Linux篇：SSH远程管理服务

深藏阁楼爱情的钟 2024-03-16 19:11 25阅读 0赞

## SSH远程管理服务 ##

## 一、场景引入 ##

### 1、任务背景 ###

为了最大程度的保护公司内网服务器的安全，公司内部有一台服务器做跳板机(JumpServer)。运维人员在维护过程中首先要统一登录到这台服务器，然后再登录到目标设备进行维护和操作。由于开发人员有时候需要通过跳板机登录到线上生产环境查看一些业务日志，所以现在需要运维人员针对不同的人员和需求对账号密码进行统一管理，并且遵循**权限最小化**原则。

![img][]

### 2、任务要求 ###

1.  跳板机上为每个开发人员创建一个账号，并且只能在指定的目录里管理自己的文件。
2.  线上生产服务器，禁止使用root用户远程登录。
3.  线上生产服务器sshd服务不允许使用默认端口，防止自动脚本攻击默认端口。
4.  线上生产服务器上开发人员使用的账号code用户的密码使用工具随机生成。

### 3、任务拆解 ###

1.  跳板机上为开发人员创建用户及公共目录供开发人员使用，并做好权限控制
2.  所有线上生产服务器搭建ssh服务
3.  对于ssh服务根据需求进行配置

\* \* 禁止root用户远程登录 \* 更改默认端口(22=>10086)

1.  线上生产服务器创建code用户，并安装工具来生成随机密码

![img][img 1]

### 4、涉及知识点 ###

*  用户权限管理(旧知识点)
 *  **ssh服务配置(新知识点)**
 *  生成随机密码工具(新知识点)

## 二、理论储备 ##

### 1、什么是服务 ###

*  运行在操作系统后台的一个或者多个程序，为系统或者用户提供特定的服务
 *  可靠的，并发的，连续的不间断的运行，随时接受请求
 *  通过交互式提供服务

### 2、服务架构模型 ###

#### 1、B/S架构 ####

*  B/S(browser/server) 浏览器/服务器

概念：这种结构用户界面是完全通过浏览器来实现，使用http协议 优势：节约开发成本

![img][img 2]

#### 2、C/S架构 ####

*  C/S(client/server)客户端/服务器

概念：指的是客户端和服务端之间的通信方式，客户端提供用户请求接口，服务端响应请求进行对应的处理，并返回给客户端 优势：安全性较高，一般面向具体的应用

![img][img 3]

#### 3、两者区别 ####

**B/S：** 1、广域网，只需要有浏览器即可 2、一般面向整个互联网用户，安全性低 3、维护升级简单

**C/S：** 1、专用网络、小型局域网，需要具体安装对应的软件 2、一般面向固定用户，安全性较高

**思考：C/S B/S哪种更好呢？**

taobao taobaoapp

**思考1:**

我们通过网络是如何找到我们想要访问的服务的?

**IP(提供服务的服务器)+Port(找到相应的服务)**

### 3、端口号设定 ###

**说明:端口号只有整数，范围是从0 到65535** • 1～255：一**般是知名端口号**，如:ftp 21号、web 80、ssh 22、telnet 23号等 • 256～1023：通常都是由Unix系统占用来提供特定的服务 • 1024\\~5000：客户端的临时端口，随机产生 • 大于5000：为互联网上的其他服务预留

**思考2:**

如何查看系统默认的注册端口?

`powershell /etc/serivces`

### 4、常见的网络服务 ###

*  文件共享服务：FTP、SMB、NFS
 *  域名管理服务：DNS
 *  网站服务：Apache(httpd)、Nginx、Lighttpd、IIS
 *  邮件服务: Mail
 *  远程管理服务：SSH、telnet
 *  动态地址管理服务:DHCP

### 5、SSH服务概述 ###

熟悉Linux的人那肯定都对SSH不陌生。ssh是一种用于安全访问远程服务器的协议，远程管理工具。它之所以集万千宠爱为一身，就是因为它的安全性。那么它到底是怎么样来保证安全的呢？到底是如何工作的呢？

