SSH远程管理服务

第一节 SSH 简介

1.1 什么是 SSH

SSH 为 Secure Shell 的缩写，是一种用于远程登录和文件传输的加密协议。它工作在应用层，基于传输层 TCP（默认 22 端口）。

只要记住一句：SSH 把"明文传输的 telnet"变成了"加密传输"。

1.2 基础信息

# 确认是否安装
rpm -qa | grep openssh
dnf install -y openssh-server openssh-clients

# 确认服务状态
systemctl status sshd
ss -lntp | grep :22

第二节 SSH 原理

2.1 对称加密

采用单钥密码系统，同一个密钥既用于加密也用于解密。

• 优点：快，适合加密大量数据
• 缺点：密钥怎么安全地交给对方？这就是"密钥分发问题"
• 代表算法：AES、ChaCha20

2.2 非对称加密

又名"公开密钥加密算法"，需要一对密钥：

• 公钥（public key）：可以公开
• 私钥（private key）：只有自己持有

核心特性：

公钥加密 → 只有私钥能解
私钥签名 → 只有公钥能验

• 优点：解决了密钥分发问题
• 缺点：慢，比对称加密慢几个数量级
• 代表算法：RSA、ECDSA、Ed25519

2.3 SSH 为什么两种都用（★ 核心）

很多人背了两种算法，却说不清 SSH 到底用哪种。答案是：两种都用，各管一段。

一句话：

非对称负责"安全地把钥匙交给你"，对称负责"拿到钥匙后高效地传数据"。

2.4 完整的连接建立过程

① TCP 三次握手，连上 22 端口

② 协议版本协商
   客户端：SSH-2.0-OpenSSH_8.0
   服务端：SSH-2.0-OpenSSH_8.7

③ 算法协商
   双方各自列出支持的加密算法，选出一个都支持的

④ 密钥交换（KEX）
   通过 Diffie-Hellman 算法，双方各自算出【同一个会话密钥】
   ★ 注意：这个密钥从来没有在网络上传输过

⑤ 服务端出示主机公钥
   客户端校验：这个公钥和我记过的一致吗？（known_hosts）
   ★ 这一步防的是"中间人攻击"

⑥ 用户身份认证（二选一）
   · 密码认证：在【已加密的通道】里传密码
   · 公钥认证：客户端用私钥签名，服务端用公钥验签

⑦ 认证通过，建立会话
   之后所有数据都用【对称加密】传输

2.5 两种用户认证方式

第三节 SSH 配置文件

3.1 服务端配置：/etc/ssh/sshd_config

关于 GSSAPIAuthentication（常见坑）

在没有 Kerberos/DNS 的实验环境里，这个选项会让登录卡好几秒。

# 服务端
GSSAPIAuthentication no      # /etc/ssh/sshd_config

# 客户端
GSSAPIAuthentication no      # /etc/ssh/ssh_config

两个文件里都有这一项，两边都关掉才彻底不卡。

关于已过时的参数

改完配置必须重启服务：

sshd -t                      # ★ 先检查语法，避免把自己锁在外面
systemctl restart sshd

3.2 客户端配置：/etc/ssh/ssh_config

客户端配置管的是"我怎么连别人"，常见内容：

Host myserver
    HostName 192.168.44.2
    User root
    Port 2222
    IdentityFile ~/.ssh/id_ed25519

配好之后，直接 ssh myserver 就能连。

生产建议：加 ServerAliveInterval 60，避免长时间不操作被防火墙断开。

3.3 认证相关文件一览

第四节 常用 SSH 命令

4.1 ssh 远程登录

ssh 用户名@IP
ssh root@192.168.44.2
ssh -p 2222 root@192.168.44.2      # 指定端口
ssh -i ~/.ssh/id_ed25519 root@IP   # 指定私钥

客户端是通用的：Windows（PowerShell/termius）、macOS 终端、Linux 都能用同样的命令连 Linux 服务器。

4.2 常用参数

4.3 scp 文件传输

# 下载：远程 → 本地
scp root@192.168.44.2:/root/test.txt .
scp -r root@192.168.44.2:/root/logs ./logs

# 上传：本地 → 远程
scp /root/123 root@192.168.44.2:/root/
scp -r /root/123 root@192.168.44.2:/root/

例子逐项拆解：

scp -r localfile.txt username@192.168.0.1:/home/username/

版本提醒：OpenSSH 9.0 起，scp 默认改用 SFTP 协议传输。连很老的服务器如果报错，可以加 -O 强制用旧协议。

大文件建议用 rsync：支持断点续传和增量同步，比 scp 更适合重复同步场景。

4.4 sftp 交互式传输

sftp root@192.168.4.2

记忆法：带 l 前缀的是本地（local），不带的是远端。

4.5 免密登录（公钥认证）

第一步：生成密钥对

ssh-keygen -t ed25519 -C "your_email@example.com"
# 一路回车即可，默认保存到 ~/.ssh/

第二步：把公钥传到目标机器

ssh-copy-id root@192.168.44.2
# 或者手动：ssh root@IP "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys" < ~/.ssh/id_ed25519.pub

