14.Linux OpenSSH 服务管理（从零开始学）

在开启一天的学习的时候先做好快照过程中如果出现意外的报错解决不了的就立即恢复快照作为初学者省时省力不要过于纠结哪里错了浪费时间1.OpenSSH 服务介绍1.1 SSH 介绍SSH 全称是Secure ShellSSH协议是基于应用层的协议为远程登录会话和其他网络服务提供安全性的协议。实现此功能的传统方式如 telnet (终端仿真协议)、 rcp、ftp、 rlogin、rsh都是极为不安全的并且会使用明文传送密码。OpenSSH 提供了服务端后台程序和客户端工具用来加密远程控件和文件传输过程中的数据并由此来代替原来的类似服务。1.2 SSH 建立连接的过程主要分为下面几个阶段SSH协议版本协商阶段SSH目前包括SSH1和SSH2两个大版本。密钥和算法协商阶段SSH支持多种加密算法双方根据自己和对端支持的算法进行协商最终决定要使用的算法。认证阶段服务器和客户端互相进行身份验证。会话请求阶段客户端会向服务器端发送会话请求。会话请求分为这样几类申请对数据传送进行压缩、申请伪终端、启动 X11、TCP/IP 端口转发、启动认证代理等。交互会话阶段会话请求通过后服务器端和客户端进行信息的交互。例如运行 shell、执行命令、传递文件。1.3 加密类型对称加密加密和解密都使用一个钥匙。确保数据的完整性、速度快。非对称加密一对钥匙。公钥用来加密数据。私钥用来解密数据。确保数据的安全性。1.4 双向加密过程SSH协议是基于非对称加密方法的服务器和客户端都会生成自己的公钥和私钥。公钥用来加密数据。私钥用来解密数据。双向加密过程服务器创建密钥对。远程服务器会在/etc/ssh目录下生成一个名为多个密钥对例如ecdsa类型的密钥对ssh_host_ecdsa_key.pub 公钥和 ssh_host_ecdsa_key 私钥。之后每回启动sshd服务的时候系统会自动在此路径下查找公钥。客户端请求连接。服务器接到请求后把公钥传给客户端使用。客户端记录服务器公钥并计算自己的公私钥。客户端将服务器传来的公钥记录在~/.ssh/known_hosts中若是已经记录有该服务器公钥则比对是否一致一致后就计算客户端自己的公私钥。[fengkaiclient ~ 17:22:12]$ ssh server The authenticity of host server (10.1.8.10) cant be established. ECDSA key fingerprint is SHA256:5KkrnsINIP6anjuKXNFLmX2lITpgeyRlv6uEWtvRkgU. ECDSA key fingerprint is MD5:70:76:1e:4b:c6:85:44:ff:03:02:07:29:53:d9:1a:f8. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added server,10.1.8.10 (ECDSA) to the list of known hosts. fengkaiservers password: Last login: Thu Jul 23 17:22:11 2026 from 10.1.8.1 # 查看客户端存储server提供的公钥 [fengkaiclient ~ 17:23:01]$ cat ~/.ssh/known_hosts server,10.1.8.10 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBPoDxo9hiOXWN4GpPgqkTtdig9tUzu7EGSi78lKOmQR/86ceL0BbbUe7jNWabGcYw0Lrck3p9gT1UHNCeG5ng # 作用 # 1. 接收server提供的公钥使用这个公钥加密数据发送给对方。 # 2. 校验对方的公钥是否正确。如果本地已经提前存储过对方的公钥了客户端使用服务器的公钥加密自己的公钥并发送给服务器。服务器端拥有客户端公钥自己私钥客户端拥有服务器公钥自己私钥组成了非对称加密系统。双向加解密。服务器发送数据用客户端公钥加密客户端收到数据后用自己私钥解密。客户端发送数据用服务器公钥加密服务器收到数据后用自己私钥解密。2.使用 ssh 访问远端CLI2.1 ssh 工具演示方式一只指定IP或主机名# 可以先清除之前获取的公钥 [fengkaiclient ~ 17:27:58]$ ~/.ssh/known_hosts [fengkaiclient ~ 17:28:10]$ cat ~/.ssh/known_hosts # 通过IP地址远程登陆 [fengkaiclient ~ 17:28:13]$ ssh 10.1.8.10 The authenticity of host 10.1.8.10 (10.1.8.10) cant be established. ECDSA key fingerprint is SHA256:5KkrnsINIP6anjuKXNFLmX2lITpgeyRlv6uEWtvRkgU. ECDSA key fingerprint is MD5:70:76:1e:4b:c6:85:44:ff:03:02:07:29:53:d9:1a:f8. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added 10.1.8.10 (ECDSA) to the list of known hosts. fengkai10.1.8.10s password: 123 Last login: Thu Jul 23 17:27:26 2026 from client.fengkai.cloud [fengkaiserver ~ 17:28:21]$ # 通过主机名称 [fengkaiclient ~ 17:30:04]$ ssh server The authenticity of host server (10.1.8.10) cant be established. ECDSA key fingerprint is SHA256:5KkrnsINIP6anjuKXNFLmX2lITpgeyRlv6uEWtvRkgU. ECDSA key fingerprint is MD5:70:76:1e:4b:c6:85:44:ff:03:02:07:29:53:d9:1a:f8. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added server,10.1.8.10 (ECDSA) to the list of known hosts. fengkaiservers password: Last login: Thu Jul 23 17:28:21 2026 from client.fengkai.cloud [fengkaiserver ~ 17:30:11]$方式二额外指定用户名# 指定root用户登录 [laomaclient ~]$ ssh -l root server [fengkaiserver ~ 17:35:20]$ ssh rootserver rootservers password: Last login: Thu Jul 23 17:35:18 2026 from server.fengkai.cloud [rootserver ~ 17:35:23]# exit 登出 Connection to server closed. # 或者 [fengkaiserver ~ 17:35:24]$ ssh -l root server rootservers password: Last login: Thu Jul 23 17:35:22 2026 from server.fengkai.cloud [rootserver ~ 17:35:39]#方式三额外指定命令# 同时指定用户和命令 [fengkaiserver ~ 17:36:30]$ ssh rootserver hostname rootservers password: 123 server.fengkai.cloud # shell提示符仍然是本机。 [fengkaiserver ~ 17:36:39]$ [fengkaiserver ~ 17:37:23]$ ssh rootserver hostname;ls -l rootservers password: server.fengkai.cloud 总用量 8 -rw-------. 1 root root 1777 7月 14 10:34 anaconda-ks.cfg -rw-r--r--. 1 root root 1825 7月 14 10:38 initial-setup-ks.cfg -rw-r--r--. 1 root root 0 7月 16 10:28 test.txt drwxr-xr-x. 2 root root 6 7月 14 14:53 公共 drwxr-xr-x. 2 root root 6 7月 14 14:53 模板 drwxr-xr-x. 2 root root 6 7月 14 14:53 视频 drwxr-xr-x. 2 root root 6 7月 14 14:53 图片 drwxr-xr-x. 2 root root 6 7月 14 14:53 文档 drwxr-xr-x. 2 root root 6 7月 14 14:53 下载 drwxr-xr-x. 2 root root 6 7月 14 14:53 音乐 drwxr-xr-x. 2 root root 6 7月 14 14:53 桌面 [fengkaiserver ~ 17:37:49]$2.2 ssh工具配置文件参考SSH_CONFIG(5)。[rootserver ~ 17:38:26]# man ssh_config~/.ssh/config用户自己的配置优先级高于全局配置。文件权限不得高于644。[fengkaiclient ~ 17:42:07]$ ls -ld ~/.ssh/config ls: 无法访问/home/fengkai/.ssh/config: 没有那个文件或目录/etc/ssh/ssh_config全局配置应用于所有用户。[fengkaiserver ~ 17:41:20]$ ls -ld /etc/ssh/ssh_config -rw-r--r--. 1 root root 2276 11月 25 2021 /etc/ssh/ssh_config示例# 如果~/.ssh目录不存在创建该目录 [fengkaiclient ~ 17:42:12]$ mkdir -m 700 .ssh mkdir: 无法创建目录.ssh: 文件已存在 [fengkaiclient ~ 17:44:35]$ ls -ld .ssh drwx------. 2 fengkai fengkai 25 7月 23 17:22 .ssh # 在.ssh目录下新建config文件并授权600 [fengkaiclient ~ 17:44:47]$ vim ~/.ssh/config Host * StrictHostKeyChecking no User root PreferredAuthentications password :wq [fengkaiclient ~ 17:45:45]$ ls -ld .ssh/config -rw-rw-r--. 1 fengkai fengkai 85 7月 23 17:45 .ssh/config [fengkaiclient ~ 17:45:59]$ chmod 600 .ssh/config [fengkaiclient ~ 17:46:14]$ ls -ld .ssh/config -rw-------. 