**首先，在讲SSH是如何保证安全的之前，我们先来了解以下几个密码学相关概念：**

#### 1、加密算法(了解) ####

**①对称加密算法(DES)**

![img][img 4]

1.  Jack想要给Harry发送信息一个信息Ａ，为了安全起见，Jack使用一种加密算法，比如给信息通过加一个数字B得到一个新的数字C，然后以公开的方式发送给Harry
2.  Harry接受到数字C后，通过减去一个数字B得到最终的真正的信息A
3.  Jack发送给Harry的信息A称为明文；加密后的信息C称为密文；加密用的B称之为密钥
4.  加密算法(方法)可以很复杂，不一定是加和减，也可以是乘和除等等
5.  以上过程中，加密和解密的秘钥是同一个密钥B

**总结：**

1.  发送方使用**密钥**将==**明文数据**==加密成**密文**，然后发送出去
2.  接收方收到密文后，使用同一个密钥将密文解密成明文进行读取

**②非对称加密算法(RSA)**

![img][img 5]

1.  首先Harry生成一对有相互关系的密钥对，比如e(公钥)和f(私钥)；其中公钥是可以公开给所有人的，私钥必须Harry本人私自留存，不得泄露。
2.  当Jack发送请求时，Harry会把自己的公钥e发送给Jack
3.  Jack拿着Harry的公钥e通过一种加密算法将信息Ａ加密成密文Ｃ，以公开的方式发送给Harry
4.  Harry收到密文Ｃ后，通过自己本地留存的私钥ｆ将密文解密成最终的信息A
5.  以上过程中，加密使用的是公钥e，解密使用的是私钥f；使用不同的秘钥加解密

**总结：**

1.  发送方使用接收方发送过来的**公钥**将==**明文数据**==加密成**密文**，然后发送出去
2.  接收方收到密文后，使用自己本地留存的==**私钥**==将密文解密成明文进行读取

*  **对称加密算法与非对称加密算法区别**
 *  **对称加密**

1. 1. 使用同一个密钥进行加密和解密，密钥容易泄露

2.  加密速度快，效率高，数据传输速度快，安全性较低

*  **非对称加密**

1. 1. 使用不同的密钥(公钥和私钥)进行加密和解密

2.  加密速度远远慢于对称加密，数据传输速度慢，安全性较高

**问：** 了解了加密算法，那SSH到底是如何保证数据安全的呢？

\*\*答：\*\*SSH服务有两种认证方式，分别是基于用户名密码认证和密钥对认证

#### 2、SSH基于用户名密码认证原理 ####

![img][img 6]

1.  SSH客户端向SSH服务端发起一个登录请求
2.  SSH服务端将自己的公钥发送给SSH客户端 注意：如果是第一次访问，则提示以下内容：

\`\`\`powershell

## ssh远程登录操作 首次 ##

ssh 192.168.19.101

## 显示结果 ##

## 无法确认主机的真实性 ##

The authenticity of host '192.168.19.101 (192.168.19.101)' can't be established. ECDSA key fingerprint is SHA256:Y/cQNWWkX15o2MsJ5HOQBI2m8S33qIA+x3zys8J4pOY. ECDSA key fingerprint is MD5:76:61:86:8b:d5:ee:bf:9c:60:e6:12:fa:f6:f0:74:36. Are you sure you want to continue connecting (yes/no)?yes Warning: Permanently added '192.168.19.101' (ECDSA) to the list of known hosts.

