如何在 Linux 中配置基於密鑰認證的 SSH

什麼是基於 SSH 密鑰的認證？

衆所周知，Secure Shell，又稱 SSH，是容許你經過無安全網絡（例如 Internet）和遠程系統之間安全訪問/通訊的加密網絡協議。不管什麼時候使用 SSH 在無安全網絡上發送數據，它都會在源系統上自動地被加密，而且在目的系統上解密。SSH 提供了四種加密方式，基於密碼認證，基於密鑰認證，基於主機認證和鍵盤認證。最經常使用的認證方式是基於密碼認證和基於密鑰認證。

在基於密碼認證中，你須要的僅僅是遠程系統上用戶的密碼。若是你知道遠程用戶的密碼，你可使用 ssh user@remote-system-name 訪問各自的系統。另外一方面，在基於密鑰認證中，爲了經過 SSH 通訊，你須要生成 SSH 密鑰對，而且爲遠程系統上傳 SSH 公鑰。每一個 SSH 密鑰對由私鑰與公鑰組成。私鑰應該保存在客戶系統上，公鑰應該上傳給遠程系統。你不該該將私鑰透露給任何人。但願你已經對 SSH 和它的認證方式有了基本的概念。

這篇教程，咱們將討論如何在 Linux 上配置基於密鑰認證的 SSH。

在 Linux 上配置基於密鑰認證的 SSH

爲方便演示，我將使用 Arch Linux 爲本地系統，Ubuntu 18.04 LTS 爲遠程系統。

本地系統詳情：

• OS: Arch Linux Desktop
• IP address: 192.168.225.37/24

遠程系統詳情：

• OS: Ubuntu 18.04 LTS Server
• IP address: 192.168.225.22/24

本地系統配置

就像我以前所說，在基於密鑰認證的方法中，想要經過 SSH 訪問遠程系統，須要將公鑰上傳到遠程系統。公鑰一般會被保存在遠程系統的一個 ~/.ssh/authorized_keys 文件中。

注意事項：不要使用 root 用戶生成密鑰對，這樣只有 root 用戶纔可使用。使用普通用戶建立密鑰對。

如今，讓咱們在本地系統上建立一個 SSH 密鑰對。只須要在客戶端系統上運行下面的命令。

$ ssh-keygen

 

上面的命令將會建立一個 2048 位的 RSA 密鑰對。你須要輸入兩次密碼。更重要的是，記住你的密碼。後面將會用到它。

樣例輸出：

Generating public/private rsa key pair.
Enter file in which to save the key (/home/sk/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/sk/.ssh/id_rsa.
Your public key has been saved in /home/sk/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:wYOgvdkBgMFydTMCUI3qZaUxvjs+p2287Tn4uaZ5KyE [email protected]
The key's randomart image is:
+---[RSA 2048]----+
|+=+*= + |
|o.o=.* = |
|.oo * o + |
|. = + . o |
|. o + . S |
| . E . |
| + o |
| +.*o+o |
| .o*=OO+ |
+----[SHA256]-----+

 

若是你已經建立了密鑰對，你將看到如下信息。輸入 y 就會覆蓋已存在的密鑰。

/home/username/.ssh/id_rsa already exists.
Overwrite (y/n)?

 

請注意密碼是可選的。若是你輸入了密碼，那麼每次經過 SSH 訪問遠程系統時都要求輸入密碼，除非你使用了 SSH 代理保存了密碼。若是你不想要密碼（雖然不安全），簡單地敲兩次回車。不過，我建議你使用密碼。從安全的角度來看，使用無密碼的 ssh 密鑰對不是什麼好主意。這種方式應該限定在特殊的狀況下使用，例如，沒有用戶介入的服務訪問遠程系統。（例如，用 rsync遠程備份……）

若是你已經在我的文件 ~/.ssh/id_rsa 中有了無密碼的密鑰，但想要更新爲帶密碼的密鑰。使用下面的命令：

$ ssh-keygen -p -f ~/.ssh/id_rsa

 

樣例輸出：

Enter new passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved with the new passphrase.

 

如今，咱們已經在本地系統上建立了密鑰對。接下來，使用下面的命令將 SSH 公鑰拷貝到你的遠程 SSH 服務端上。

$ ssh-copy-id sk@192.168.225.22

 

在這裏，我把本地（Arch Linux）系統上的公鑰拷貝到了遠程系統（Ubuntu 18.04 LTS）上。從技術上講，上面的命令會把本地系統 ~/.ssh/id_rsa.pub 文件中的內容拷貝到遠程系統 ~/.ssh/authorized_keys 中。明白了嗎？很是棒。

輸入 yes 來繼續鏈接你的遠程 SSH 服務端。接着，輸入遠程系統用戶 sk 的密碼。

/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
sk@192.168.225.22's password:

Number of key(s) added: 1

Now try logging into the machine, with: "ssh 'sk@192.168.225.22'"
and check to make sure that only the key(s) you wanted were added.

