ssh 免密_Linux下配置SSH免密通信 “sshkeygen”的基本用法

b4a2c738a6b8cc73a7d0be9e1bac5ba4.gif

利用 SSH 協議可以有效防止遠程管理過程中的信息泄露問題。SSH最初是UNIX系統上的一個程序，后來又迅速擴展到其他操作平臺。

1 什么是SSH

引用百度百科的說明:SSH 為 Secure?Shell的縮寫，由 IETF 的網絡小組(Network Working Group)所制定；它是建立在應用層基礎上的安全協議。SSH 是目前較可靠，專為遠程登錄會話和其他網絡服務提供安全性的協議。利用 SSH 協議可以有效防止遠程管理過程中的信息泄露問題。SSH最初是UNIX系統上的一個程序，后來又迅速擴展到其他操作平臺。

為了在不同平臺/網絡主機之間的通信安全, 很多時候我們都要通過ssh進行認證. ssh認證方式主要有2種:

① 基于口令的安全認證: 每次登錄的時候都要輸入用戶名和密碼, 由于要在網絡上傳輸密碼, 可能存在中間人攻擊的風險;② 基于密鑰的安全認證: 配置完成后就可以實現免密登錄, 這種方式更加安全 —— 不需要在網絡上傳遞口令, 只需要傳輸一次公鑰. 常見的git的ssh方式就是通過公鑰進行認證的.

2 配置SSH免密登錄

說明: 這里演示所用的服務器操作系統是Cent OS 7. 我們的目標是:

A服務器(172.16.22.131) 能免密登錄 B服務器 (172.16.22.132).

注意: ssh連接是單向的, A能免密登錄B, 并不能同時實現B能免密登錄A.

2.1 安裝必需的軟件

在操作之前, 先確保所需要的軟件已經正常安裝.

這里我們需要安裝ssh-keygen和ssh-copy-id, 安裝方式如下:# 安裝ssh-keygen, 需要確保服務器可以聯網. 博主這里已經安裝完成, 所以沒有做任何事.

[root@localhost ~]# yum install -y ssh-keygenLoaded plugins: fastestmirror, langpacksbase | 3.6 kB 00:00:00epel | 3.6 kB 00:00:00extras | 2.9 kB 00:00:00updates | 2.9 kB 00:00:00Loading mirror speeds from cached hostfileNo package ssh-keygen available.Error: Nothing to do# 安裝ssh-copy-id[root@localhost ~]# yum install -y ssh-copy-idLoaded plugins: fastestmirror, langpacksLoading mirror speeds from cached hostfileNo package ssh-copy-id available.Error: Nothing to do

2.2 ssh-keygen創建公鑰-私鑰對

(1) 在指定目錄下生成rsa密鑰, 并指定注釋為“shoufeng”, 實現示例:

[root@localhost ~]# ssh-keygen -t rsa -f ~/.ssh/id_rsa -C "shoufeng"# ~密鑰類型 ~密鑰文件路徑及名稱 ~ 備注信息Generating public/private rsa key pair.Enter passphrase (empty for no passphrase): # 輸入密碼, 若不輸入則直接回車Enter same passphrase again: # 再次確認密碼, 若不輸入則直接回車Your identification has been saved in /root/.ssh/id_rsa.Your public key has been saved in /root/.ssh/id_rsa.pub.The key fingerprint is:9a:e3:94:b9:69:c8:e9:68:4b:dc:fa:43:25:7f:53:f1 shoufengThe key's randomart image is:+--[ RSA 2048]----+| || . || o || . . . E || + S. || . .. .=o || oo.oB. . || ..o=o.+ || .++oo+ |+-----------------+

注意: 密鑰的文件名稱必須是id_xxx, 這里的xxx就是-t參數指定的密鑰類型. 比如密鑰類型是rsa, 那么密鑰文件名就必須是id_rsa.