1 fengkai fengkai 85 7月 23 17:45 .ssh/config # 清空其他主机秘钥 [fengkaiclient ~ 17:46:15]$ cat .ssh/known_hosts server,10.1.8.10 ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBPoDxo9hiOXWN4GpPgqkTtdig9tUzu7EGSi78lKOmQR/86ceL0BbbUe7jNWabGcYw0Lrck3p9gT1UHNCeG5ng [fengkaiclient ~ 17:48:08]$ .ssh/known_hosts [fengkaiclient ~ 17:48:15]$ cat .ssh/known_hosts # 再次登录不会提示主机key是否校验验证用户也是root [fengkaiclient ~ 17:48:16]$ ssh server Warning: Permanently added server,10.1.8.10 (ECDSA) to the list of known hosts. rootservers password: Last login: Thu Jul 23 17:38:26 2026 [rootserver ~ 17:48:55]#参数说明Host*匹配所有目标服务器。StrictHostKeyChecking no连接目标服务器不校验主机key直接接受。User root连接目标服务器默认使用root账户。PreferredAuthentications password连接目标服务器使用密码认证。配置文件权限建议设置为只能用户自己读写。# 因ssh为安全登陆方式系统建议设置为只能所有者用户自己读写权限太大会有报错 [fengkaiclient ~ 17:52:38]$ ls -ld /home/fengkai/.ssh/config -rw-------. 1 fengkai fengkai 85 7月 23 17:51 /home/fengkai/.ssh/config [fengkaiclient ~ 17:53:13]$ chmod 777 /home/fengkai/.ssh/config [fengkaiclient ~ 17:53:36]$ ls -ld /home/fengkai/.ssh/config -rwxrwxrwx. 1 fengkai fengkai 85 7月 23 17:51 /home/fengkai/.ssh/config # 修改为777会有报错 [fengkaiclient ~ 17:53:37]$ ssh server Bad owner or permissions on /home/fengkai/.ssh/config # 建议文件为600只给自己读写权限 [fengkaiclient ~ 17:53:44]$ chmod 600 /home/fengkai/.ssh/config [fengkaiclient ~ 17:54:28]$ ssh server rootservers password: Last login: Thu Jul 23 17:52:23 2026 from client.fengkai.cloud [rootserver ~ 17:54:32]#3.配置 ssh 密钥认证使用密钥登录避免输入密码更安全。3.1 配置过程# 客户端生成密钥对 [fengkaiclient ~ 17:57:49]$ ssh-keygen Generating public/private rsa key pair. # 私钥保存位置 Enter file in which to save the key (/home/fengkai/.ssh/id_rsa): 回车 # 私钥加密密码回车表示不加密 Enter passphrase (empty for no passphrase): 回车 # 再次回车 Enter same passphrase again: 回车 Your identification has been saved in /home/fengkai/.ssh/id_rsa. Your public key has been saved in /home/fengkai/.ssh/id_rsa.pub. The key fingerprint is: SHA256:kUi1FqNjTaJdYPA5CrlfhuqkS8mTjekexhLHfH8sMQk fengkaiclient.fengkai.cloud The keys randomart image is: ---[RSA 2048]---- | ..o* | | . * O | | o E X * | | o o . | |. * S | |oo* | |.%o.. o o | |o o | |. | ----[SHA256]----- # 查看生成的文件 [fengkaiclient ~ 17:58:42]$ ls .ssh/ config id_rsa id_rsa.pub known_hosts # 将公钥推动给目标服务器上的目标用户 [laomaclient ~]$ ssh-copy-id laomaserver # 将之前做的vim ~/.ssh/config文件中的优先使用密码认证注销掉不然就会优先使用密码 [fengkaiclient ~ 18:22:57]$ vim .ssh/config 1 Host * 2 StrictHostKeyChecking no 3 User root 4 # PreferredAuthentications password :wq # 验证 [fengkaiclient ~ 18:24:23]$ ssh fengkaiserver hostname server.fengkai.cloud # 