 

若是你已經拷貝了密鑰，但想要替換爲新的密碼，使用 -f 選項覆蓋已有的密鑰。

$ ssh-copy-id -f sk@192.168.225.22

 

咱們如今已經成功地將本地系統的 SSH 公鑰添加進了遠程系統。如今，讓咱們在遠程系統上徹底禁用掉基於密碼認證的方式。由於咱們已經配置了密鑰認證，所以再也不須要密碼認證了。

在遠程系統上禁用基於密碼認證的 SSH

你須要在 root 用戶或者 sudo 執行下面的命令。

禁用基於密碼的認證，你須要在遠程系統的終端裏編輯 /etc/ssh/sshd_config 配置文件：

$ sudo vi /etc/ssh/sshd_config

 

找到下面這一行，去掉註釋而後將值設爲 no：

PasswordAuthentication no

 

重啓 ssh 服務讓它生效。

$ sudo systemctl restart sshd

 

從本地系統訪問遠程系統

在本地系統上使用命令 SSH 你的遠程服務端：

$ ssh sk@192.168.225.22

 

輸入密碼。

樣例輸出：

Enter passphrase for key '/home/sk/.ssh/id_rsa':
Last login: Mon Jul 9 09:59:51 2018 from 192.168.225.37
sk@ubuntuserver:~$

 

如今，你就能 SSH 你的遠程系統了。如你所見，咱們已經使用以前 ssh-keygen 建立的密碼登陸進了遠程系統的帳戶，而不是使用當前帳戶實際的密碼。

若是你試圖從其它客戶端系統 ssh（遠程系統），你將會獲得這條錯誤信息。好比，我試圖經過命令從 CentOS SSH 訪問 Ubuntu 系統：

樣例輸出：

The authenticity of host '192.168.225.22 (192.168.225.22)' can't be established.
ECDSA key fingerprint is 67:fc:69:b7:d4:4d:fd:6e:38:44:a8:2f:08:ed:f4:21.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.225.22' (ECDSA) to the list of known hosts.
Permission denied (publickey).

 

如你所見，除了 CentOS（LCTT 譯註：根據上文，這裏應該是 Arch）系統外，我不能經過其它任何系統 SSH 訪問個人遠程系統 Ubuntu 18.04。

爲 SSH 服務端添加更多客戶端系統的密鑰

這點很是重要。就像我說過的那樣，除非你配置過（在以前的例子中，是 Ubuntu），不然你不能經過 SSH 訪問到遠程系統。若是我但願給更多客戶端予以權限去訪問遠程 SSH 服務端，我應該怎麼作？很簡單。你須要在全部的客戶端系統上生成 SSH 密鑰對而且手動拷貝 ssh 公鑰到想要經過 ssh 訪問的遠程服務端上。

在客戶端系統上建立 SSH 密鑰對，運行：

$ ssh-keygen

 

輸入兩次密碼。如今，ssh 密鑰對已經生成了。你須要手動把公鑰（不是私鑰）拷貝到遠程服務端上。

使用如下命令查看公鑰：

$ cat ~/.ssh/id_rsa.pub

 

應該會輸出相似下面的信息：

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCt3a9tIeK5rPx9p74/KjEVXa6/OODyRp0QLS/sLp8W6iTxFL+UgALZlupVNgFjvRR5luJ9dLHWwc+d4umavAWz708e6Na9ftEPQtC28rTFsHwmyLKvLkzcGkC5+A0NdbiDZLaK3K3wgq1jzYYKT5k+IaNS6vtrx5LDObcPNPEBDt4vTixQ7GZHrDUUk5586IKeFfwMCWguHveTN7ykmo2EyL2rV7TmYq+eY2ZqqcsoK0fzXMK7iifGXVmuqTkAmZLGZK8a3bPb6VZd7KFum3Ezbu4BXZGp7FVhnOMgau2kYeOH/ItKPzpCAn+dg3NAAziCCxnII9b4nSSGz3mMY4Y7 ostechnix@centosserver

 

拷貝全部內容（經過 USB 驅動器或者其它任何介質），而後去你的遠程服務端的終端，像下面那樣，在 $HOME 下建立文件夾叫作 .ssh。你須要以 root 身份執行命令（注：不必定須要 root）。

$ mkdir -p ~/.ssh

 

如今，將前幾步建立的客戶端系統的公鑰添加進文件中。

echo {Your_public_key_contents_here} >> ~/.ssh/authorized_keys

 

在遠程系統上重啓 ssh 服務。如今，你能夠在新的客戶端上 SSH 遠程服務端了。

若是以爲手動添加 ssh 公鑰有些困難，在遠程系統上暫時性啓用密碼認證，使用 ssh-copy-id 命令從本地系統上拷貝密鑰，最後禁用密碼認證。

推薦閱讀：

• SSLH – Share A Same Port For HTTPS And SSH
• ScanSSH – Fast SSH Server And Open Proxy Scanner

好了，到此爲止。基於密鑰認證的 SSH 提供了一層防止暴力破解的額外保護。如你所見，配置密鑰認證一點也不困難。這是一個很是好的方法讓你的 Linux 服務端安全可靠。

 

轉自：https://zhuanlan.zhihu.com/p/46122014