(2) ssh-keygen常用參數說明:

-t: 密鑰類型, 可以選擇 dsa | ecdsa | ed25519 | rsa;

-f: 密鑰目錄位置, 默認為當前用戶home路徑下的.ssh隱藏目錄, 也就是~/.ssh/, 同時默認密鑰文件名以id_rsa開頭. 如果是root用戶, 則在/root/.ssh/id_rsa, 若為其他用戶, 則在/home/username/.ssh/id_rsa;

-C: 指定此密鑰的備注信息, 需要配置多個免密登錄時, 建議攜帶;

-N: 指定此密鑰對的密碼, 如果指定此參數, 則命令執行過程中就不會出現交互確認密碼的信息了.

舉例說明: 同時指定目錄位置、密碼、注釋信息, 就不需要輸入回車鍵即可完成創建:

ssh-keygen -t rsa -f ~/.ssh/id_rsa -N shoufeng -C shoufeng

(3) 前往~/.ssh/目錄下查看生成的文件:

# 生成的文件以test_rsa開頭, test_rsa是私鑰, test_rsa.pub是公鑰:[root@localhost .ssh]# lstest_rsa test_rsa.pub# 通過cat命令查看公鑰文件:[root@localhost .ssh]# cat id_rsa.pubssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC2JpLMqgeg9jB9ZztOCw0WMS8hdVpFxthqG1vOQTOji/cp0+8RUZl3P6NtzqfHbs0iTcY0ypIJGgx4eXyipfLvilV2bSxRINCVV73VnydVYl5gLHsrgOx+372Wovlanq7Mxq06qAONjuRD0c64xqdJFKb1OvS/nyKaOr9D8yq/FxfwKqK7TzJM0cVBAG7+YR8lc9tJTCypmNXNngiSlipzjBcnfT+5VtcFSENfuJd60dmZDzrQTxGFSS2J34CuczTQSsItmYF3DyhqmrXL+cJ2vjZWVZRU6IY7BpqJFWwfYY9m8KaL0PZ+JJuaU7ESVBXf6HJcQhYPp2bTUyff+vdV shoufeng# 可以看到最后有一個注釋內容shoufeng

2.3 ssh-copy-id把A的公鑰發送給B

默認用法是: ssh-copy-id root@172.16.22.132, ssh-copy-id命令連接遠程服務器時的默認端口是22, 當然可以指定文件、遠程主機的IP、用戶和端口:

# 指定要拷貝的本地文件、遠程主機的IP+用戶名+端口號:[root@localhost .ssh]# ssh-copy-id -i ~/.ssh/id_rsa.pub -p 22 root@172.16.22.132/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keysroot@172.16.22.132's password: # 輸入密碼后, 將拷貝公鑰Number of key(s) added: 1Now try logging into the machine, with: "ssh -p '22' 'root@172.16.22.132'"and check to make sure that only the key(s) you wanted were added.

2.4 在A服務器上免密登錄B服務器

[root@localhost .ssh]# ssh root@172.16.22.132Last login: Fri Jun 14 08:46:04 2019 from 192.168.34.16 # 登錄成功?

3 擴展說明

3.1 其他方式發送公鑰文件

上述2.3步驟是通過ssh-copy-id工具發送公鑰文件的, 當然我們也可以通過其他方式實現:

(1) 將A的公鑰文件發給B:

通過scp命令將A服務器的 公鑰文件 發送到B服務器的用戶目錄下, 因為還沒有配置成功免密登錄, 所以期間需要輸入B服務器對應用戶的密碼:

[root@localhost .ssh]# scp id_rsa.pub root@172.16.22.132:/root/.sshroot@172.16.22.132's password:id_rsa.pub 100% 390 0.4KB/s 00:00

(2) 在B上創建authorized_keys文件:

[root@localhost .ssh]# cd /root/.ssh/[root@localhost .ssh]# lsid_rsa.pub# 通過A服務器的公鑰生成"authorized_keys"文件:[root@localhost .ssh]# cat id_rsa.pub >> authorized_keys[root@localhost .ssh]# cat authorized_keysssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC2JpLMqgeg9jB9ZztOCw0WMS8hdVpFxthqG1vOQTOji/cp0+8RUZl3P6NtzqfHbs0iTcY0ypIJGgx4eXyipfLvilV2bSxRINCVV73VnydVYl5gLHsrgOx+372Wovlanq7Mxq06qAONjuRD0c64xqdJFKb1OvS/nyKaOr9D8yq/FxfwKqK7TzJM0cVBAG7+YR8lc9tJTCypmNXNngiSlipzjBcnfT+5VtcFSENfuJd60dmZDzrQTxGFSS2J34CuczTQSsItmYF3DyhqmrXL+cJ2vjZWVZRU6IY7BpqJFWwfYY9m8KaL0PZ+JJuaU7ESVBXf6HJcQhYPp2bTUyff+vdV shoufeng

注意: 上述重定向時使用>>進行追加, 不要用>, 那會清空原有內容.