## 说明： ##

## 当客户端输入yes确认对方的公钥指纹后,server端的公钥就会被存放到客户机的用户家目录里~/.ssh/known\_hosts文件中，下次再访问就直接通过密码登录，不需要再确认公钥。 ##

\`\`\`

1.  SSH客户端使用服务端发过来的公钥将自己的密码加密并且发送给SSH服务端
2.  SSH服务端收到SSH客户端发过来的加密密码后使用本地留存的私钥进行解密
3.  SSH服务端将解密出来的密码和`/etc/shadow`文件里的用户密码对比认证
4.  SSH服务端认证成功，则返回登录成功结果，并发送一个随机会话口令给客户端，该口令用于后面两台主机进行数据传输的一个临时加密会话口令

#### 3、 SSH介绍总结 ####

*  SSH是Linux下远程管理的工具，相比Telnet安全，运维人员必备的神器！
 *  SSH的全称Secure Shell，安全的shell，是Client/Server架构，默认端口号为22，TCP协议
 *  SSH其实用于商业，而OpenSSH即为开源的，在Linux中默认安装

### 6、SSH服务配置 ###

#### 1、搭建所有服务的思路 ####

*  关闭防火墙和selinux(实验环境都先关闭掉)
 *  配置yum源(公网源或者本地源)
 *  软件安装和检查
 *  了解并修改配置文件
 *  启动服务检查运行状态并设置开机自启动

#### 2、搭建SSH服务 ####

##### (一)关闭防火墙和selinux #####

\`\`\`powershell

## 关闭firewalld防火墙 ##

## 临时关闭 ##

systemctl stop firewalld

## 关闭开机自启动 ##

systemctl disable firewalld

## 关闭selinux ##

## 临时关闭 ##

setenforce 0

## 修改配置文件 永久关闭 ##

vim /etc/selinux/config SELINUX=disabled \`\`\`

##### (二)配置yum源 #####

注意：一般情况下使用网络源即可。如果==**没有网络**==的情况下，才需要配置本地源

【配置开始】

--------------------

###### ①挂载镜像光盘 ######

\`\`\`powershell

## 建立光盘挂载目录文件夹 ##

mkdir /dvd

## 手动挂载光盘 ##

mount /dev/sr0 /dvd

## lsblk查看是否挂载成功 查看mount点或者查看挂载到的目录内容 ##

## 添加到开启加载脚本 开机自动挂载光盘 ##

echo "mount /dev/sr0 /dvd" >> /etc/rc.local \`\`\`

###### ②配置本地yum源 ######

\`\`\`powershell cd /etc/yum.repos.d mkdir bak

## 移动默认源 备份并使其失效 ##

mv ./\* ./bak

## 按照挂载光盘位置，配置光盘源 ##

cd bak cp CentOS-Media.repo ../ vim CentOS-Media.repo

## 修改文件第16行，修改为光盘挂载点/dvd/即可。修改第20行,开启源使用 ##

14 \[c7-media\] 15 name=CentOS-$releasever - Media 16 baseurl=file:///dvd/ 17 file:///media/cdrom/ 18 file:///media/cdrecorder/ 19 gpgcheck=1 20 enabled=1 21 gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7 22 \`\`\`

--------------------

【配置结束】

##### (三)软件安装 #####

###### ①确认是否安装 ######

`powershell rpm -qa|grep openssh`

查询结果

\`\`\`powershell

## 服务端和客户端的公共组件 ##

openssh-7.4p1-16.el7.x86\_64

## 客户端安装包 ##

openssh-clients-7.4p1-16.el7.x86\_64

## 服务端安装包 ##

openssh-server-7.4p1-16.el7.x86\_64 \`\`\`

###### ②查看openssh-server软件包的文件列表 ######

`powershell rpm -ql openssh-server`

查询结果

\`\`\`powershell

## 配置文件 ##

/etc/ssh/sshd\_config /etc/sysconfig/sshd

## 服务管理脚本 ##

/usr/lib/systemd/system/sshd.service => systemctl start sshd

## 文件共享服务 提供文件上传下载的服务 ##

/usr/libexec/openssh/sftp-server

## 二进制文件程序文件 ##

/usr/sbin/sshd

## 公钥生成工具 ##

/usr/sbin/sshd-keygen

## man手册 ##

/usr/share/man/man5/sshd\_config.5.gz /usr/share/man/man8/sftp-server.8.gz /usr/share/man/man8/sshd.8.gz \`\`\`

