前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >(SSH体系下的公私密钥的介绍和使用技巧)

(SSH体系下的公私密钥的介绍和使用技巧)

原创
作者头像
时代疯
修改2021-07-22 14:17:50
2.4K0
修改2021-07-22 14:17:50
举报
文章被收录于专栏:用户8851017的专栏

SSH下authorized_keys, id_rsa, id_rsa.pub, known_hosts作用

known_hosts

SSH会把你每个你访问过计算机的公钥(public key)都记录在~/.ssh/known_hosts。当下次访问相同计算机时,OpenSSH会核对公钥。如果公钥不同,OpenSSH会发出警告, 避免你受到DNS Hijack之类的攻击。我在上面列出的情况,就是这种情况

原因

一台主机上有多个Linux系统,会经常切换,那么这些系统使用同一ip,登录过一次后就会把ssh信息记录在本地的~/.ssh/known_hosts文件中,切换该系统后再用ssh访问这台主机就会出现冲突警告,需要手动删除修改known_hosts里面的内容

有以下两个解决方案:
  1. 手动删除修改known_hosts里面的内容;
  2. 修改配置文件“~/.ssh/config”,加上这两行,重启服务器。
代码语言:javascript
复制
StrictHostKeyChecking no
UserKnownHostsFile /dev/null
优缺点
  1. 需要每次手动删除文件内容,一些自动化脚本的无法运行(在SSH登陆时失败),但是安全性高;
  2. SSH登陆时会忽略known_hosts的访问,但是安全性低;

id_rsa、id_rsa.pub

我们做对称加密或是非对称加密:都需要公钥和私钥。

  • 公钥其实就是:id_rsa.pub:我们的客户端公钥上传到服务器,然后再把这个客户端公钥添加到authorized_keys。
  • 添加公钥后,服务器就会认为你这个客户端为可信任。你则可以访问这个服务器了。但是必须要有私钥

获取id_rsa.pub

密钥形式登录的原理是:利用密钥生成器制作一对密钥——一只公钥和一只私钥。将公钥添加到服务器的某个账户上,然后在客户端利用私钥即可完成认证并登录。这样一来,没有私钥,任何人都无法通过SSH暴力破解你的密码来远程登录到系统。此外,如果将公钥复制到其他账户甚至主机,利用私钥也可以登录。

下面来讲解如何在Linux服务器上制作密钥对,将公钥添加给账户,设置SSH,最后通过客户端登录。

制作密钥对

首先在服务器上制作密钥对。首先用密码登录到你打算使用密钥登录的账户,然后执行以下命令:

代码语言:javascript
复制
[root@host ~]# ssh-keygen  <== 建立密钥对
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): <== 按 Enter
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase): <== 输入密钥锁码,或直接按 Enter 留空
Enter same passphrase again: <== 再输入一遍密钥锁码
Your identification has been saved in /root/.ssh/id_rsa. <== 私钥
Your public key has been saved in /root/.ssh/id_rsa.pub. <== 公钥
The key fingerprint is:
0f:d3:e7:1a:1c:bd:5c:03:f1:19:f1:22:df:9b:cc:08 root@host

密钥锁码在使用私钥时必须输入,这样就可以保护私钥不被盗用。当然,也可以留空,实现无密码登录。

现在,在root用户的家目录中生成了一个.ssh的隐藏目录,内含两个密钥文件。id_rsa为私钥,id_rsa.pub为公钥。

在服务器上安装公钥

键入以下命令,在服务器上安装公钥:

代码语言:javascript
复制
[root@host ~]# cd .ssh
[root@host .ssh]# cat id_rsa.pub >> authorized_keys

如此便完成了公钥的安装。为了确保连接成功,请保证以下文件权限正确:

代码语言:javascript
复制
[root@host .ssh]# chmod 600 authorized_keys
[root@host .ssh]# chmod 700 ~/.ssh
  1. 设置SSH,打开密钥登录功能

编辑修改 /etc/ssh/sshd_config文件,进行如下设置:

代码语言:javascript
复制
cp /etc/ssh/sshd_config sshd_config_bk} #备份配置文件
sed -i 's@#Port 22@Port 22@' /etc/ssh/sshd_config #保证原来22端口可以
vi /etc/ssh/sshd_config
代码语言:javascript
复制
RSAAuthentication yes
PubkeyAuthentication yes

另外,请留意root用户能否通过SSH登录:

代码语言:javascript
复制
PermitRootLogin yes

当你完成全部设置,并以密钥方式登录成功后,再禁用密码登录:

代码语言:javascript
复制
PasswordAuthentication no

最后,重启SSH服务:

代码语言:javascript
复制
[root@host .ssh]# service sshd restart

authorized_keys

就是为了让两个linux机器之间使用ssh不需要用户名和密码。采用了数字签名RSA或者DSA来完成这个操作

案例分析
  • A 服务器(192.168.10.11)为客户机器
  • B 服务器(192.168.20.10)为目标机
要达到的目的:
  • A机器ssh登录B机器无需输入密码;加密方式选 rsa|dsa均可以,默认dsa
  • 单向登陆的操作过程(能满足上边的目的):
    1. 登录A机器
    2. ssh-keygen -t [rsa|dsa],将会生成密钥文件和私钥文件 id_rsa,id_rsa.pub或id_dsa,id_dsa.pub
    3. 将 id_dsa.pub 文件复制到B机器的root或者home下面用户的.ssh目录, 并·cat id_dsa.pub >> ~/.ssh/authorized_keys·
    4. 大功告成,从A机器登录B机器的目标账户,不再需要密码了;(直接运行 #ssh 192.168.20.60 )
双向登陆的操作过程:
  1. ssh-keygen做密码验证可以使在向对方机器上ssh ,scp不用使用密码.具体方法如下:
  2. 两个节点都执行操作:#ssh-keygen -t rsa,然后全部回车,采用默认值.
  3. 这样生成了一对密钥,存放在用户目录的~/.ssh下。
  4. 将公钥考到对方机器的用户目录下,并将其复制到~/.ssh/authorized_keys中(操作命令:#cat id_dsa.pub >> ~/.ssh/authorized_keys)。

原创声明:本文系作者授权腾讯云开发者社区发表,未经许可,不得转载。

如有侵权,请联系 cloudcommunity@tencent.com 删除。

原创声明:本文系作者授权腾讯云开发者社区发表,未经许可,不得转载。

如有侵权,请联系 cloudcommunity@tencent.com 删除。

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • SSH下authorized_keys, id_rsa, id_rsa.pub, known_hosts作用
    • known_hosts
      • 原因
      • 优缺点
    • id_rsa、id_rsa.pub
      • 制作密钥对
      • 在服务器上安装公钥
    • authorized_keys
      • 案例分析
相关产品与服务
全站加速网络
全站加速网络(Enterprise Content Delivery Network,以下简称 ECDN)为您提供稳定高效的网络加速服务,适用于动静混合、纯动态、跨国、上传等多种加速场景。ECDN 网络资源丰富,同时融合静态缓存、智能路由、协议优化、多路传输、抗抖动等自研技术,加速效果更加显著;接入便捷,功能配置灵活多样,可满足您个性化的业务需求。
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档