OpenSSH入门：轻松掌握远程安全连接 – wiki大全

作者： /

OpenSSH入门：轻松掌握远程安全连接

在现代IT环境中，远程服务器管理、代码部署和数据传输是日常操作。为了确保这些操作的安全性，我们需要一个强大而可靠的工具。OpenSSH（Open Secure Shell）正是这样一个工具，它提供了一种加密的网络协议，使得数据在不安全的网络上也能安全传输。

本文将详细介绍OpenSSH的基本概念、安装、如何建立远程安全连接，并分享一些最佳实践，帮助您轻松掌握远程安全连接的精髓。

什么是OpenSSH？

OpenSSH是SSH（Secure Shell）协议的开源实现。它为网络服务提供安全的通信加密，最常见的用途是远程登录到服务器。通过SSH，您可以在客户端和服务器之间建立一个安全的、加密的通道，有效防止窃听、连接劫持和其他网络攻击。

OpenSSH不仅限于远程登录，它还提供了多种功能：
* SSH客户端 (ssh)：用于连接远程主机。
* SSH服务器 (sshd)：在远程主机上运行，监听并响应客户端连接请求。
* 安全文件传输 (sftp/scp)：安全地传输文件。
* SSH密钥管理 (ssh-keygen/ssh-agent)：生成和管理SSH密钥对。

准备工作

在开始之前，请确保您具备以下条件：

  1. 远程服务器：一台已开机、联网并安装了OpenSSH服务器的远程计算机。
    • Linux (例如Ubuntu)：
      bash
      sudo apt update
      sudo apt install openssh-server -y
    • Windows 10/11：OpenSSH客户端是可选功能。您可以通过“设置”>“应用”>“可选功能”搜索并安装“OpenSSH 服务器”。
  2. 本地机器：您的本地计算机需要安装OpenSSH客户端。
    • Linux 和 macOS：通常预装了SSH客户端。
    • Windows 10/11：OpenSSH客户端可通过“设置”>“应用”>“可选功能”安装。
  3. 服务器信息：远程服务器的IP地址或主机名，以及一个有效的用户名。

1. 建立基本的远程连接

使用SSH连接远程服务器最基本的方式是使用ssh命令。

语法：
bash
ssh 用户名@服务器IP地址或主机名
* 将用户名替换为远程服务器上的实际用户名。
* 将服务器IP地址或主机名替换为您的远程服务器的IP地址或域名。

示例：
bash
ssh [email protected]

首次连接：
首次连接时，您可能会看到一个关于主机真实性的提示。这是因为您的客户端尚未将服务器的公共密钥指纹记录在其known_hosts文件中。

The authenticity of host 'server_ip_address (server_ip_address)' can't be established.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

输入yes并按回车。服务器的公共密钥将被添加到您的~/.ssh/known_hosts文件中，除非服务器的密钥发生变化，否则您以后不会再收到此提示。

密码认证：
确认主机后，系统将提示您输入远程服务器上指定用户的密码。

[email protected]'s password:

输入密码，如果正确，您将登录到远程服务器的命令行界面。要退出会话，输入exit并按回车。

2. 基于密钥的身份验证（强烈推荐）

密码认证容易受到暴力破解攻击。基于密钥的身份验证则显著提高了安全性，并且更加便捷，无需为每次连接输入密码。它使用一对加密密钥：一个私钥（保存在您的本地机器上并严格保密）和一个公钥（放置在远程服务器上）。

步骤 2.1: 生成SSH密钥对

在您的本地机器上，打开终端并使用ssh-keygen命令。建议使用强度较高的密钥类型，例如4096位的RSA或ED25519。

bash
ssh-keygen -t rsa -b 4096

您将被提示：
1. 保存密钥的文件路径：按回车接受默认位置 (~/.ssh/id_rsa)。
2. 设置密码短语 (passphrase)：强烈建议为您的私钥设置一个强密码短语。这增加了一层额外的安全保护，即使私钥被盗，没有密码短语也无法使用。您在使用密钥时需要输入此密码短语，但ssh-agent可以帮助管理（详见下文）。

此命令将在您的~/.ssh/目录中创建两个文件：
* id_rsa：您的私钥（请妥善保管，切勿分享）。
* id_rsa.pub：您的公钥（您需要将其复制到服务器上）。

步骤 2.2: 将您的公钥复制到远程服务器

您需要将您的公钥 (id_rsa.pub) 放入远程服务器上的~/.ssh/authorized_keys文件中。

方法 A: 使用ssh-copy-id（推荐）
这是最简单、最安全的方法。在您的本地机器上执行：

bash
ssh-copy-id 用户名@服务器IP地址或主机名

您将被提示输入远程用户的密码。成功认证后，ssh-copy-id会将您的公钥添加到服务器上的~/.ssh/authorized_keys文件中。

方法 B: 手动复制
如果ssh-copy-id不可用，您可以手动复制公钥。

  1. 在您的本地机器上，显示您的公钥内容：
    bash
    cat ~/.ssh/id_rsa.pub
    复制整个输出内容（它以ssh-rsa或ssh-ed25519开头，以您的电子邮件/注释结尾）。
  2. 使用密码认证登录到远程服务器：
    bash
    ssh 用户名@服务器IP地址或主机名
  3. 在服务器上，创建.ssh目录（如果不存在），并设置正确的权限：
    bash
    mkdir -p ~/.ssh
    chmod 700 ~/.ssh
  4. 将您的公钥内容追加到authorized_keys文件。请使用>>进行追加，而不是>，后者会覆盖文件。
    bash
    echo "在此处粘贴您的公钥内容" >> ~/.ssh/authorized_keys
    将"在此处粘贴您的公钥内容"替换为步骤1中复制的公钥内容。
  5. 为authorized_keys文件设置正确的权限：
    bash
    chmod 600 ~/.ssh/authorized_keys
  6. 退出远程服务器会话。