第三步：验证

ssh root@192.168.44.2      # 不再提示输入密码

★ 权限必须正确，否则免密一定失败

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
chmod 600 ~/.ssh/id_ed25519

报错 Authentication refused: bad ownership or modes 就是这个原因。

4.6 known_hosts 与首次连接

第一次连接某台主机时，会看到：

The authenticity of host '192.168.44.2' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxx...
Are you sure you want to continue connecting (yes/no)?

输入 yes 后，对方的主机公钥会被写入 ~/.ssh/known_hosts。

重装系统或换机器后，会报这个错：

WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!

不是被攻击，而是主机密钥变了。清除旧记录：

ssh-keygen -R 192.168.44.2

4.7 端口转发（运维高频）

# 本地转发：访问本机 8080，等于访问跳板机能看到的 127.0.0.1:80
ssh -N -f -L 8080:127.0.0.1:80 root@192.168.44.2

• -N：不执行远程命令
• -f：后台运行

第五节 运维必备

5.1 服务管理

systemctl status sshd
systemctl restart sshd
ss -lntp | grep :22
journalctl -u sshd -f
tail -f /var/log/secure        # Rocky/CentOS 的 SSH 日志

5.2 修改端口的完整步骤（★ 最容易漏 SELinux）

# 1) 改配置
vim /etc/ssh/sshd_config
Port 2222

# 2) 防火墙放行
firewall-cmd --permanent --add-port=2222/tcp
firewall-cmd --reload

# 3) SELinux 放行（Rocky/CentOS 必做！）
semanage port -a -t ssh_port_t -p tcp 2222

# 4) 检查语法再重启
sshd -t
systemctl restart sshd

# 5) 新开一个窗口验证，确认能连再关掉旧连接
ssh -p 2222 root@IP

semanage 不是默认安装的：dnf install -y policycoreutils-python-utils

漏了这步的表现是：端口在监听、防火墙也放行了，就是连不上。

5.3 连接不上怎么排查

# 客户端：看卡在哪一步
ssh -vvv root@192.168.44.2

# 服务端：服务在跑吗
systemctl status sshd
ss -lntp | grep sshd

# 服务端：日志说了什么
journalctl -u sshd --since "10 minutes ago"
tail -50 /var/log/secure

# 网络层排查
ping 192.168.44.2
nc -vz 192.168.44.2 22

5.4 安全加固清单

面试点："改端口能提升安全性吗？" → 只能减少自动化扫描的噪音，扫描器照样能全端口扫出来。真正的安全靠密钥认证 + 禁用 root + 最小权限。

第六节 易错点

• 客户端配置和服务端配置不是一回事：PermitRootLogin、PasswordAuthentication 这些只能写在 sshd_config。
• 改完 sshd_config 一定要 systemctl restart sshd，而且要先 sshd -t 检查语法，否则可能把自己锁在外面。
• 改端口必须同时处理防火墙和 SELinux，漏一个就连不上。
• 公钥免密登录失败，九成是权限问题（.ssh 700、authorized_keys 600）。
• known_hosts 里记录的是主机公钥，不是你的公钥；重装系统后必然变化。
• scp -r 的 -r 是递归，传目录必须加。
• 私钥绝对不能外传，authorized_keys 里放的永远是 .pub 文件。
• GSSAPI 没关会导致登录慢，服务端和客户端都要检查。

第七节 SSH 连接工具

第八节 密钥对登录

本节和 4.5 是同一件事。 4.5 用 ssh-keygen -t ed25519 + ssh-copy-id，更短更稳；本节是传统的手工步骤，对照着看即可。

密钥对验证：既安全又方便。

步骤 1：生成并上传公钥

Client 客户端：

ssh-keygen -t rsa

Server 服务端：把公钥上传到服务器

cat id_rsa.pub >> /root/.ssh/authorized_keys
chmod 600 /root/.ssh/authorized_keys

步骤 2：修改服务端 SSH 配置文件

vim /etc/ssh/sshd_config

PubkeyAuthentication yes                    # 是否使用公钥验证
AuthorizedKeysFile .ssh/authorized_keys     # 公钥保存位置
PasswordAuthentication no                   # 禁止使用密码验证登录

步骤 3：重启 SSH 服务

systemctl restart sshd