OpenSSH服务配置日志
时间：2010-09-27 来源：morimao
架设OpenSSH服务器完全日志
简介：
之前在架设telnet服务时提到，telnet服务使用明文来传输数据，存在着严重的安全的隐患，在实际应用中并不推荐使用，而是应该使用经过加密后的才传输数据的安全的终端。OpenSSH就是在不安全的网络环境中采用加密机制来保证传输数据安全的佼佼者之一。
OpenSSH的前身是SSH(Secure Shell)，它是一种建立在TCP上的网络协议，允许通信双方通过一种安全的通道交换数据，保证数据的安全。OpenSSh的功能有：
1． 替代不安全的网络通讯工具(如：telnet)；
2． 提高基于口令的安全安全验证和基于密钥的安全验证；
3． 通过端口转发方式传输telnet、VNC等不安全的网络通讯数据，也称为加密隧道传输。
配置流程：
配置环境：
配置目标：
1． OpenSSH服务器的基本配置与运行；
2． 基于密钥的认证方式登录服务器；
3． 使用端口转发功能(加密隧道)传输telnet服务的数据
一．OpenSSH服务器的基本配置与运行：
首先，提供了OpenSSH服务的rpm包有：openssh, openssh-clients, openssh-server；确认这些软件包的安装：
yum install openssh openssh-clients openssh-server –y
注意SERVER-RULES链表中的第7条规则：
二. 基于密钥的认证方式登录服务器:
认证方式：
openssh支持两种认证方式，一种是基于系统口令的安全验证；一种是基于密钥的安全验证，客户机必须创建一对密钥，把公钥上传到服务器，然后对接时使用自己的私钥解密，这样可以完全地防止假冒服务器的中间人攻击方式。当然，无论使用何种方式，连接建立的过程中传输的数据都是由ssh加密的。基于系统口令的验证方式上面已经介绍了，现在来学习一个基于密钥的安全验证方式：
首先，在客户端生成密钥对，可以是dsa加密，也可以是rsa加密：ssh-keygen -t dsa/rsa
上传时输入私钥密码即可。
这样以后登录时输入私钥密码登录即可，无需用户密码。
PS：如果第一次连接就出现middle attack问题，很大可能是.ssh/known_hosts的文件问题。例如之前已经建立好的链接，由于服务器重装了系统，此时known_hosts中服务器ip地址一样，但指纹不同了，此时就登录失败，清空该文件即可，或者清空该ip段的指纹：
echo “” > $HOME/.ssh/known_hosts
三. 使用端口转发功能(加密隧道)传输telnet、vnc等不安全服务的数据
实际应用中很多网络服务都是不安全的，例如telnet、ftp、pop3等，可以利用ssh的端口转发功能，为这些网络程序在各种tcp端口上建立TCP/IP数据传输进行加密与解密。
端口转发有本地转发与远程主机转发两种，本地转发是指在客户机上实现ssh隧道加密，远程主机转发是指远程的服务器为客户端实现ssh隧道加密。实现时二者选一即可。
现在以加密telnet服务为例：
Telnet客户机：192.168.136.130 使用转发端口2323；
Telnet服务器：192.168.136.128 使用telnet默认端口23。
本地转发：
在客户机192.168.136.130上开启转发功能：
ssh -L 2323:192.168.136.128:23 [email protected]
解析： 参数-L代表本地转发Local Forward，2323:192.168.136.128:23表示将telnet的链接由本地端口2323转发到服务器的23端口，[email protected]表示用root的身份登录。
登录时输入：telnet 127.0.0.1 2323 即表示：telnet 192.168.136.128 23
上述配置也可以在/etc/ssh/ssh_config中加入 "LocalForward 2323:192.168.136.128:23" 实现，上述命令中还有一个-g选项，它表示允许除本机以外的其他计算机使用转发功能，出于安全考虑，应该禁止该功能。
远程转发：
在服务器1921.168.136.128上开启转发功能：
ssh -R 2323:192.168.136.128:23
| 服务器 | 客户端 | |
| 操作系统 | CentOS 5.5 | Ubuntu 10.04 |
| Ip地址 | 192.168.136.128 | 192.168.136.130 |
| iptables | 开启 | 无 |
| selinux | 开启 | 无 |
OpenSSh使用的默认端口是22，一般iptables防火墙都已经开放该端口：
注意SERVER-RULES链表中的第7条规则：
在测试连接中发现需要注意的两个问题：
1． 用户第一次连接服务器时会提示主机不可信，这是因为在当前用户家目录下的.ssh/known_hosts文件没有记录该服务器的指纹，连接成功以后就会在该用户的known_hosts文件加入该服务器的指纹； 2． 我的登录用户名是maomao，这需要服务器上也有maomao的账户，如果没有要自行建立：
二. 基于密钥的认证方式登录服务器:
认证方式：
openssh支持两种认证方式，一种是基于系统口令的安全验证；一种是基于密钥的安全验证，客户机必须创建一对密钥，把公钥上传到服务器，然后对接时使用自己的私钥解密，这样可以完全地防止假冒服务器的中间人攻击方式。当然，无论使用何种方式，连接建立的过程中传输的数据都是由ssh加密的。基于系统口令的验证方式上面已经介绍了，现在来学习一个基于密钥的安全验证方式：
首先，在客户端生成密钥对，可以是dsa加密，也可以是rsa加密：ssh-keygen -t dsa/rsa
如何将自己的公钥(id_rsa.pub或者id_dsa.pub)上传到服务器呢？
RH253中提供了一种非常好的方法： 上传公钥给要登录的服务器: ssh-copy-id -i ~/.ssh/id_dsa.pub XXX.XXX.XXX.XXX(SSH server's ipaddress)
上传时输入私钥密码即可。
这样以后登录时输入私钥密码登录即可，无需用户密码。
PS：如果第一次连接就出现middle attack问题，很大可能是.ssh/known_hosts的文件问题。例如之前已经建立好的链接，由于服务器重装了系统，此时known_hosts中服务器ip地址一样，但指纹不同了，此时就登录失败，清空该文件即可，或者清空该ip段的指纹：
echo “” > $HOME/.ssh/known_hosts
三. 使用端口转发功能(加密隧道)传输telnet、vnc等不安全服务的数据
实际应用中很多网络服务都是不安全的，例如telnet、ftp、pop3等，可以利用ssh的端口转发功能，为这些网络程序在各种tcp端口上建立TCP/IP数据传输进行加密与解密。
端口转发有本地转发与远程主机转发两种，本地转发是指在客户机上实现ssh隧道加密，远程主机转发是指远程的服务器为客户端实现ssh隧道加密。实现时二者选一即可。
现在以加密telnet服务为例：
| telnet服务器 | telnet客户端 | |
| 操作系统 | CentOS 5.5 | Ubuntu 10.04 |
| Ip地址 | 192.168.136.128 | 192.168.136.130 |
| iptables | 开启 | 无 |
| selinux | 开启 | 无 |
| 转发端口 | —— | 2323 |
相关阅读 更多 +