3.2 文件權限

為了讓私鑰文件和公鑰文件能夠在認證中起作用, 需要確保權限的正確性:

① 對于.ssh目錄以及其內部的公鑰、私鑰文件, 當前用戶至少要有執行權限, 其他用戶最多只能有執行權限.

② 不要圖省事設置成777權限: 太大的權限不安全, 而且數字簽名也不支持這種權限策略.

③ 對普通用戶, 建議設置成600權限: chmod 600 authorized_keys id_rsa id_rsa.pub;

④ 對root用戶, 建議設置成644權限: chmod 644 authorized_keys id_rsa id_rsa.pub.

3.3 文件的編輯和查看

在Liunx環境下, 如果要查看、復制私鑰、公鑰, 以及authorized_keys等文件, 不要使用vim等編輯器打開, 因為它會產生不必要的回車;

應該通過cat、more、less等查看命令把內容打印到終端上, 再作查看、復制等操作.

4 常見問題及解決

(1) 問題描述:

通過ssh-copy-id命令拷貝公鑰文件之后, 嘗試免密登錄另一臺服務器時發生錯誤:

32643c7bf4d87ad1fedc11838dd7d652.png

權限錯誤導致免密登錄失敗

[root@localhost ~]# ssh root@172.16.22.131@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ WARNING: UNPROTECTED PRIVATE KEY FILE! @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@Permissions 0644 for '/root/.ssh/id_rsa' are too open.It is required that your private key files are NOT accessible by others.This private key will be ignored.bad permissions: ignore key: /root/.ssh/id_rsaroot@172.16.22.131's password:

(2) 問題原因:

提示信息說明密鑰文件不受保護, 具體是說這里的密鑰文件權限是0644, 而數字簽名機制要求密鑰文件不能被其他用戶訪問(讀取), 所以該密鑰文件被強制忽略處理了.

(3) 問題解決:

只要修改該密鑰文件的權限即可:

chmod 600 /root/.ssh/id_rsa

這里/root/.ssh/id_rsa就是warning里給出的密鑰文件名.

讓您學習到的每一節課都有所收獲

《Linux就該這么學》是一本由資深運維專家劉遄老師及國內多名紅帽架構師(RHCA)基于最新RHEL7系統共同編寫的高質量Linux技術自學教程，極其適合用于Linux技術入門教程或講課輔助教材。榮獲雙11、雙12購物狂歡節IT品類書籍銷量冠軍，2017年、2018年國內讀者增速最快的技術書籍，您可以在京東、當當、亞馬遜及天貓搜索書名后購買，亦可加劉遄老師微信交流學習(手指按住下圖3秒鐘即可自動掃描)~

cf69e461559b5210d53637cb578da7cb.png

劉遄老師QQ：5604922

??Linux技術交流群：2265381(新群，火熱加群中……)

??官方站點：www.linuxprobe.com

? 書籍在線學習(電腦在線閱讀效果更佳)：

http://www.linuxprobe.com/chapter-00.html

《Linux就該這么學》是一本基于最新Linux系統編寫，面向零基礎讀者的技術書籍。從Linux基礎知識講起，然后漸進式地提高內容難度，詳細講解Linux系統中各種服務的工作原理和配置方式，以匹配真實生產環境對運維人員的要求，突顯內容的實用性。想要學習Linux系統的讀者可以點擊按鈕了解這本書，同時這本書也適合專業的運維人員閱讀，作為一本非常有參考價值的工具書！

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/news/454232.shtml
繁體地址，請注明出處：http://hk.pswp.cn/news/454232.shtml
英文地址，請注明出處：http://en.pswp.cn/news/454232.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

