远程访问及控制

简介

在此前的课程中曾陆续学习了网站.FTP等各种网络服务.实际上大多数企业服务器是通过远程登录的方式来进行管理的。当需要从一个工作站管理数以百计的服务器主机时，远程维护的方式将更占优势。 本章将学习如何针对Linux环境使用安全的方式远程管理，以及通过TCP Wrappers 机制为应用提供访问控制。

安装openssh服务 1.安装服务器端

[root@centos01 ~]# mount /dev/cdrom /mnt/ [root@centos01 ~]# rm -rf /etc/yum.repos.d/CentOS-* [root@centos01 ~]# rpm -ivh /mnt/Packages/openssh-server-7.4p1-11.el7.x86_64.rpm

2.安装客户端

[root@centos01 ~]# rpm -ivh /mnt/Packages/openssh-clients-7.4p1-11.el7.x86_64.rpm [root@centos01 ~]# ls -ld /etc/ssh/sshd_config [root@centos01 ~]# rpm -qa | grep openssh*

3.设置ssh服务开机自动启动

[root@centos01 ~]# systemctl enable sshd [root@centos01 ~]# systemctl start sshd 检查端口号: [root@centos01 ~]# netstat -anptu | grep sshd

4.openssh-server常见的配置选项

1. 监听的端口 Port 22 2. 监听任意IP地址 ListenAddress 0.0.0.0 3. 登录超时时间2分钟 LoginGraceTime 2m 4. 允许root登录no表示阻止root登录 PermitRootLogin yes 5. 开启密钥对身份验证 PubkeyAuthentication yes 6. 存储身份验证密钥文件 AuthorizedKeysFile .ssh/authorized_keys 7. 开启账户密码验证 PasswordAuthentication yes

配置修改监听|IP地址和端口号 1.修改sshd主配置文件

[root@centos01 ~]# vim /etc/ssh/sshd_config Port 2222 ListenAddress 192.168.100.10

2.重新启动sshd服务

[root@centos01 ~]# systemctl restart sshd [root@centos01 ~]# netstat -anptu | grep sshd

3.客户端访问远程访问服务器

[root@centos02 ~]# ssh -p 2222 root@192.168.100.10

4.ssh-server访问控制

[root@centos01 ~]# vim /etc/ssh/sshd. config //1. 阻止root用户本地登录 PermitRootLogin no //2. 拒绝192.168.100.20使用root远程登录服务器端 DenyUsers root@192.168.100.20

配置密钥对身份验证和访问控制 1.修改远程访问服务器主配置文件支持密钥对验证

[root@centos01 ~]# vim /etc/ssh/sshd_config //1. 开启密钥对验证 PubkeyAuthentication yes //2. 指定公钥存储位置 AuthorizedKeysFile .ssh/authorized_keys [root@centos01 ~]# systemctl restart sshd

2.客户端生成密钥对

[root@centos02 ~]# ssh-keygen -t rsa

3.客户端上传公钥到远程访问服务器

[root@centos02 ~]# ssh-copy-id -i .ssh/id_rsa.pub root@192.168.100.10 //1. 公钥 [root@centos02 ~]# cat .ssh/id_rsa.pub //2.私钥 [root@centos02 ~]# cat .ssh/id_rsa //3. 服务器公钥 [root@centos01 ~]# cat .ssh/authorized_keys //4. 登出 [root@centos02 ~]# ssh root@192.168.100.10

远程数据复制 1.将远程服务器数据下载到本地当前目录

[root@centos01 ~]# cp .ssh/authorized_keys ./ [root@centos02~]#scp root@192.168.100.10:/root/authorized_keys ./

2.远程主机数据复制到客户端192.168.100.20的opt目录中

[root@centos01 ~]# scp authorized_keys root@192.168.100.20:/opt

3.复制远程主机目录中的所有数据到本地

[root@centos01 ~]# mkdir -p /benet/bdqn [root@centos01 ~]# echo "jiaoxinyuan" > /benet/1.txt [root@centos01 ~]# echo "jiaoxinyuan" > /benet/bdqn/2.txt [root@centos01 ~]# ls /benet/ [root@centos01 ~]# ls /benet/bdqn/ [root@centos01 ~]# scp -r /benet/ root@192.168.100.20:/opt/

准备环境 1.开三台虚拟机,分别为Web, wzadm, jacky

[root@web ~]# [root@web ~]# mount /dev/cdrom /mnt/ [root@web ~]# rm -rf /etc/yum.repos.d/CentOS-* [root@web ~]# rpm -ivh /mnt/Packages/openssh-server-7.4p1-11.el7.x86_64.rpm [root@web ~]# rpm -ivh /mnt/Packages/openssh-clients-7.4p1-11.el7.x86_64.rpm [root@wzadm ~]# [root@jacky ~]#

2.在Web主机创建jacky并设置密码

[root@web ~]# useradd jacky [root@web ~]# passwd jacky

3.在Web主机创建wzadm并设置密码

[root@web ~]# useradd wzadm [root@web ~]# passwd wzadm

允许网站管理员wzadm通过笔记本电脑远程登录Web服务器，笔记本电脑的IP地址并不是固定的，采用密钥对验证方式以提高安全性

1.生成秘钥对

[root@wzadm ~]# ssh-keygen -t rsa

2.上传公钥到服务器并且导入数据库

[root@wzadm ~]# ssh-copy-id -i .ssh/id_rsa.pub root@192.168.100.10

3.验证wzadm访问Web主机

[root@wzadm ~]# ssh wzadm@192.168.100.10

允许用户jacky远程登录Web服务器，但仅限于从网管工作站192.168.100.30访问

1.配置Web主机 仅限于192.168.100.30中的jacky访问

[root@web ~]# vim /etc/ssh/sshd_config Port 22 ListenAddress 192.168.100.10 AllowUsers jacky@192.168.100.30 HostKey /etc/ssh/ssh_host_rsa_key HostKey /etc/ssh/ssh_host_ecdsa_key HostKey /etc/ssh/ssh_host_ed25519_key

2.重启服务

[root@web ~]# systemctl restart sshd

3.在jacky主机中测试是否能够登录

[root@jacky ~]# ssh jacky@192.168.100.10

禁止其他用户通过SSH方式远程登录Web服务器。 配置Web主机的tcp wrappers 策略文件 1.允许访问

[root@web ~]# vim /etc/hosts.allow sshd:192.168.100.*

2.拒绝访问

[root@web ~]# vim /etc/hosts.deny sshd:All

3.测试结果

[root@wzadm ~]# ssh wzadm@192.168.100.10

实验完成