ssh的使用、配置全程實操（sftp、密鑰對驗證、TCP Wrappers策略應用），可跟作

1、ssh基本配置

開兩臺centos系統7-1（服務端）、7-2（客戶端）
用xshell鏈接，證實sshd的22端口開放出來了

配置文件所在位置

進入服務端配置文件，進行一系列配置：端口22功能打開等等


爲區分兩個系統用戶，咱們分別將其用戶名設爲test0一、test02，接着進行遠程登錄。

輸入訪問命令，便可鏈接並進行一系列操做

可在對方的opt下建立abc文本，進行遠程操做

回到7-1的服務端，進ssh配置文件，更改不容許對方用root身份登錄，保存退出。即在客戶端用root身份不可登錄，即便有密碼也沒法登錄。

但隨之而來的問題，咱們先用普通用戶lisi登錄服務端，接着可切換到服務器的root用戶，可實現跳板登錄

解決：進行pam模塊驗證，開啓功能，即不在wheel組內成員不可用su命令切換用戶。

在客戶端用lisi登錄，並用su切換root，被拒絕。而且切換同級別權限的zhangsan，也不能切換。（pam驗證開啓很是重要，加大系統安全）

結論：不在wheel組內平級用戶也切換不了，zhangsan在wheel組內，可切換爲lisi用戶，也可切換root用戶。

開啓最大驗證次數功能，卻發現默認驗證3次。

要想驗證次數變爲6，那麼咱們就要更改驗證次數爲8，即驗證最大次數從默認的3變爲了6。

回到服務器7-1，配置文件中插入白名單，即皆可登錄服務器的zhangsan和wangwu用戶

此時咱們還需在開一臺centos7-3，IP爲129.168.195.130，登錄服務器wangwu（配置文件中沒設置wangwu容許登錄的ip，可從任意終端登錄）

結論：白名單上爲僅容許，名單上有的條目能夠去執行，沒有的一律不能執行；反之黑名單則爲僅拒絕，即名單上的條目皆不可執行。（在企業環境中建議使用白名單）

2、密鑰對進行身份驗證

在配置文件中開啓密鑰對驗證功能

用7-2客戶端進行密鑰生成，用戶caiwu來驗證。

在家目錄下有公鑰和私鑰，推送公鑰給服務端，指定服務端用戶zhangsan，輸入對方登錄密碼，家目錄下生成一個known_hosts（內有推送的服務端ip、加密方式ecdsa等）。

再次回到服務端，家目錄中已有公鑰導入文件。


查看當前用戶方法

只有用caiwu用戶ssh遠程訪問服務器zhangsan用戶要用密鑰對驗證（每次驗證都要密鑰對驗證）。

防止每次都要進行密鑰驗證，咱們來設置只需一次驗證，以後可直接進入。

3、ssh客戶端

若服務器的端口改成123，那麼在客戶端遠程訪問就要輸入如下命令，先開啓客戶端可用root用戶登錄的權限（複製操做要用到），刪除以前創建的白名單。

Scp遠程複製文件到服務器端。


Scp遠程複製文件夾到服務器端。


將以前opt下文件所有刪除，進行ssh安全下載文件。進行遠程鏈接後，會回到對方服務器的家目錄下

首先給文件更名server，進行ssh安全上傳文件server文件


能夠直接切換用戶目錄，進行任意更改文件。爲限制只可訪問對方服務器的家目錄，咱們研究出了一套方法。
在配置文件中找到這一行註釋，並打開此功能。

並輸入一系列命令。

且權限必須爲755，文件屬主、屬組必須是root。

4、TCP Wrappers

在配置以前，須要將黑白名單在ssh配置文件中刪除，不然配置策略應用時會重複。在/etc/hosts.allow中進行配置

在/etc/hosts.deny中進行配置

測試129客戶端可否訪問服務器，發現能夠

測試130客戶端可否訪問服務器，發現被直接拒絕（黑白名單是容許輸入密碼，不同）

如今在兩個中配置兩個同樣的內容：均爲129，發現容許訪問。

結論：先檢查allow中，找到匹配則容許訪問。不然再檢查hosts.deny，找到則拒絕訪問；若兩個文件中都沒有內容，則默認全部文件容許訪問。