推送公钥相当于 # 将公钥内容保存到目标服务器上目标用户家目录下.ssh/authorized_keys中 [fengkaiclient ~ 18:25:19]$ cat .ssh/id_rsa.pub ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDVpknV5nnkj5ouF75ge/uhyjYAZNQR0JGMoU4F1gCHRCjbW4c/YzR93YpP0tsfOX4YMgvSCw7muHYXz2O9TySuilZu2fYmzgiRf7BR5/iKsw/4nKCer1mVah3twWbYdwXn1G8whUxbRGmyqY5de64f5xcTxhf4iXmy8ggCZAoI1/hGRfi7JErMbMHDgu23QmQTW3OWWQ2JXSPIuMQjC6l0OClvRMoQ8dZcaFIvRSBBTyXYO9nfpFoZJCUdcD7BQFgB24ycn306ErhWLzTvHK7rJEfYCJaww3JpupROIKSFxyarOMEOO8t9OPpJL15PsUK5H4HFxVign8vs7bZyr fengkaiclient.fengkai.cloud # 在server端查看 [fengkaiserver ~ 18:25:51]$ cat .ssh/authorized_keys ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDVpknV5nnkj5ouF75ge/uhyjYAZNQR0JGMoU4F1gCHRCjbW4c/YzR93YpP0tsfOX4YMgvSCw7muHYXz2O9TySuilZu2fYmzgiRf7BR5/iKsw/4nKCer1mVah3twWbYdwXn1G8whUxbRGmyqY5de64f5xcTxhf4iXmy8ggCZAoI1/hGRfi7JErMbMHDgu23QmQTW3OWWQ2JXSPIuMQjC6l0OClvRMoQ8dZcaFIvRSBBTyXYO9nfpFoZJCUdcD7BQFgB24ycn306ErhWLzTvHK7rJEfYCJaww3JpupROIKSFxyarOMEOO8t9OPpJL15PsUK5H4HFxVign8vs7bZyr fengkaiclient.fengkai.cloud # 推给目标主机root用户 [rootserver ~ 18:27:42]# mkdir -m 700 .ssh [rootserver ~ 18:27:52]# cp ~fengkai/.ssh/authorized_keys .ssh/ [rootserver ~ 18:28:21]# ls -dl .ssh/authorized_keys -rw-------. 1 root root 410 7月 23 18:28 .ssh/authorized_keys [rootserver ~ 18:28:57]# ls -dl ~fengkai/.ssh/authorized_keys -rw-------. 1 fengkai fengkai 410 7月 23 18:00 /home/fengkai/.ssh/authorized_keys # 客户端验证 [fengkaiclient ~ 18:28:34]$ ssh rootserver hostname server.fengkai.cloud以非交互方式生成密钥对[fengkaiclient ~ 18:28:39]$ ssh-keygen -t rsa -N -f id_rsa_new Generating public/private rsa key pair. Your identification has been saved in id_rsa_new. Your public key has been saved in id_rsa_new.pub. The key fingerprint is: SHA256:zDBXoczziqF3t6EApE8WTNRnt6ov4Tw6Rw6pfULQlEA fengkaiclient.fengkai.cloud The keys randomart image is: ---[RSA 2048]---- | .Eooo o. | | oo .ooo. | | o oo*. . | | .o.. * o. | | .... S.. | | ooo.. | | o*oo o | | . .Xo o o | | .* o . | ----[SHA256]----- [fengkaiclient ~ 18:31:02]$ ls *new* id_rsa_new id_rsa_new.pub其他选项# -i 指定私钥位置先修改位置再恢复位置 [fengkaiclient ~ 18:31:09]$ mv .ssh/id_rsa /tmp/ [fengkaiclient ~ 18:32:26]$ ssh rootserver hostname rootservers password: server.fengkai.cloud [fengkaiclient ~ 18:32:34]$ ssh -i /tmp/id_rsa rootserver hostname server.fengkai.cloud [fengkaiclient ~ 18:32:50]$ mv /tmp/id_rsa .ssh/ [fengkaiclient ~ 18:33:05]$ ssh rootserver hostname server.fengkai.cloud # 如果找不到密钥则使用密码登录 # -p 选项指定目标服务器 sshd 服务端口号默认22 [fengkaiclient ~ 18:33:12]$ ssh -l root -p 1022 server hostname ssh: connect to host server port 1022: No route to host [fengkaiclient ~ 18:34:15]$ ssh -l root -p 22 server hostname server.fengkai.cloud控制工具的执行行为有两种方式工具选项工具的配置文件默认3.2 排故故障配置密钥登录后远程登录仍要需要输入密码验证。