23 SSH：安全网络操作 #

使用 ssh 可以登录到远程系统并以交互方式工作。要以用户 tux 的身份登录到主机 sun，请输入以下命令之一：

tux > ssh tux@sun
tux > ssh -l tux sun

如果两台计算机上的用户名相同，您可以省略用户名。使用 ssh sun 便已足够。远程主机会提示输入远程用户的口令。成功进行身份验证后，您便可以通过远程命令行执行操作，或使用交互式应用程序（例如文本模式的 YaST）。

此外，ssh 可让您使用 ssh HOST COMMAND 在远程系统上运行非交互式命令。需要正确地将 COMMAND 括在引号中。可以像在本地外壳中一样串联多个命令。

tux > ssh root@sun "dmesg -T | tail -n 25"
tux > ssh root@sun "cat /etc/issue && uptime"

scp 可将文件复制到远程计算机或从中复制文件。如果 jupiter 上的用户名不同于 sun 上的用户名，请使用 USER_NAME@host 格式指定后者的用户名。如果应将文件复制到其他目录而不是远程用户的主目录，请以 sun:DIRECTORY 形式指定该目录。下列示例显示了如何将文件从本地计算机复制到远程计算机，以及反向复制。

tux > scp ~/MyLetter.tex tux@sun:/tmp 1
tux > scp tux@sun:/tmp/MyLetter.tex ~ 2

提示：-l 选项

在 ssh 命令中，可以使用 -l 选项指定远程用户（替代 USER_NAME@host 格式）。在 scp 中，-l 选项用于限制 scp 所使用的带宽。

输入正确的口令后，scp 将启动数据传输。它会显示复制的每个文件的进度条和剩余时间。使用 -q 选项可以隐藏所有输出。

scp 还提供了对整个目录的递归复制功能。命令

tux > scp -r src/ sun:backup/

会将目录 src 的全部内容（包括所有子目录）复制到主机 sun 上的 ~/backup 目录中。如果此子目录不存在，系统会自动创建该子目录。

-p 选项告知 scp 不要更改文件的时戳。-C 将对传送数据进行压缩。这可以最大限度地减少要传输的数据量，但同时会增加两台计算机的处理器的负担。

要使用 SSH 客户端程序 ssh 和 scp，必须在后台运行一台服务器（SSH 守护程序）来监听 TCP/IP 端口 22 上的连接。首次启动该守护程序时将生成三个密钥对。每个密钥对由私用密钥和公共密钥组成。因此，此过程称为基于公共密钥。要保证通过 SSH 安全地通讯，必须限制只有系统管理员才能访问私钥文件。文件权限是在默认安装中相应设置的。只有在本地 SSH 守护程序才需要私钥，切勿将私钥提供给其他任何人。公钥组件（可通过扩展名 .pub 识别）将被发送到请求连接的客户端。所有用户都可以读取公钥组件。

连接请求是 SSH 客户端发出的。等待中的 SSH 守护程序将与请求方 SSH 客户端交换标识数据来比较协议和软件版本，以防止连接通过错误的端口。由于请求是由最初的 SSH 守护程序的子进程回复的，所以可以同时建立多个 SSH 连接。

对于 SSH 服务器和 SSH 客户端间的通讯，OpenSSH 支持使用版本 1 和版本 2 的 SSH 协议。默认情况下使用的是版本 2 的 SSH 协议。使用 -1 选项可以覆盖此默认设置，改为使用该协议的版本 1。

使用 SSH 版本 1 时，服务器将发送其公共主机密钥和服务器密钥，SSH 守护程序每小时就重新生成一次服务器密钥。这两个密钥都允许 SSH 客户端对自由选择的会话密钥加密（会话密钥会被发送到 SSH 服务器）。SSH 客户端还会通知服务器使用哪种加密方法（加密法）。版本 2 的 SSH 协议不需要服务器密钥。服务器端和客户端都使用基于 Diffie-Hellman 的算法来交换它们的密钥。

一定要使用私用主机密钥和服务器密钥对会话密钥解密，从公钥根本无法得出这些密钥。只有被联系的 SSH 守护程序能够使用其私用密钥解密会话密钥。使用 SSH 客户端的 -v 选项启用详细调试可以密切监测此初始连接阶段。

提示：查看 SSH 守护程序日志文件

要监测 sshd 的日志项，请使用以下命令：

tux > sudo journalctl -u sshd

23.4.1 维护 SSH 密钥 #

 

建议将储存在 /etc/ssh/ 中的私钥和公钥备份到安全的外部位置。这样就可以检测密钥修改事件，或者在安装新系统后再次使用旧密钥。

提示：现有的 SSH 主机密钥

如果在已经装有 Linux 系统的计算机上安装 SUSE Linux Enterprise Server，安装例程会自动从现有安装导入最近访问的 SSH 主机密钥。

首次与远程主机建立安全连接时，客户端会在 ~/.ssh/known_hosts 中储存所有公共主机密钥。这会防止各种中间人攻击 — 外部 SSH 服务器试图使用伪造名称和伪造 IP 地址侵入系统。如果 ~/.ssh/known_hosts 未包含某个主机密钥，或是因未能提供正确的私用密钥致使服务器无法解密会话密钥时，就可以检测到此类攻击。

