ssh服务端主要包括两个服务功能ssh远程链接和sftp服务
远程管理linux系统基本上都要使用到ssh，原因很简单：telnet、FTP等传输方式是?以明文传送用户认证信息，本质上是不安全的，存在被网络窃听的危险。SSH（Secure Shell）目前较可靠，是专为远程登录会话和其他网络服务提供安全性的协议。利用SSH协议可以有效防止远程管理过程中的信息泄露问题，透过SSH可以对所有传输的数据进行加密，也能够防止DNS欺骗和IP欺骗。

配置OpenSSH服务端

1、sshd_config配置文件的常用选项设置

vim /etc/ssh/sshd_config

ssh原理

公钥传输原理

客户端发起链接请求
服务端返回自己的公钥，以及一个会话ID（这一步客户端得到服务端公钥）
客户端生成密钥对
客户端用自己的公钥异或会话ID，计算出一个值Res，并用服务端的公钥加密
客户端发送加密值到服务端，服务端用私钥解密，得到Res
服务端用解密后的值Res异或会话ID，计算出客户端的公钥（这一步服务端得到客户端公钥）
最终：双方各自持有三个秘钥，分别为自己的一对公、私钥，以及对方的公钥，之后的所有通讯都会被加密

（1）对称加密 1、概念采用单钥密码系统的加密方法，同一个密钥可以同时用作信息的加密和解密，这种加密方法称为对称加密，由于其速度快，对称性加密通常在消息发送方需要加密大量数据时使用

常用算法在对称加密算法中常用的算法有：DES、3DES、TDEA、Blowfish、RC2、RC4、RC5、idea、SKIPJACK等。

特点 1、加密方和解密方使用同一个密钥； 2、加密解密的速度比较快，适合数据比较长时的使用； 3、密钥传输的过程不安全，且容易被破解，密钥管理也比较麻烦；

优缺点对称加密算法的优点是算法公开、计算量小、加密速度快、加密效率高。对称加密算法的缺点是在数据传送前，发送方和接收方必须商定好秘钥，然后使双方都能保存好秘钥。其次如果一方的秘钥被泄露，那么加密信息也就不安全了。另外，每对用户每次使用对称加密算法时，都需要使用其他人不知道的独一秘钥，这会使得收、发双方所拥有的钥匙数量巨大，密钥管理成为双方的负担

（2）非对称加密 1、概念非对称加密算法需要两个密钥：公开密钥（publickey:简称公钥）和私有密钥（privatekey:简称私钥）。公钥与私钥是一对，如果用公钥对数据进行加密，只有用对应的私钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。

常用算法

RSA（RSA alGorithm）：目前使用最广泛的算法
DSA（Digital Signature Algorithm）：数字签名算法，和 RSA 不同的是 DSA仅能用于数字签名，不能进行数据加密解密，其安全性和RSA相当，但其性能要比RSA快
ECC（Elliptic curve cryptography，椭圆曲线加密算法）
ECDSA：Elliptic Curve Digital Signature Algorithm，椭圆曲线签名算法，是ECC和 DSA的结合，相比于RSA算法，ECC 可以使用更小的秘钥，更高的效率，提供更高的安全保障

原理首先ssh通过加密算法在客户端产生密钥对（公钥和私钥），公钥发送给服务器端，自己保留私钥，如果要想连接到带有公钥的SSH服务器，客户端SSH软件就会向SSH服务器发出请求，请求用联机的用户密钥进行安全验证。SSH服务器收到请求之后，会先在该SSH服务器上连接的用户的家目录下

优缺点相比于对称加密技术，非对称加密技术安全性更好，但性能更慢。

此本次实验中，我们用非对称加密算法ECDSA进行加密，为了方便用root用户，也可给其他普通用户配置

ssh远程登录格式

ssh [远程主机用户名]@[远程服务器主机名或IP地址] -p port

vim /etc/ssh/ssh_config#修改客户端配置文件 无需验证，有安全隐患

服务端配置

常用配置项：

vim /etc/ssh/sshd_config

22  Port    9527 #生产建议修改   ListenAddress ip#监听地址设置SSHD服务器绑定的IP 地址，0.0.0.0 表示侦听所有地址安全建议：如果主机不需要从公网ssh访问，可以把监听地址改为内网地址 这个值可以写成本地IP地址，也可以写成所有地址，即0.0.0.0 表示所有IP。LoginGraceTime 2m#用来设定如果用户登录失败，在切断连接前服务器需要等待的时间，单位为秒PermitRootLogin yes #默认 ubuntu不允许root远程ssh登录StrictModes yes   #检查.ssh/文件的所有者，权限等MaxAuthTries #用来设置最大失败尝试登陆次数为6MaxSessions  10         #同一个连接最大会话PubkeyAuthentication yes     #基于key验证PermitEmptyPassWords no      #密码验证当然是需要的！所以这里写 yes，也可以设置为 no，在真实的生产服务器上，根据不同安全级别要求，有的是设置不需要密码登陆的，通过认证的秘钥来登陆。PasswordAuthentication yes   #基于用户名和密码连接GatewayPorts noClientAliveInterval 10 #单位:秒ClientAliveCountMax 3 #默认3UseDNS yes #提高速度可改为no   内网改为no  禁用反向解析GSSapiAuthentication yes #提高速度可改为noMaxStartups    #未认证连接最大值，默认值10Banner /path/file#以下可以限制可登录用户的办法：白名单  黑名单AllowUsers user1 user2 user3@ip（限制主机）DenyUsers user1 user2 user3AllowGroups g1 g2DenyGroups g1 g2

来源地址：https://blog.csdn.net/Liqi23/article/details/127466997

--结束END--

本文标题: SSH服务配置

本文链接: https://lsjlt.com/news/387862.html(转载时请注明来源链接)

有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341