###### ③查看openssh-clients软件包的文件列表 ######

`powershell rpm -ql openssh-clients`

查询结果

\`\`\`powershell

## 客户端配置文件 ##

/etc/ssh/ssh\_config

## 远程copy命令 服务器间进行文件传输 ##

/usr/bin/scp

## sftp客户端 上传下载文件操作 ##

/usr/bin/sftp /usr/bin/slogin /usr/bin/ssh /usr/bin/ssh-add /usr/bin/ssh-agent /usr/bin/ssh-copy-id /usr/bin/ssh-keyscan

## 客户端man手册 ##

/usr/share/man/man1/scp.1.gz /usr/share/man/man1/sftp.1.gz /usr/share/man/man1/slogin.1.gz /usr/share/man/man1/ssh-add.1.gz /usr/share/man/man1/ssh-agent.1.gz /usr/share/man/man1/ssh-copy-id.1.gz /usr/share/man/man1/ssh-keyscan.1.gz /usr/share/man/man1/ssh.1.gz /usr/share/man/man5/ssh\_config.5.gz /usr/share/man/man8/ssh-pkcs11-helper.8.gz \`\`\`

##### (四)查看了解并修改配置文件 #####

\`\`\`powershell

## man 5 sshd\_config ##

\`\`\`

\*\*需求：\*\*禁止root用户远程登录

\`\`\`powershell vim /etc/ssh/sshd\_config

## 打开文件第38行 修改以下内容 ##

## PermitRootLogin yes ##

PermitRootLogin no \`\`\`

##### (五)服务管理 #####

\`\`\`powershell

## 重启服务 ##

systemctl restart sshd

## 查看状态 ##

systemctl status sshd

## 进程查看方式 ##

ps aux |grep sshd

## 端口查看方式 ##

netstat -lntp|grep sshd

## 开启自启动 ##

systemctl enable sshd \`\`\`

### 7、任务解决方案 ###

*  **环境准备**

| IP地址 | 主机名称 | 服务器角色 | | -------------- | ---------- | ------- | | 192.168.19.100 | jumpserver | 跳板机 | | 192.168.19.101 | realserver | 真实业务服务器 |