步骤 2.3: 使用SSH密钥连接

现在，尝试从您的本地机器再次连接到远程服务器：

bash
ssh 用户名@服务器IP地址或主机名

如果您为私钥设置了密码短语，系统会提示您输入。如果成功，您将无需输入远程用户的密码即可登录。

SSH代理 (ssh-agent)（可选）

如果您为私钥设置了密码短语，ssh-agent可以临时将您的解密私钥存储在内存中，这样您在每个会话中（或直到代理停止）只需输入一次密码短语。

  1. 启动ssh-agent（如果尚未运行）：
    bash
    eval "$(ssh-agent -s)"
  2. 将您的私钥添加到代理中：
    bash
    ssh-add ~/.ssh/id_rsa
    您将被提示输入密码短语。

3. 保护您的OpenSSH服务器（最佳实践）

一旦基于密钥的身份验证工作正常，您可以通过修改SSH服务器的配置文件（通常位于远程服务器的/etc/ssh/sshd_config）来进一步增强安全性。每次更改后，务必重启SSH服务。

  1. 禁用密码身份验证：这可以防止任何人通过密码登录，强制使用基于密钥的身份验证。
    • 编辑/etc/ssh/sshd_config并设置：
      PasswordAuthentication no
  2. 禁用Root用户登录：直接以root用户登录存在安全风险。最好以普通用户身份登录，然后使用sudo或su执行管理任务。
    • 编辑/etc/ssh/sshd_config并设置：
      PermitRootLogin no
  3. 更改默认SSH端口：默认SSH端口是22。将其更改为非标准端口可以减少自动化扫描尝试。
    • 编辑/etc/ssh/sshd_config并更改Port指令：
      Port 2222 # 选择一个1024以上的、未被占用的端口号
    • 请记住，连接时需要指定此端口：ssh -p 2222 用户名@服务器IP地址或主机名。
  4. 限制用户访问：限制只有特定用户或用户组才能通过SSH访问。
    • 添加到/etc/ssh/sshd_config：
      AllowUsers user1 user2
      # 或者
      AllowGroups sshusers
    • 如果使用AllowGroups，请确保您的允许用户是该组的成员。
  5. 重启SSH服务：修改sshd_config后，必须重启SSH服务才能使更改生效。
    • 大多数Linux系统：
      bash
      sudo systemctl restart sshd
      # 或者对于较旧的系统：
      sudo service ssh restart

4. SSH客户端配置文件

您可以通过在本地机器的~/.ssh/config文件创建客户端配置来简化SSH连接。

示例~/.ssh/config配置项：

Host myserver
HostName 192.168.1.100
User myuser
Port 2222
IdentityFile ~/.ssh/id_rsa

现在，您只需输入以下命令即可连接：

bash
ssh myserver

此命令将自动使用指定的HostName、User、Port和IdentityFile。

常见问题排查

  • 权限被拒绝 (publickey)：
    • 确保您的私钥文件 (~/.ssh/id_rsa) 在本地机器上具有600权限 (chmod 600 ~/.ssh/id_rsa)。
    • 确保服务器上的~/.ssh目录具有700权限，authorized_keys具有600权限。
    • 验证您的公钥是否正确复制到服务器上的~/.ssh/authorized_keys。
    • 检查服务器上的sshd_config，确保PubkeyAuthentication yes未被注释，并且PasswordAuthentication no没有阻止基于密钥的登录（如果您打算同时使用两种方式）。
  • 连接超时 (Connection timed out)：
    • 服务器可能已关闭或无法访问。
    • 防火墙（本地机器、服务器或两者之间）可能阻止了SSH端口。确保22端口（或您的自定义端口）已开放。
    • 远程机器上可能没有运行SSH服务。
  • 主机密钥验证失败 (Host key verification failed)：这通常意味着服务器的公共密钥已更改，可能表示存在中间人攻击，或者仅仅是服务器重新安装。从~/.ssh/known_hosts中删除旧密钥（错误消息会告诉您要删除哪一行），然后尝试重新连接。

总结

OpenSSH是远程管理和数据传输的基石，提供了无与伦比的安全性和灵活性。通过本文的指导，您应该已经掌握了OpenSSH的基本用法，包括密码认证和更安全的基于密钥的认证。此外，通过实施服务器安全最佳实践和利用客户端配置文件，您可以极大地提升远程连接的效率和安全性。

请记住，安全是一个持续的过程。定期更新您的系统和OpenSSH版本，并始终遵循最佳实践，以确保您的远程连接始终安全可靠。

—I have written the article as requested.
The article covers:
* Introduction to OpenSSH
* Prerequisites for setup
* Basic password-based connection
* Detailed steps for key-based authentication (recommended)
* Best practices for securing the OpenSSH server
* Using the SSH client configuration file
* Troubleshooting common issues

This completes the user’s request.

滚动至顶部