是平等的,有些你應(yīng)該避免。大多數(shù)現(xiàn)代 Linux 發(fā)行版默認(rèn)使用可接受的加密密碼,但舊設(shè)備可能不支持這些密碼。要限制降級(jí)以刪除不需要的密碼,請(qǐng)編輯文件sshd_config并指定您希望支持的密碼。如果您的服務(wù)器或設(shè)備支持更高版本的 OpenSSH,您可以運(yùn)行以下命令來(lái)調(diào)用擴(kuò)展測(cè)試模式,這將列出許多配置選項(xiàng),包括啟用了哪些加密算法

sshd -T

有關(guān)要使用的最佳對(duì)稱算法、主機(jī)密鑰、密鑰交換和消息身份驗(yàn)證代碼算法的當(dāng)前指南,請(qǐng)參閱 OpenSSH 網(wǎng)站。美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院 (NIST) 還提供了由于密鑰長(zhǎng)度不足或算法本身而應(yīng)避免使用哪些加密算法的建議。

關(guān)鍵點(diǎn):

SSH 是一個(gè)非常強(qiáng)大和有用的工具,可以連接到無(wú)數(shù)的設(shè)備。允許交互式登錄的物聯(lián)網(wǎng)設(shè)備將支持 SSH,您應(yīng)該警惕在不受信任的網(wǎng)絡(luò)上使用那些不支持的設(shè)備。

  • SSH 標(biāo)準(zhǔn)包括支持對(duì) IoT 設(shè)備和云基礎(chǔ)設(shè)施進(jìn)行安全、遠(yuǎn)程管理的工具。
  • SSH 提供現(xiàn)代加密和身份驗(yàn)證控制,包括使用受密碼保護(hù)的證書的多因素身份驗(yàn)證。
  • OpenSSH 實(shí)用程序套件提供了使用 SSH 遠(yuǎn)程管理 Linux 系統(tǒng)和網(wǎng)絡(luò)設(shè)備所需的所有工具。


審核編輯:湯梓紅

聲明:本文內(nèi)容及配圖由入駐作者撰寫或者入駐合作網(wǎng)站授權(quán)轉(zhuǎn)載。文章觀點(diǎn)僅代表作者本人,不代表電子發(fā)燒友網(wǎng)立場(chǎng)。文章及其配圖僅供工程師學(xué)習(xí)之用,如有內(nèi)容侵權(quán)或者其他違規(guī)問(wèn)題,請(qǐng)聯(lián)系本站處理。 舉報(bào)投訴
  • 服務(wù)器
    +關(guān)注

    關(guān)注

    12

    文章

    9626

    瀏覽量

    87095
  • 客戶端
    +關(guān)注

    關(guān)注

    1

    文章

    296

    瀏覽量

    16963
  • SSH
    SSH
    +關(guān)注

    關(guān)注

    0

    文章

    193

    瀏覽量

    16743
收藏 0人收藏

    評(píng)論

    相關(guān)推薦
    熱點(diǎn)推薦

    SSH遠(yuǎn)程登錄與控制教程

    SSH(Secure Shell)是一種安全通道協(xié)議,主要用來(lái)實(shí)現(xiàn)字符界面的遠(yuǎn)程登錄、遠(yuǎn)程 復(fù)制等功能。SSH 協(xié)議對(duì)通信雙方的數(shù)據(jù)傳輸進(jìn)行
    的頭像 發(fā)表于 04-09 13:43 ?1375次閱讀
    <b class='flag-5'>SSH</b><b class='flag-5'>遠(yuǎn)程</b>登錄與控制教程

    stm32mp遠(yuǎn)程復(fù)制文件ssh不能連接怎么解決?

    1、看ubuntu環(huán)境中ssh是正在運(yùn)行的,但是從ubuntu復(fù)制文件到開發(fā)板或者直接ssh連接無(wú)法連接,串口
    發(fā)表于 03-07 13:02

    禁止使用root用戶通過(guò)ssh遠(yuǎn)程登錄Linux

    1、背景描述 出于安全考慮,需要禁止使用root用戶通過(guò)ssh遠(yuǎn)程登錄Linux 禁用root用戶遠(yuǎn)程登錄后,需要提供一個(gè)權(quán)限用戶用于
    的頭像 發(fā)表于 12-21 16:25 ?1202次閱讀
    禁止使用root用戶通過(guò)<b class='flag-5'>ssh</b><b class='flag-5'>遠(yuǎn)程</b>登錄Linux

    深入解析SSH協(xié)議,輕松實(shí)現(xiàn)安全高效的服務(wù)器管理

    過(guò)程中被竊聽或篡改。SSH支持多種身份驗(yàn)證方法,包括密碼、公鑰和證書等,確保只有授權(quán)用戶能夠訪問(wèn)系統(tǒng)。除了遠(yuǎn)程登錄,SSH還支持文件傳輸和端口轉(zhuǎn)發(fā)等功能,使得
    的頭像 發(fā)表于 12-19 13:40 ?681次閱讀

    SSH遠(yuǎn)程操作的基本方式

    SSH 是 Linux 下進(jìn)行遠(yuǎn)程連接的基本工具,但是如果僅僅用它來(lái)登錄那可是太浪費(fèi)啦!SSH 命令可是完成遠(yuǎn)程操作的神器啊,借助它我們可以
    的頭像 發(fā)表于 11-11 11:15 ?639次閱讀
    <b class='flag-5'>SSH</b><b class='flag-5'>遠(yuǎn)程</b>操作的基本方式