如果主机的公共密钥已更改（连接到此类服务器之前需要校验此情况），可以使用 ssh-keygen -r HOSTNAME 去除造成问题的密钥。

23.4.2 轮换主机密钥 #

 

从版本 6.8 开始，OpenSSH 随附了一个支持主机密钥轮换的协议扩展。如果您仍在使用弱密钥（例如 1024 位 RSA 密钥），更换密钥会有帮助。强烈建议更换此类密钥，改用 2048 位 DSA 密钥甚至更强的密钥。然后，客户端会使用“最佳的”主机密钥。

提示：重启动 sshd

在服务器上安装新的主机密钥后，重启动 sshd。

如果用户使用 ssh 发起连接，此协议扩展可向客户端告知服务器上的所有新主机密钥。然后，客户端上的软件会更新 ~/.ssh/known_hosts，因而用户无需手动接受以前已知且可信的主机的新密钥。除了在此会话期间用于对主机进行身份验证的密钥以外，本地 known_hosts 文件还将包含远程主机的所有主机密钥。

在服务器管理员知道所有客户端已提取新密钥后，他们便可以去除旧密钥。该协议扩展还可确保从客户端的配置中去除已过时的密钥。密钥在发起 ssh 会话时去除。

有关更多信息，请参见:

• http://blog.djm.net.au/2015/02/key-rotation-in-openssh-68.html

• http://heise.de/-2540907（„Endlich neue Schlüssel für SSH-Server“，仅提供德语版）

最简单的身份验证方式是通过输入用户的口令来完成，就如同用户在本地登录一样。但记住远程计算机上多个用户的口令比较没有效率，而且这些口令将来有可能会更改。另一方面，在授予 root 访问权限时，管理员需要能够在不更改 root 口令的情况下快速撤消此类权限。

为了在不要求输入远程用户口令的情况下实现登录，SSH 将使用另一个密钥对，该密钥对需由用户生成。该密钥对由一个公共密钥（id_rsa.pub 或 id_dsa.pub）和一个私用密钥（id_rsa 或 id_dsa）组成。

要在不指定远程用户口令的情况下登录，“SSH 用户”的公共密钥必须位于 ~/.ssh/authorized_keys 中。此方法还能确保远程用户获得完全控制权：添加密钥需要远程用户的口令，去除密钥会撤消远程登录权限。

为实现最大安全性，此类密钥应受通行口令的保护，每当您使用 ssh、scp 或 sftp 时，都需要输入此通行口令。与简单身份验证相反，此通行短语独立于远程用户，因此始终保持不变。

除了上述基于密钥的身份验证以外，SSH 还提供基于主机的身份验证。借助基于主机的身份验证，可信主机上的用户可以使用相同的用户名登录到启用了此功能的另一台主机。SUSE Linux Enterprise Server 设置为使用基于密钥的身份验证，有关在 SUSE Linux Enterprise Server 上设置基于主机的身份验证的内容不在本手册的范畴内。

注意：基于主机的身份验证的文件权限

如果要使用基于主机的身份验证，/usr/lib/ssh/ssh-keysign 中应该设置 setuid 位，但这不是 SUSE Linux Enterprise Server 中的默认设置。在这种情况下，请手动设置文件权限。应使用 /etc/permissions.local 来实现此目的，确保在对 openssh进行安全更新后，能够保留 setuid 位。

tux > ~/.ssh/id_rsa.pub
ssh-copy-id -i tux@sun

tux > ~/.ssh/id_dsa.pub
ssh-copy-id -i ~/.ssh/id_dsa.pub  tux@sun

tux > ~notme/.ssh/id_rsa.pub
ssh-copy-id -i ~notme/.ssh/id_rsa.pub  tux@sun

tux > ssh-agent -s /bin/bash
eval $(ssh-agent)

ssh 还可用于重定向 TCP/IP 连接。此功能也称为 SSH 隧道，它通过加密的通道将定向到特定端口的 TCP 连接重定向到另一台计算机。

使用以下命令可将定向到 jupiter 端口 25 (SMTP) 的所有连接重定向到 sun 上的 SMTP 端口。如果用户所用的 SMTP 服务器不具备 SMTP-AUTH 或 POP-before-SMTP 功能，此命令特别有用。从与网络相连的任意位置都可以将电子邮件传送到“家庭”邮件服务器进行递送。

root # ssh -L 25:sun:25 jupiter

同样，使用以下命令可将 jupiter 上的所有 POP3 请求（端口 110）转发到 sun 的 POP3 端口：

root # ssh -L 110:sun:110 jupiter

必须以 root 身份执行这两个命令，因为连接指向有特权的本地端口。普通用户通过现有 SSH 连接发送和检索电子邮件。为此，必须将 SMTP 和 POP3 主机设置为 localhost。上述每个程序的手册页以及 /usr/share/doc/packages/openssh 下的 OpenSSH 软件包文档中提供了更多信息。

在某些环境中，通过 SSH 登录会比较方便或者有此必要。在此情况下，用户需要提供 SSH 公共密钥。要添加或去除 SSH 密钥，请执行以下操作：

SSH 公共密钥保存在 ~/.ssh/authorized_keys 中。