#### 1、创建用户并授权 ####

公司的开发测试服务器，有多个团队使用：

①html 前端组 jerry tom ②server 后端组 xiaoming xiaoqiang ③app 手机软件组 rose xiaohong

注意：在跳板机完成用户创建及其授权

##### (一)用户和用户组创建 #####

###### ①添加用户组 ######

`powershell groupadd html`

###### ②添加用户到用户组中 ######

`powershell useradd jerry -g html useradd tom -g html`

##### (二)使用非交互式设置密码 #####

`powershell echo 123456|passwd --stdin jerry echo 123456|passwd --stdin tom`

##### (三)为开发人员创建数据目录并且设置相应的权限 #####

\`\`\`powershell mkdir -p /code/html

## 查看默认权限 ##

cd / ll -d /code/html

## 查询结果 ##

drwxr-xr-x. 2 root root 6 3月 21 23:16 /code/html

## 修改所属组 ##

chgrp html /code/html

## 增加组 写权限 ##

chmod g+w /code/html

## 查看默认权限 ##

ll -d /code/html

## 查询结果 ##

drwxrwxr-x. 2 root html 6 3月 21 23:16 /code/html

## 设置粘滞位 其它用户不允许删除不属于它的目录和文件 ##

chmod 1700 /code/html

## 查看默认权限 ##

ll -d /code/html

## 查询结果 ##

drwxrwx--T. 2 root html 6 3月 21 23:16 /code/html \`\`\`

##### (四)测试环境用户环境和权限 #####

测试用户权限是否设置成功，可以结合第(三)步一起完成

#### 2、禁止root远程登录 ####

\*\*注意：\*\*在生产服务器server端完成

参见上面sshd的配置文件的操作

#### 3、更改默认端口 ####

需求：防止扫IP使用默认端口暴力破解(一次一次试)。故将默认端口更改为：3721

##### (一)确定当前服务器端口没有被占用 #####

\`\`\`powershell netstat -lntp|grep 3721

## 或者 ##

ss -nalp|grep 3721

## 或者 ##

lsof -i :3721 \`\`\`

##### (二)修改配置文件 #####

\`\`\`powershell vim /etc/ssh/sshd\_config

## 找到文件第13行添加以下内容 ##

## Port 22 ##

Port 3721 \`\`\`

##### (三)重启服务 #####

\`\`\`powershell systemctl restart sshd

## 或者 ##

systemctl reload sshd \`\`\`

##### (四)测试验证 #####

\`\`\`powershell ssh @192.168.19.100 ssh: connect to host 192.168.19.100 port 22: Connection refused

## 原因：端口号不对 ##

## 解决：指定端口 -p参数 ##

ssh -p 3721 jerry@192.168.19.100 \`\`\`

Tip： 更改客户端配置文件，不想验证指纹

\`\`\`powershell vim /etc/ssh/ssh\_config

## StrictHostKeyChecking ask ##

StrictHostKeyChecking no \`\`\`

#### 4、用户密码随机 ####

\*\*注意：\*\*在线上生产环境中创建一个开发人员专用的账号

思路：

1、在线上生成环境，创建公共账号(开发人员)

2、安装随机密码生成工具pwgen

3、使用pwgen工具生成随机密码

4、给账号设置密码

##### (一)创建用户 #####

`powershell useradd code`

##### (二)安装pwgen #####

pwgen软件需要配置epel源安装

###### ①配置epel源 ######

`powershell wget -O /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo`

###### ②安装pwgen ######

`powershell yum install -y pwgen`

##### (三) 生成随机密码 #####

`powershell pwgen`

##### (四)设置用户密码 #####

`powershell echo 上面生成的密码选一个 |passwd --stdin code`

## 课程目标 ##

*  1、了解ssh服务的认证方式
 *  2、能够禁止root远程登录
 *  3、能够更改ssh服务的默认端口
 *  4、熟练使用相关客户端工具，如ssh远程登录，scp远程拷贝文件

## 课程扩展 ##

### 1、ssh客户端工具 ###

*  **查看参数和帮助方法**

**ssh --help**

**man ssh**

*  **常见参数**

\`\`\`powershell

## 指定连接用户 ##

\-l

## ssh 192.168.19.101 -l jerry 相当于 ssh jerry@192.168.19.101 ##

## 指定连接端口 ##

\-p

## 默认以当前机器用户身份登录,或者连接时指定用户身份 ##

\`\`\`

### 2、scp客户端工具 ###

*  **命令解释：**

**cp** 本地文件的复制

**scp** 远程文件的复制

*  **业务需求：**

①在服务器A上将本地文件复制到远程服务器B

②在服务器A上将远程服务器B的文件复制到本地

**这里以服务器A为操作服务器**

![img][img 7]

*  **解决方案**

使用scp工具 注意这只是其中之一解决方案

*  **使用方法**

\`\`\`powershell

## scp 本地路径 远程路径 ##

scp jerry.html jerry@192.168.19.100:/home/jerry/

## scp 远程路径 本地路径 ##

scp jerry@192.168.19.100:/home/jerry/tom.html ./ \`\`\`

*  **参数说明**

\`\`\`powershell

## 递归拷贝目录 ##

\-r

## 指定远程服务器的端口 ##

\-P \`\`\`

### 3、pwgen常见参数使用 ###

*  **命令的使用**

`powershell pwgen --help`

\`\`\`powershell

## 用法: pwgen 选项参数 长度 生成个数 ##

Usage: pwgen \[ OPTIONS \] \[ pw*length \] \[ num*pw \]

## 密码中至少包含一个大写字母 ##

\-c or –capitalize

## 密码中不包含大写字母 ##

\-A or –no-capitalize

## 密码中至少包含一个数字 ##

\-n or –numerals

## 密码中不包含数字 ##

\-0 or –no-numerals

## 密码中至少包含一个特殊符号 ##

\-y or –symbols

## 生成完全随机密码 ##

\-s or –secure

## 密码中不包含歧义字符(例如1,l,O,0) ##

\-B or –ambiguous

## 使用SHA1 hash给定的文件作为一个随机种子 ##

\-H or –sha1=path/to/file\[\#seed\]