Python 第三方模塊之 NumPy - 科學計算

Python 第三方模塊之 NumPy - 科學計算

NumPy 簡介 NumPy 發展歷史 1995年 Jim HugUNin開發了Numeric。隨后，Numarray包誕生。Travis Oliphants整合Numeric和Numarray，開發Numpy，于2006年發布第一個版本。Numpy（Numeric Python）提供了許多高級的數值編程工…
閱讀更多...
keepalived與lvs結合使用配置實例

keepalived與lvs結合使用配置實例

keepalived可以實現兩大功能是：健康檢測和故障轉移 keepalived.conf的配置 1234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950global_defs {notification_email { acassenfirewall.loc failoverfirewall.loc sysadminf…
閱讀更多...
保證你現在和未來不失業的十種關鍵技術

保證你現在和未來不失業的十種關鍵技術

在當今的IT就業市場，有人歡喜有人憂。有人對目前的工作和薪水很滿意，有人目前正面臨著下崗，或者已經下崗…… 可能你是公司里唯一諳熟某項關鍵技術的高手，缺了你，公司便玩不轉了；也可能你所在的公司對你現…
閱讀更多...
python設置時間步長與時間離散格式_python怎么定義時間

python設置時間步長與時間離散格式_python怎么定義時間

Python 的 Decorator在使用上和Java/C#的Annotation很相似，就是在方法名前面加一個XXX注解來為這個方法裝飾一些東西。但是，Java/C#的Annotation也很讓人望而卻步，太TMD的復雜了，你要玩它，你需要了解一堆Annotation的類…
閱讀更多...
Python 第三方模塊之 matplotlib - 繪圖庫

Python 第三方模塊之 matplotlib - 繪圖庫

簡介 matplotlib是受MATLAB的啟發構建的。MATLAB是數據繪圖領域廣泛使用的語言和工具。MATLAB語言是面向過程的。利用函數的調用，MATLAB中可以輕松的利用一行命令來繪制直線，然后再用一系列的函數調整結果。 matplotlib有一套完全仿照MATLAB的函數形式…
閱讀更多...
python 筆記（三） 斷言（assert）

python 筆記（三） 斷言（assert）

用來調試程序的時候用，當程序有誤時，強制拋出異常轉載于:https://www.cnblogs.com/wangkeblog/p/7746022.html
閱讀更多...
網站程序員的程序員成長之路大概分幾個階段 和未來的發展

網站程序員的程序員成長之路大概分幾個階段 和未來的發展

信息技術的更新速度是驚人的，程序員的職業生涯則是一個要求不斷學習的過程，如何才能成為一名合格的程序員，一名合格的程序員需要掌握哪些技能呢？為此天天招生網采訪到幾位孳生的程序工作人員，就如何做好一名成功的程序…
閱讀更多...
微軟P2V工具之Disk2VHD

微軟P2V工具之Disk2VHD

虛擬化經過最近幾年的發展，已經有很多的應用和服務遷移到了虛擬化的平臺上了。在實施虛擬化的過程中就會涉及到將原來老舊的服務器來遷移到虛擬化平臺的運行，這就是P2V，物理機轉換為虛擬機。談到P2V大家會想到很多的工具，例如Vmwa…
閱讀更多...
生成n套數位加減乘除_leetcode 算法匯總（四）位運算

生成n套數位加減乘除_leetcode 算法匯總（四）位運算

一、 運算符& 與運算： 兩個位都是 1 時，結果才為 1，否則為 0| 或運算： 兩個位都是 0 時，結果才為 0，否則為 1^ 異或運算： 兩個位相同則為 0，不同則為 1~ 取反運算：0 …
閱讀更多...
機器學習算法之 K-means、層次聚類，譜聚類

