Fork me on GitHub

ssh基于密钥的安全认证

字数统计: 1.3k字   |   阅读时长≈ 6分

ssh密钥登陆实质及过程

1
2
3
4
5
6
ssh服务分发公钥实质执行过程
   ①. 管理服务器创建私钥和公钥（密钥对）
   ②. 将公钥文件远程传送复制到被管理服务器相应用户~/.ssh/id_dsa.pub下，并修改.ssh目录权限为700
   ③. 修改公钥文件文件名称为authorized_keys(默认文件名，可在配置文件修改)，授权权限为600
   ④. 利用ssh服务配置文件的配置参数，进行识别公钥文件authorized_keys
   ⑤. 进而实现基于密钥远程登录服务器（免密码登录/非交互方式登录）
  1. 客户端创建密钥对
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
注： -t 参数指定密钥类型，有dsa、rsa1和rsa,其中rsa是版本2

[root@01 ~]# ssh-keygen -t dsa

Generating public/private dsa key pair.
Enter file in which to save the key (/root/.ssh/id_dsa):
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase):
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_dsa.
Your public key has been saved in /root/.ssh/id_dsa.pub.
The key fingerprint is:
25:93:78:e9:01:2d:82:db:cb:0b:34:f7:0c:a9:1b:11 root@web01
The key's randomart image is:
+--[ DSA 1024]----+
|   .  ..         |
|  E . .o.o       |
|   + o..B .      |
|  = =  o =       |
| . * =  S        |
|  + o o          |
|   + .           |
|  . .            |
|                 |
+-----------------+


#检查密钥文件
[root@web01 ~]# ll /root/.ssh/
total 8
-rw------- 1 root root 736 2017-08-06 15:17 id_dsa
-rw-r--r-- 1 root root 600 2017-08-06 15:17 id_dsa.pub
  1. 将id_dsa.pub公钥分发到被管理的服务器
1
2
3
4
5
6
7
8
9
10
11
12
命令格式：ssh-copy-id [-i [identity_file]] [user@]machine

[root@01 ~]# ssh-copy-id -i ~/.ssh/id_dsa.pub root@172.16.1.31
#输入远端root密码即可正常传输

#远端服务器分发路径：
[root@backup ~]# ll /root/.ssh/
total 8
-rw------- 1 root root 600 2017-08-06 15:29 authorized_keys
-rw-r--r-- 1 root root 393 2017-08-05 11:03 known_hosts

注：根据man ssh-copy-id命令手册可以了解到，公钥id_dsa.pub传输到远端后，名称自动变成了authorized_keys
  1. 客户端连接测试
1
2
3
4
5
6
7
8
9
#客户端连接-测试
[root@web01 ~]# ssh 172.16.1.31
[root@web01 ~]# ssh 172.16.1.31 "free -m"       #不登陆远程主机直接指向命令，输出信息
Enter passphrase for key '/root/.ssh/id_dsa':     #出现这个提示说明已经使用了密钥登陆

例：
[root@web01 ~]# ssh 172.16.1.41 "uname -a"
Enter passphrase for key '/root/.ssh/id_dsa': 
Linux backup 2.6.32-696.el6.x86_64 #1 SMP Tue Mar 21 19:29:05 UTC 2017 x86_64 x86_64 x86_64 GNU/Linux
  1. 当远端服务器改变了SSH端口，推送公钥方法
1
2
3
4
5
6
7
8
9
10
11
12
13
14
[root@m01 ~]# ssh-copy-id -i ~/.ssh/id_dsa.pub 172.16.1.31 
ssh: connect to host 172.16.1.31 
port 22: Connection refused
说明：当客户端端口改变时，ssh-copy-id命令默认使用22端口建立远程连接，传输公钥文件


解决方法：
[root@web01 ~]# ssh-copy-id -i ~/.ssh/id_dsa.pub "-p52113 172.16.1.31" 
Enter passphrase for key '/root/.ssh/id_dsa': 
Now try logging into the machine, with "ssh '-p52113 172.16.1.31'", and check in:

  .ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.
  1. 了解ssh-copy-id命令执行过程
1
2
3
4
5
6
[root@web01 ~]# vim /usr/bin/ssh-copy-id

#选段如下
ssh $1 "exec sh -c 'cd; umask 077; test -d .ssh || mkdir .ssh ; cat >> .ssh/authorized_keys && (test -x /sbin/restorecon && /sbin/restorecon .ssh .ssh/authorized_keys >/dev/null 2>&1 || true)'" 

注：该脚本中嵌入了两个shift指令，$1在此处意思是指"-p52113 172.16.1.31" 
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
shell脚本-shift指令用法

[root@web01 ~]# vim test_shift.sh
#!/bin/bash

until [ $# -eq 0 ]
do
     echo $*
     shift
done

[root@web01 ~]# sh test_shift.sh 1 2 3 4 5
1 2 3 4 5
2 3 4 5
3 4 5
4 5
5


我们可以看到，每执行一次shift命令，就将脚本传参的参数向前推移一位，所以这就可以理解了为什么步骤4中“-p52113 172.16.1.31"这一部分变成了 传参$1
  1. 批量分发公钥-脚本-实现免密登陆
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
需要解决的问题:
# 01. 创建秘钥对时需要进行交互
ssh-keygen -t dsa -f /root/.ssh/id_dsa -P "123" &>/dev/null
#注：
-t dsa 指定密钥类型
-f 事先指定密钥文件
-P 定义密钥密码
&>/dev/null 将其定向到空，即不输出密钥创建成功信息。

################################################
# 02. 分发公钥时是需要输入yes/no
# 03. 分发公钥时需要输入密码信息
yum install -y sshpass
sshpass -p123456 ssh-copy-id -i /root/.ssh/id_dsa.pub "-o StrictHostKeyChecking=no root@172.16.1.31"

-o StrictHostKeyChecking=no  不进行交互提示，注意使用双引号括起来
1
2
3
4
5
6
7
8
9
#!/bin/bash
rm -f /root/.ssh/*
ssh-keygen -t dsa -f /root/.ssh/id_dsa -P "" &>/dev/null

for ip in 31 41
    do 
       sshpass -p123456 ssh-copy-id -i /root/.ssh/id_dsa.pub "-o StrictHostKeyChecking=no root@172.16.1.$ip" >/dev/null 2>&1
       echo "172.16.1.$ip = OK"
    done
1
2
3
4
5
6
7
8
9
10
执行脚本并测试免密登陆：
[root@web01 ~]# sh piliang.sh 
172.16.1.31 = OK
172.16.1.41 = OK

[root@web01 ~]# ssh 172.16.1.31
Last login: Sun Aug  6 16:57:31 2017 from 192.168.56.1
[root@nfs01 ~]# 
[root@nfs01 ~]# logout
Connection to 172.16.1.31 closed.

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true


不论我写了什么...
其实都是错的......