## 在列中打印生成的密码 ##

\-C

## 不要在列中打印生成的密码，即一行一个密码 ##

\-1

## 不要使用任何元音，以避免偶然的脏话 ##

\-v or –no-vowels \`\`\`

*  **Eg.1：生成长度为10，包含大写、数字、不包含模糊字符完全随机的3个密码**

`powershell pwgen -cnBs1 10 3`

### 4、踢出用户 ###

\`\`\`powershell

## 查看当前在线用户 ##

## 断开ssh客户端连接 ##

## pkill -kill -t pts/1 ##

\`\`\`

## 经验值 ##

SSH服务作为目前Linux远程连接服务。采用SSL加密方式，启到了不错的安全作用。学习好SSH服务，是之后连接管理远程服务的基本操作。

老师之前管理公司机房的服务器的时候，安装完系统，第一件事情就是开启ssh服务。还会做以下操作：

① 修改默认端口 可以避免一些自动脚本测试连接

② 免密登录 方便直接连接，避免泄露密码。只需添加需要操作人的公钥即可

--------------------

## 任务背景 ##

经过一段时间后，开发人员和运维人员都觉得使用密码SSH登录的方式太麻烦(每次登录都需要输入密码，难记又容易泄露密码)。为了安全和便利性方面考虑，要求运维人员给所有服务器实现免密码登录。

## 任务要求 ##

所有开发人员通过远程管理用户code登录生产服务器实现免密码登录。

## 任务拆解 ##

1.  理解免密登录原理
2.  根据需求针对不同用户配置免密登录

## 涉及知识点 ##

*  免密登录原理(理解)
 *  用户生成秘钥对(公钥和私钥)
 *  免密码登录配置(**重点**)

## 课程目标 ##

*  了解sshd服务的认证方式
 *  理解免密等原理
 *  **能够根据需求对用户进行免密码登录配置**

## 理论储备 ##

### SSH两种认证方式 ###

#### 1、基于用户名密码的认证(精简版) ####

JumpServer => ssh code\\@RealServer的IP地址

![img][img 8]

#### 2、基于密钥对的认证 ####

**基于密钥对认证，也就是所谓的免密码登录，理解免密登录原理：**

![img][img 9]

## 任务解决方案 ##

\`\`\`powershell 1. 跳板机上的开发人员自己生成一对秘钥 code1为例： \[code1@MissHou ~\]$ ssh-keygen Generating public/private rsa key pair. Enter file in which to save the key (/home/code1/.ssh/id*rsa): Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /home/code1/.ssh/id*rsa. Your public key has been saved in /home/code1/.ssh/id*rsa.pub. The key fingerprint is: 14:78:f6:70:9f:48:64:7e:19:c3:cb:c3:7a:52:1e:d8 code1@MissHou.itcast.cc The key's randomart image is: +--\[ RSA 2048\]----+ | ...o.o | | . ++o .+ | | o.=.Boo | | . +.E | | S + o | | o o | | o | | | | | +-----------------+ \[code1@MissHou ~\]$ ll -a .ssh/ total 16 drwx------ 2 code1 coding 4096 Dec 28 09:33 . drwx------ 5 code1 coding 4096 Dec 27 11:49 .. -rw------- 1 code1 coding 1675 Dec 28 09:33 id*rsa -rw-r--r-- 1 code1 coding 405 Dec 28 09:33 id\_rsa.pub

1.  将code1用户的公钥远程拷贝到生产服务器上指定用户的指定目录 \[code1@MissHou ~\]$ ssh-copy-id code@10.1.1.1 The authenticity of host '10.1.1.1 (10.1.1.1)' can't be established. RSA key fingerprint is 30:c8:1a:67:55:22:33:26:e5:fb:44:56:4d:8b:26:40. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added '10.1.1.1' (RSA) to the list of known hosts. code@10.1.1.1's password: Now try logging into the machine, with "ssh 'code@10.1.1.1'", and check in:
    
