歡迎光臨
每天分享高質量文章

如何在 Linux 中配置基於金鑰認證的 SSH | Linux 中國

在基於金鑰認證中,為了透過 SSH 通訊,你需要生成 SSH 金鑰對,並且為遠端系統上傳 SSH 公鑰。
— Sk


致謝
編譯自 | 
https://www.ostechnix.com/configure-ssh-key-based-authentication-linux/
 
 作者 | Sk
 譯者 | LuMing (LuuMing) ??共計翻譯:4.0 篇 貢獻時間:45 天

什麼是基於 SSH 金鑰的認證?

眾所周知,Secure Shell,又稱 SSH,是允許你透過無安全網路(例如 Internet)和遠端系統之間安全訪問/通訊的加密網路協議。無論何時使用 SSH 在無安全網路上傳送資料,它都會在源系統上自動地被加密,並且在目的系統上解密。SSH 提供了四種加密方式,基於密碼認證基於金鑰認證基於主機認證鍵盤認證。最常用的認證方式是基於密碼認證和基於金鑰認證。

在基於密碼認證中,你需要的僅僅是遠端系統上使用者的密碼。如果你知道遠端使用者的密碼,你可以使用 ssh user@remote-system-name 訪問各自的系統。另一方面,在基於金鑰認證中,為了透過 SSH 通訊,你需要生成 SSH 金鑰對,並且為遠端系統上傳 SSH 公鑰。每個 SSH 金鑰對由私鑰與公鑰組成。私鑰應該儲存在客戶系統上,公鑰應該上傳給遠端系統。你不應該將私鑰透露給任何人。希望你已經對 SSH 和它的認證方式有了基本的概念。

這篇教程,我們將討論如何在 Linux 上配置基於金鑰認證的 SSH。

在 Linux 上配置基於金鑰認證的 SSH

為方便演示,我將使用 Arch Linux 為本地系統,Ubuntu 18.04 LTS 為遠端系統。

本地系統詳情:

◈ OS: Arch Linux Desktop
◈ IP address: 192.168.225.37/24

遠端系統詳情:

◈ OS: Ubuntu 18.04 LTS Server
◈ IP address: 192.168.225.22/24

本地系統配置

就像我之前所說,在基於金鑰認證的方法中,想要透過 SSH 訪問遠端系統,需要將公鑰上傳到遠端系統。公鑰通常會被儲存在遠端系統的一個 ~/.ssh/authorized_keys 檔案中。

註意事項:不要使用 root 使用者生成金鑰對,這樣只有 root 使用者才可以使用。使用普通使用者建立金鑰對。

現在,讓我們在本地系統上建立一個 SSH 金鑰對。只需要在客戶端系統上執行下麵的命令。

  1. $ ssh-keygen

上面的命令將會建立一個 2048 位的 RSA 金鑰對。你需要輸入兩次密碼。更重要的是,記住你的密碼。後面將會用到它。

樣例輸出

  1. Generating public/private rsa key pair.

  2. Enter file in which to save the key (/home/sk/.ssh/id_rsa):

  3. Enter passphrase (empty for no passphrase):

  4. Enter same passphrase again:

  5. Your identification has been saved in /home/sk/.ssh/id_rsa.

  6. Your public key has been saved in /home/sk/.ssh/id_rsa.pub.

  7. The key fingerprint is:

  8. SHA256:wYOgvdkBgMFydTMCUI3qZaUxvjs+p2287Tn4uaZ5KyE [email protected]

  9. The key's randomart image is:

  10. +---[RSA 2048]----+

  11. |+=+*= + |

  12. |o.o=.* = |

  13. |.oo * o + |

  14. |. = + . o |

  15. |. o + . S |

  16. | . E . |

  17. | + o |

  18. | +.*o+o |

  19. | .o*=OO+ |

  20. +----[SHA256]-----+

如果你已經建立了金鑰對,你將看到以下資訊。輸入 y 就會改寫已存在的金鑰。

  1. /home/username/.ssh/id_rsa already exists.