[fengkaiclient ~ 18:34:22]$ ssh rootserver hostname rootservers password:模拟将目标主机上目标用户的家目录的权限改为777。[rootserver ~ 18:29:55]# ls -ld /root dr-xr-x---. 15 root root 4096 7月 23 18:27 /root [rootserver ~ 18:37:38]# chmod 777 /root [rootserver ~ 18:38:02]# ls -ld /root drwxrwxrwx. 15 root root 4096 7月 23 18:27 /root处理过程查看日志# 客户端登录的时候监控服务端日志 [rootserver ~ 18:38:12]# tail -f /var/log/secure ...... Jul 23 18:38:44 server sshd[4825]: Authentication refused: bad ownership or modes for directory /root ......发现提示文件权限有问题。查找文件权限。[rootserver ~ 18:39:57]# ls -ld drwxrwxrwx. 15 root root 4096 7月 23 18:27 . # 更改权限 [rootserver ~ 18:40:01]# chmod 550 /root [rootserver ~ 18:40:10]# ls -ld dr-xr-x---. 15 root root 4096 7月 23 18:27 .4.加固 SSH 服务补充1.客户端工具修改完配置文件后下次执行客户端工具立刻生效。ssh 工具 /etc/ssh/ssh_config或者~/.ssh/config2.服务器修改完配置文件后服务程序一直在运行需要重启ssh的服务 systemctl reload/restart sshd4.1 配置文件sshd服务配置文件/etc/ssh/sshd_config。帮助sshd_config(5)常见配置PermitRootLogin prohibit-password禁止root用户通过密码登录。PermitRootLogin no禁止 root 用户登录。root用户权限不受限制。root用户存在每个linux系统只需要猜密码就可以。从审计角度来看很难跟踪哪个授权用户以root身份登录并进行了更改。 如果用户必须以普通用户身份登录并切换到root帐户则会生成一个日志事件可用于帮助提供问责制。PasswordAuthentication no禁止用户使用密码登录。AllowUsers exampleuser允许特定用户登录该用户可以提权为root。UseDNS no客户端连接服务器的时候服务器不需要反向解析服务端IP地址提高连接速度。4.2 禁止 root 密码登录环境准备提前配置好 root 秘钥登录。[rootserver ~ 18:40:11]# vim /etc/ssh/sshd_config # 找到#PermitRootLogin yes # 在下面添加一行注意命令一定要敲对不然ssh的服务器会崩溃 PermitRootLogin prohibit-password # 重启服务 [rootserver ~ 18:47:47]# systemctl reload sshd.service连接测试# 即使使用正确的密码也无法远程登录 [fengkaiclient ~ 19:06:13]$ ssh rootserver rootservers password: Permission denied, please try again. rootservers password: Permission denied, please try again. rootservers password: Permission denied (publickey,gssapi-keyex,gssapi-with-mic,password). # 如果配置了秘钥登录则需要使用选项强制密码认证 [fengkaiclient ~ 19:06:30]$ ssh -o PreferredAuthenticationspassword rootserver4.3 禁止 root 登录环境准备[rootserver ~ 19:09:50]# vim /etc/ssh/sshd_config #PermitRootLogin yes # 添加一行 PermitRootLogin no # 重启服务 [rootserver ~ 19:11:14]# systemctl reload sshd连接测试不管是密码还是秘钥都无法登录# 即使配置了免密登录也无法远程登录 [fengkaiclient ~ 19:11:31]$ ssh rootserver rootservers password: Permission denied, please try again. rootservers password: Permission denied, please try again. rootservers password: Permission denied (publickey,gssapi-keyex,gssapi-with-mic,password). # 但是可以使用普通用户登录然后提权为root用户 [fengkaiclient ~ 19:11:44]$ ssh