    .ssh/authorized\_keys

to make sure we haven't added extra keys that you weren't expecting. 或者 \[code1@MissHou ~\]$ scp -P22 ~/.ssh/id*rsa.pub code@10.1.1.1:/home/code/.ssh/authorized*keys code@10.1.1.1's password: id\_rsa.pub  
3. 测试验证 \[code1@MissHou ~\]$ ssh -lcode 10.1.1.1 Last login: Fri Dec 28 09:38:17 2018 from 10.1.1.250 \[code@server ~\]$ \`\`\`

## 扩展总结 ##

### 图解SSH加密算法 ###

*  des 对称的公钥加密算法,安全低，数据传输速度快；使用同一个秘钥进行加密或解密
 *  rsa 非对称的公钥加密算法,安全,数据传输速度慢 ，SSH默认的加密算法 ![img][img 10]

***思考1：*** 用户信息加密了，但如何安全的保存密钥呢？

![img][img 11]

### \# ###

1、远程Server收到Client端用户的登录请求后，Server端把自己的公钥发给用户 2、Client端使用这个公钥，将密码进行加密 3、Client将加密的密码发送给Server端 4、远程Server用自己的私钥，解密登录密码，然后验证其合法性 5、根据验证结果，给Client相应的响应。

***思考2：*** 非对称加密就绝对安全吗？

![img][img 12]

**问题：** **SSH中是如何解决这个问题的呢？**

**答：基于用户名密码认证和密钥对认证**。

*  **基于用户密码的认证**

`powershell [root@MissHou ~]# ssh 192.168.10.171 The authenticity of host '192.168.10.171 (192.168.10.171)' can't be established. RSA key fingerprint is 9f:71:de:3c:86:25:dd:f0:06:78:ab:ba:96:5a:e4:95. Are you sure you want to continue connecting (yes/no)?`

\*\*提示信息：\*\*无法确认主机192.168.10.171的真实性，指纹是`9f:71:de:3c:86:25:dd:f0:06:78:ab:ba:96:5a:e4:95.`，你确定想要继续吗？

**说明**：

1.  理论上应该是对公钥的确认，由于公钥通过RSA算法加密，太长，不好直接比较，所以给公钥生成一个hash的指纹，方便比较。
2.  当客户端输入yes确认对方的公钥指纹后，server端的公钥就会被存放到客户机的用户家目录里\\~/.ssh/known\_hosts文件中，下次再访问就直接通过密码登录，不需要再确认公钥。

*  **基于秘钥对的认证(免密码登录)**

**相关文件解读：**

1.  id\_rsa：保存私钥
2.  id\_rsa.pub：保存公钥
3.  authorized\_keys：保存已授权的客户端公钥
4.  known\_hosts：保存已认证的远程主机公钥

[img]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/1567344d56ad4b5b896e0c12025e5ff3.png
[img 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/a8c75a114de94bd88e90a3051eac4998.png
[img 2]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/0737db652fa44455898ae4605379af8f.png
[img 3]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/c5ce0e61736f4ce0b24a5ba992b2440c.png
[img 4]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/4d751f8b85fa48f0a5891777455b2eb8.png
[img 5]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/44aa2155518040acb3e5eb163e9ffd68.png
[img 6]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/659c3db33ed4484fa94f033342de9723.png
[img 7]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/2d5784fbeecb4d60a460b3745971f3cc.png
[img 8]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/9916c576ea75445ba451fb1e10cddc74.png
[img 9]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/b27f2c5c61074ff48af5ab4cd4ef7435.png
[img 10]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/e515a87370a4488ea54ad61acebdc87a.png
[img 11]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/507194ad1cde445482f9c60e542e5393.png
[img 12]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/15/c53e0022f58945408df625e208be9ed0.png