機器學習算法之 K-means、層次聚類，譜聚類

k-means 和層次聚類都屬于劃分聚類，實際中最常用的是k-means，k-means效果不好的情況下才會采用其他聚類 K-means算法 K-means算法，也稱為K-平均或者K-均值，是一種使用廣泛的最基礎的聚類算法 假設輸入樣本為TX1,X2,…,Xm;則算法…
閱讀更多...
vue數據請求

vue數據請求

我是vue菜鳥，第一次用vue做項目，寫一些自己的理解，可能有些不正確，歡迎糾正。 vue開發環境要配置本地代理服務。把config文件加下的index.js里的dev添加一些內容， dev: {env: require(./dev.env),port: 8090,autoOpenB…
閱讀更多...
jetty部署多個web應用及將jetty配置成服務

jetty部署多個web應用及將jetty配置成服務

通常情況下一個jetty部署一個java web應用，但一臺服務只部署一個應用可能會造成資源浪費，所以有時候可能在一臺服務器上要部署多個web應用。下面我們以一臺server部署兩個web應用為例。 服務器環境：安裝JDK，2個jetyy9 重點&#x…
閱讀更多...
程序員成長的10個階段

程序員成長的10個階段

我的程序員成長之路 程序員的成長經歷往往很相似，大部分的人走過了最前面相同的一段路，而有的人則走得更遠。總結自己這些年來的歷程，這也許能讓年輕的程序員少走一些彎路，成長得更快；或許更好一些，能讓大家…
閱讀更多...
mapper注解的主要作用_Mybatis中mapper的xml解析詳解

mapper注解的主要作用_Mybatis中mapper的xml解析詳解

上一篇文章分析了mapper注解關鍵類MapperAnnotationBuilder，今天來看mapper的項目了解析關鍵類XMLMapperBuilder。基礎介紹回顧下之前是在分析configuration的初始化過程，已經進行到了最后一步mapperElement(root.evalNode("mappers"))&#x…
閱讀更多...
機器學習之梯度下降法（GD）和坐標軸下降法（CD）

機器學習之梯度下降法（GD）和坐標軸下降法（CD）

梯度下降法 梯度下降法（Gradient Descent, GD）常用于求解無約束情況下凸函數（Convex Function）的極小值，是一種迭代類型的算法，因為凸函數只有一個極值點，故求解出來的極小值點就是函數的最小值…
閱讀更多...
阿里云Https部署網站

阿里云Https部署網站

0、開始之前 文章圖片很多，注意流量 首先你得準備好一個已經備案成功的域名，并且有一個在阿里云的服務器部署了的網站。 然后就是你迫切的希望升級網站為HTTPS部署。 那么我們開始吧！ 1、申請CA證書 1.1登錄阿里云控制臺，選擇菜單…
閱讀更多...
mysql數據庫多實例部署

mysql數據庫多實例部署

本文系統：rhel5.8 ip : 192.168.100.150 數據庫版本：mysql-5.6.15 1、創建部署mysql服務賬號： 1234[rootdaf ~]# useradd -d /opt/mysql mysql [rootdaf ~]# echo "mysql" |passwd --stdin mysql Changing password for user mysq…
閱讀更多...
Python 第三方模塊之 numpy.linalg - 線性代數

Python 第三方模塊之 numpy.linalg - 線性代數

目錄 numpy.linalg.det() 行列式 numpy.linalg.solve() 方程的解 numpy.linalg.inv() 逆矩陣 np.linalg.eig 特征值和特征向量 np.linalg.svd 奇異值分解 np.linalg.pinv 廣義逆矩陣（QR分解） numpy.linalg模塊包含線性代數的函數。使用這個模塊&am…
閱讀更多...
rabbitmq direct 多個消費者_一文解析 RabbitMQ 最常用的三大模式

rabbitmq direct 多個消費者_一文解析 RabbitMQ 最常用的三大模式

Direct 模式所有發送到 Direct Exchange 的消息被轉發到 RouteKey 中指定的 Queue。Direct 模式可以使用 RabbitMQ 自帶的 Exchange: default Exchange，所以不需要將 Exchange 進行任何綁定(binding)操作。消息傳遞時，RouteKey 必須完全匹配才會被隊列接…
閱讀更多...
程序員成長最快的環境

程序員成長最快的環境

除開五大或者ThoughtWorks這種要什么有什么，進去做打字也能光耀門楣的不談。如果是嫁到一個普通軟件公司，怎樣的環境才能最快的成長呢？首先基本的 公司項目管理水平是必要的；其次是穩健而不保守的公司技術選型和一班能溝通的同事。…
閱讀更多...
最新文章

Copyright @ 2022~2023