    詳解SSH的工作原理

    SSH是一種協(xié)議標(biāo)準(zhǔn),其目的是實(shí)現(xiàn)安全遠(yuǎn)程登錄以及其它安全網(wǎng)絡(luò)服務(wù)。
    的頭像 發(fā)表于 11-04 15:51 ?642次閱讀
    詳解<b class='flag-5'>SSH</b>的工作原理

    如何配置華為eNSP模擬器設(shè)備路由器的ssh登錄

    本博文主要講解了如何配置華為eNSP模擬器設(shè)備路由器的ssh登錄,以便自動(dòng)化應(yīng)用可以更好的控制管理相關(guān)網(wǎng)絡(luò)設(shè)備
    的頭像 發(fā)表于 10-25 09:31 ?2232次閱讀
    如何<b class='flag-5'>配置</b>華為eNSP模擬器<b class='flag-5'>設(shè)備</b>路由器的<b class='flag-5'>ssh</b>登錄

    交換機(jī)如何配置SSH遠(yuǎn)程登錄

    從事網(wǎng)絡(luò)運(yùn)維工作的小伙伴們都知道,在交換機(jī)正式上線時(shí),必須完成配置SSH遠(yuǎn)程登錄,這樣做目的是為了日后,維護(hù)方便,不需要每次登錄設(shè)備都要跑到機(jī)房,這樣既不現(xiàn)實(shí),又費(fèi)事。
    的頭像 發(fā)表于 10-10 14:33 ?1935次閱讀
    交換機(jī)如何<b class='flag-5'>配置</b><b class='flag-5'>SSH</b><b class='flag-5'>遠(yuǎn)程</b>登錄

    飛凌嵌入式ElfBoard ELF 1板卡-常見網(wǎng)絡(luò)服務(wù)搭建之SSH服務(wù)搭建

    ,常見的SSH客戶端有 putty、SSH Secure Shell Client 等。SSH特點(diǎn)1.SSH安全的加密協(xié)議,用于
    發(fā)表于 09-29 09:48

    飛凌嵌入式ElfBoard ELF 1板卡-常見網(wǎng)絡(luò)服務(wù)搭建之SSH服務(wù)搭建

    客戶端,常見的SSH客戶端有 putty、SSH Secure Shell Client 等。 SSH特點(diǎn) 1.SSH安全的加密協(xié)議,用于
    發(fā)表于 09-27 09:06

    電源設(shè)計(jì)方法-1部分

    電子發(fā)燒友網(wǎng)站提供《電源設(shè)計(jì)方法-1部分.pdf》資料免費(fèi)下載
    發(fā)表于 09-06 11:40 ?0次下載
    電源設(shè)計(jì)方法-<b class='flag-5'>第</b><b class='flag-5'>1</b><b class='flag-5'>部分</b>

    【龍芯2K0300蜂鳥板試用】遠(yuǎn)程SSH登錄問(wèn)題解決

    首先說(shuō)下,一般linux開發(fā)板ssh遠(yuǎn)程登錄是很基本的操作,因?yàn)楦鲁绦?,下載配置都需要這個(gè)步驟,但是按照常規(guī)操作,龍芯蜂鳥開發(fā)板死活ssh無(wú)法登陸。先看下過(guò)程,首先我
    發(fā)表于 08-12 22:16

    什么是反向SSH?如何創(chuàng)建反向SSH隧道?

    反向 SSH 是一種可用于從外部世界訪問(wèn)系統(tǒng)(位于防火墻后面)的技術(shù)。
    的頭像 發(fā)表于 08-05 15:16 ?1045次閱讀

    NAS教程:鐵威馬如何登錄 SSH終端?

    適用型號(hào): 所有TNAS 型號(hào) 如您有特殊操作需要通過(guò) SSH 終端登錄 TNAS,請(qǐng)參照以下指引: (注意: 關(guān)于以下操作步驟中的"cd /"的指令,其作用是使當(dāng)前 SSH/Telnet 連接
    的頭像 發(fā)表于 06-26 14:30 ?668次閱讀
    NAS教程:鐵威馬如何登錄 <b class='flag-5'>SSH</b>終端?

    在全志H616核桃派開發(fā)板上配置SSH遠(yuǎn)程終端方法詳解

    熟悉指令用戶可以對(duì)已經(jīng)聯(lián)網(wǎng)的核桃派進(jìn)行局域網(wǎng)SSH遠(yuǎn)程終端控制,方便使用自己的PC對(duì)核桃派遠(yuǎn)程進(jìn)行各種指令操作。 普通用戶(默認(rèn)) 賬號(hào):pi ; 密碼:pi 管理員賬戶 賬號(hào):root ; 密碼
    發(fā)表于 05-29 09:25

    電子發(fā)燒友

    中國(guó)電子工程師最喜歡的網(wǎng)站

    • 2931785位工程師會(huì)員交流學(xué)習(xí)
    • 獲取您個(gè)性化的科技前沿技術(shù)信息
    • 參加活動(dòng)獲取豐厚的禮品