fengkaiserver fengkaiservers password: Last login: Thu Jul 23 19:04:46 2026 from 10.1.8.1 [fengkaiserver ~ 19:12:37]$ sudo -i [sudo] fengkai 的密码 [rootserver ~ 19:12:41]#4.4 禁止密码登录环境准备[rootserver ~ 19:11:28]# vim /etc/ssh/sshd_config # 注释原有行 #PasswordAuthentication yes # 添加新行设置为no PasswordAuthentication no # 重启服务 [rootserver ~ 19:14:55]# systemctl reload sshd连接测试秘钥可以登录# 将第四行注销掉不然默认会一直使用密码登陆实现不了效果 [fengkaiclient ~ 19:19:20]$ vim .ssh/config 1 Host * 2 StrictHostKeyChecking no 3 User root 4 # PreferredAuthentications password # fengkai账户未配置密钥登录直接拒绝 [fengkaiclient ~ 19:20:58]$ ssh -o PreferredAuthenticationspassword fengkaiserver Permission denied (publickey,gssapi-keyex,gssapi-with-mic). # 秘钥登录仍然支持 [fengkaiclient ~ 19:22:54]$ ssh fengkaiserver Last login: Thu Jul 23 19:19:49 2026 from client.fengkai.cloud [fengkaiserver ~ 19:23:02]$4.5 只允许特定用户登录环境准备laowang用户也可以秘钥登录。[rootserver ~ 19:24:06]# useradd laowang useradd用户“laowang”已存在 [rootserver ~ 19:24:10]# echo 123 | passwd --stdin laowang 更改用户 laowang 的密码 。 passwd所有的身份验证令牌已经成功更新。 [rootserver ~ 19:24:12]# mkdir -m 700 /home/laowang/.ssh [rootserver ~ 19:24:46]# cp .ssh/authorized_keys /home/laowang/.ssh/ [rootserver ~ 19:25:00]# ls -ld /home/laowang/.ssh/* -rw-------. 1 root root 410 7月 23 19:25 /home/laowang/.ssh/authorized_keys [rootserver ~ 19:25:15]# chown -R laowang:laowang /home/laowang/.ssh/ [rootserver ~ 19:25:41]# ls -ld /home/laowang/.ssh/* -rw-------. 1 laowang laowang 410 7月 23 19:25 /home/laowang/.ssh/authorized_keys配置sshd服务[rootserver ~ 19:25:43]# vim /etc/ssh/sshd_config # 注销之前的配置 68 #PasswordAuthentication no # 最后添加一行 AllowUsers laowang # 重启服务 [rootserver ~ 19:27:58]# systemctl reload sshd测试连接laowang可以通过秘钥认证登录fengkai和root不管通过什么方式认证都不可以登录。# fengkai用户不能登陆 [fengkaiclient ~ 19:28:37]$ ssh fengkaiserver fengkaiservers password: Permission denied, please try again. fengkaiservers password: Permission denied, please try again. fengkaiservers password: Permission denied (publickey,gssapi-keyex,gssapi-with-mic,password). # root用户不能登陆 [fengkaiclient ~ 19:29:52]$ ssh rootserver rootservers password: Permission denied, please try again. rootservers password: Permission denied, please try again. rootservers password: Permission denied (publickey,gssapi-keyex,gssapi-with-mic,password). # laowang用户用密钥或者密码都可以登陆 [fengkaiclient ~ 19:30:04]$ ssh laowangserver [laowangserver ~ 19:31:32]$ exit [fengkaiclient ~ 19:33:06]$ ssh -o PreferredAuthenticationspassword laowangserver laowangservers password: Last login: Thu Jul 23 19:30:14 2026 from client.fengkai.cloud