远程访问及控制

2023-06-01 02:59| 来源: 网络整理| 查看: 265

文章目录远程访问及控制一.SSH远程管理(1)SSH（Secure Shell）协议(2)OpenSSH 1.配置OpenSSH服务端(1)sshd_config配置文件常用选项：vim /etc/ssh/sshd_config(2)修改完所需配置后启动服务即可：systemctl start sshd 2.使用SSH客户端程序(1)远程登录：ssh [-p 指定端口号] 服务器端用户名@服务器IP地址(2)远程复制(3)sftp安全FTP 3.密钥对验证的SSH体系(1)配置密钥对验证：(2)密钥对免交互界面设置密码的情况下，则需要设置临时会话代理（该代理只在当前的会话有效）二.TCP Wrappers访问控制1.TCP Wrappers （TCP封套）2.TCP Wrappers保护机制的两种实现方式3.TCP Wrappers访问策略4.TCP Wrappers机制的基本原则5.例：只允许从IP为192.168.230.5的主机访问sshd服务，其他地址皆被拒绝

远程访问及控制一.SSH远程管理 (1)SSH（Secure Shell）协议是一种安全通道协议，主要用来实现字符界面的远程登录、远程复制等功能用于远程管理，对通信数据进行了加密处理，其中包括用户登录时输入的用户口令，因此SSH协议具有很好的安全性SSH客户端到SSH服务端的数据传输是加密（防止信息泄露）、压缩的（提高传输速度）

注：

SSH客户端：Putty、Xshell、CRT

SSH服务端：OpenSSH

(2)OpenSSH 服务名称：sshd（默认使用TCP 22号端口：密文传输）服务端主程序：/usr/sbin/sshd服务端配置文件：/etc/ssh/sshd_config（ssh_config则是针对客户端的配置文件）

OpenSSH是实现SSH协议的开源软件项目，适用于各种UNIX、Linux操作系统

CentOS 7系统默认已安装openssh相关软件包，并已将sshd服务添加为开机自启动

1.配置OpenSSH服务端 (1)sshd_config配置文件常用选项：vim /etc/ssh/sshd_config (2)修改完所需配置后启动服务即可：systemctl start sshd

在这里插入图片描述

2.使用SSH客户端程序

sshd服务支持两种验证方式：

密码验证：对服务器中本地系统的用户的登录名称、密码进行验证（简便但可能会被暴力破解）密钥对验证：要求提供相匹配的密钥信息才能通过验证，通常先在客户端中创建一对密钥文件（公钥、私钥），然后将公钥文件放到服务器中的指定位置，远程登陆时，系统将使用公钥、私钥进行加密/解密关联验证，能增强安全性，且可以免交户登录

公钥和密钥的关系：

公钥和私钥是成对生成的，这两个密钥互不相同，可以互相加密和解密不能根据一个密钥来推算出另一个密钥公钥对外公开，私钥只有私钥的持有人才知道当密码验证、密钥对验证都启用时，服务器将优先使用密钥对验证，可根据实际情况设置验证方式 (1)远程登录：ssh [-p 指定端口号] 服务器端用户名@服务器IP地址

注：

当用户第一次登录SSH服务器时，必须接受服务器发来的ECDSA密钥（根据提示输入“yes”）后才能继续验证，接受的密钥信息将会保存到~/.ssh/known_hosts文件中，密码验证成功后即可登录目标服务器的命令行环境中-p指定非默认的端口号，缺省时使用22号端口

在这里插入图片描述

(2)远程复制

1.下行复制，从服务器端下载到本机

格式：scp 服务器端用户名@服务器IP地址:文件的绝对路径本机存放复制文件目标位置的绝对路径

例：在这里插入图片描述

2.上行复制，从本机上传到服务器端

格式：scp -r 本机将上传文件的绝对路径服务器端用户名@服务器IP地址:服务器端存放上传文件目标位置的绝对路径

例：在这里插入图片描述

(3)sftp安全FTP

注：由于使用了加密/解密技术，所以传输效率比普通的FTP要低，但安全性更高，操作语法sftp与ftp几乎一样

在这里插入图片描述

3.密钥对验证的SSH体系 (1)配置密钥对验证：

在客户端创建密钥对，通过ssh-keygen工具为当前用户创建密钥对文件，可用的加密算法为RSA、ECDSA或DSA等（ssh-keygen命令的“-t”选项用于指定算法类型，若不指定则默认RSA）

在这里插入图片描述

注：id_ecdsa是私钥文件，默认权限为600；id_ecdsa.pub是公钥文件，用来提供给SSH服务器

在这里插入图片描述

格式：ssh-copy-id [-p 指定服务器端口] -i 公钥文件服务器端用户名@服务器端IP地址在这里插入图片描述

服务器的被ssh连接端会在指定用户家目录的.ssh/目录（权限700）中生成公钥认证文件authorized_keys（权限600）

在这里插入图片描述

直接免密登录成功

在这里插入图片描述

(2)密钥对免交互界面设置密码的情况下，则需要设置临时会话代理（该代理只在当前的会话有效）

在这里插入图片描述

二.TCP Wrappers访问控制 1.TCP Wrappers （TCP封套）将TCP服务程序“包裹"起来，代为监听TCR服务程序的端口，增加了一个安全检测过程，外来的连接请求必须先通过这层安全检测，获得许可后才能访问真正的服务程序大多数Linux发行版，TCP wrappers是默认提供的功能rpm -q tcp_ wrappers 2.TCP Wrappers保护机制的两种实现方式直接使用tcpd程序对其他服务程序进行保护，需要运行tcpd程序由其他网络服务程序调用libwrap.so.*链接库，不需要运行tcpd程序，此方式的应用更加广泛，也更有效率

在这里插入图片描述

*tips：使用ldd 命令可以查看程序的libwrap.so.链接库

注：$()和``的作用都是调用选中的命令作为参数

在这里插入图片描述

3.TCP Wrappers访问策略 TCP Wrappers机制的保护对象为各种网络服务程序，针对访问服务的客户端地址进行访问控制对应的两个策略文件为**/etc/host.allow和/etc/host.deny**，分别用来设置允许和拒绝的策略

格式：:

(1)服务程序列表：

ALL代表所有服务：ALL单个服务程序直接写入：sshd多个服务程序之间以逗号相隔：sshd,named

(2)客户端地址列表：

ALL代表任何客户端地址LOCAL代表本机地址多个地址以逗号分隔

注：允许使用通配符"*“和”?"

*可以表示任意长度字符；？仅表示任意一个字符网段地址：如：192.168.230.*或者192.168.230.0/255.255.255.0区域地址：如：*.xc.com匹配xc.com域中所有主机 4.TCP Wrappers机制的基本原则首先检查/etc/hosts.allow文件，如果找到相匹配的策略，则允许访问否则继续检查/etc/hosts.deny文件，如果找到相匹配的策略，则拒绝访问如果检查上述两个文件都找不到相匹配的策略，则默认允许访问

(1)“允许所有，拒绝个别”

只需在/etc/hosts.deny文件中添加相应的拒绝策略

(2)“允许个别，拒绝所有”

除了在/etc/hosts.allow文件中添加允许策略外，还需要在/etc/hosts.deny文件中设置"ALL:ALL"的拒绝策略

5.例：只允许从IP为192.168.230.5的主机访问sshd服务，其他地址皆被拒绝

在这里插入图片描述

【本文地址】

公司简介

联系我们