  2. Overwrite (y/n)?

請註意密碼是可選的。如果你輸入了密碼,那麼每次透過 SSH 訪問遠端系統時都要求輸入密碼,除非你使用了 SSH 代理儲存了密碼。如果你不想要密碼(雖然不安全),簡單地敲兩次回車。不過,我建議你使用密碼。從安全的角度來看,使用無密碼的 ssh 金鑰對不是什麼好主意。這種方式應該限定在特殊的情況下使用,例如,沒有使用者介入的服務訪問遠端系統。(例如,用 rsync遠端備份……)

如果你已經在個人檔案 ~/.ssh/id_rsa 中有了無密碼的金鑰,但想要更新為帶密碼的金鑰。使用下麵的命令:

  1. $ ssh-keygen -p -f ~/.ssh/id_rsa

樣例輸出

  1. Enter new passphrase (empty for no passphrase):

  2. Enter same passphrase again:

  3. Your identification has been saved with the new passphrase.

現在,我們已經在本地系統上建立了金鑰對。接下來,使用下麵的命令將 SSH 公鑰複製到你的遠端 SSH 服務端上。

  1. $ ssh-copy-id sk@192.168.225.22

在這裡,我把本地(Arch Linux)系統上的公鑰複製到了遠端系統(Ubuntu 18.04 LTS)上。從技術上講,上面的命令會把本地系統 ~/.ssh/id_rsa.pub 檔案中的內容複製到遠端系統 ~/.ssh/authorized_keys 中。明白了嗎?非常棒。

輸入 yes 來繼續連線你的遠端 SSH 服務端。接著,輸入遠端系統使用者 sk 的密碼。

  1. /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed

  2. /usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys

  3. sk@192.168.225.22's password:

  4. Number of key(s) added: 1

  5. Now try logging into the machine, with: "ssh 'sk@192.168.225.22'"

  6. and check to make sure that only the key(s) you wanted were added.

如果你已經複製了金鑰,但想要替換為新的密碼,使用 -f 選項改寫已有的金鑰。

  1. $ ssh-copy-id -f sk@192.168.225.22

我們現在已經成功地將本地系統的 SSH 公鑰新增進了遠端系統。現在,讓我們在遠端系統上完全禁用掉基於密碼認證的方式。因為我們已經配置了金鑰認證,因此不再需要密碼認證了。

在遠端系統上禁用基於密碼認證的 SSH

你需要在 root 使用者或者 sudo 執行下麵的命令。

禁用基於密碼的認證,你需要在遠端系統的終端裡編輯 /etc/ssh/sshd_config 配置檔案:

  1. $ sudo vi /etc/ssh/sshd_config

找到下麵這一行,去掉註釋然後將值設為 no

  1. PasswordAuthentication no

重啟 ssh 服務讓它生效。

  1. $ sudo systemctl restart sshd

從本地系統訪問遠端系統

在本地系統上使用命令 SSH 你的遠端服務端:

  1. $ ssh sk@192.168.225.22

輸入密碼。

樣例輸出

  1. Enter passphrase for key '/home/sk/.ssh/id_rsa':

  2. Last login: Mon Jul 9 09:59:51 2018 from 192.168.225.37

  3. sk@ubuntuserver:~$

現在,你就能 SSH 你的遠端系統了。如你所見,我們已經使用之前 ssh-keygen 建立的密碼登入進了遠端系統的賬戶,而不是使用當前賬戶實際的密碼。

如果你試圖從其它客戶端系統 ssh(遠端系統),你將會得到這條錯誤資訊。比如,我試圖透過命令從 CentOS SSH 訪問 Ubuntu 系統:

樣例輸出

  1. The authenticity of host '192.168.225.22 (192.168.225.22)' can't be established.

  2. ECDSA key fingerprint is 67:fc:69:b7:d4:4d:fd:6e:38:44:a8:2f:08:ed:f4:21.

  3. Are you sure you want to continue connecting (yes/no)? yes

  4. Warning: Permanently added '192.168.225.22' (ECDSA) to the list of known hosts.

  5. Permission denied (publickey).

如你所見,除了 CentOS(LCTT 譯註:根據上文,這裡應該是 Arch)系統外,我不能透過其它任何系統 SSH 訪問我的遠端系統 Ubuntu 18.04。

為 SSH 服務端新增更多客戶端系統的金鑰

這點非常重要。就像我說過的那樣,除非你配置過(在之前的例子中,是 Ubuntu),否則你不能透過 SSH 訪問到遠端系統。如果我希望給更多客戶端予以許可權去訪問遠端 SSH 服務端,我應該怎麼做?很簡單。你需要在所有的客戶端系統上生成 SSH 金鑰對並且手動複製 ssh 公鑰到想要透過 ssh 訪問的遠端服務端上。

在客戶端系統上建立 SSH 金鑰對,執行:

  1. $ ssh-keygen

輸入兩次密碼。現在,ssh 金鑰對已經生成了。你需要手動把公鑰(不是私鑰)複製到遠端服務端上。

使用以下命令檢視公鑰:

  1. $ cat ~/.ssh/id_rsa.pub

應該會輸出類似下麵的資訊:

  1. ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCt3a9tIeK5rPx9p74/KjEVXa6/OODyRp0QLS/sLp8W6iTxFL+UgALZlupVNgFjvRR5luJ9dLHWwc+d4umavAWz708e6Na9ftEPQtC28rTFsHwmyLKvLkzcGkC5+A0NdbiDZLaK3K3wgq1jzYYKT5k+IaNS6vtrx5LDObcPNPEBDt4vTixQ7GZHrDUUk5586IKeFfwMCWguHveTN7ykmo2EyL2rV7TmYq+eY2ZqqcsoK0fzXMK7iifGXVmuqTkAmZLGZK8a3bPb6VZd7KFum3Ezbu4BXZGp7FVhnOMgau2kYeOH/ItKPzpCAn+dg3NAAziCCxnII9b4nSSGz3mMY4Y7 ostechnix@centosserver

複製所有內容(透過 USB 驅動器或者其它任何介質),然後去你的遠端服務端的終端,像下麵那樣,在 $HOME 下建立檔案夾叫做 .ssh。你需要以 root 身份執行命令(註:不一定需要 root)。

  1. $ mkdir -p ~/.ssh

現在,將前幾步建立的客戶端系統的公鑰新增進檔案中。

  1. echo {Your_public_key_contents_here} >> ~/.ssh/authorized_keys

在遠端系統上重啟 ssh 服務。現在,你可以在新的客戶端上 SSH 遠端服務端了。

如果覺得手動新增 ssh 公鑰有些困難,在遠端系統上暫時性啟用密碼認證,使用 ssh-copy-id 命令從本地系統上複製金鑰,最後禁用密碼認證。

推薦閱讀:

◈ SSLH – Share A Same Port For HTTPS And SSH[1]
◈ ScanSSH – Fast SSH Server And Open Proxy Scanner[2]

好了,到此為止。基於金鑰認證的 SSH 提供了一層防止暴力破解的額外保護。如你所見,配置金鑰認證一點也不困難。這是一個非常好的方法讓你的 Linux 服務端安全可靠。

不久我會帶來另一篇有用的文章。請繼續關註 OSTechNix。

乾杯!


via: https://www.ostechnix.com/configure-ssh-key-based-authentication-linux/

作者:SK[4] 選題:lujun9972 譯者:LuuMing 校對:pityonline

本文由 LCTT 原創編譯,Linux中國 榮譽推出

贊(0)

分享創造快樂

© 2024 知識星球   網站地圖