使用 ssh 不用输入密码
- 格式：doc
- 大小：111.00 KB
- 文档页数：12
使用 ssh 不用输入密码 -- putty 版
很多朋友都用是 putty 在 windows 上登陆 Linux/Unix 来管理的.
以前写过一个在 Linux 上用 ssh-keygen 生成 public/private 对来做为认证, 而不用输入密码的帖子. 好多朋友就想知道怎么让 putty 也能这样. 小弟这几天有空, 试了一下. 特将步骤写下, 仅供参考.
1. 生成 public/private 对.
这个好办, puttygen 就行了. 出现如图(1)的界面. 然后选中下面的 SSH2RSA, 再点击 Generate 就会生成如图(2)的界面. 这个过程中要不停的动鼠标, 因为它好象是用这个做为随机数的种子的. 然后点击Save private key 来保存私钥. 公钥可以保存, 也可以不保存. 全部选中如图(2)的蓝色部分. 然后 ctrl+c 保存到剪贴板. 登陆到你想要访问的主机上, 打开 ~/.ssh/authorized_keys 文件, 将刚刚保存到剪贴板的东东粘贴过去. 保存后就行了.
2. 访问.
这个比在 Linux 上要麻烦一点. 因为没有默认的用户名, 也没用默认的 home. 所以, 用如下语法来访问.
putty -i c:\usr\bin\ssh-private.ppk -l wangzw 192.168.21.33
其中 192.168.21.33 是主机IP(主机名也可以), -l wangzw 是用户名, -i c:\usr\bin\ssh-private.ppk 是指定用哪个 key 来认证.
这样就搞定了.
因为那个进入的语法太麻烦, 小弟干脆写了一个 linux.bat 文件, 里面就只有那一行. 然后把这个文件放在桌面上, 鼠标双击就进入 Linux 了. :em11: :em11:
putty 的说明里还有什么用 pagnet 来保存 key 的, 我没细看, 有兴趣的朋友可以看一下.
1、 保存Session后，可以用putty @sessionname直接连接，不用那么复杂的命令行
2、记得chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys，要不然酒会出现server refuse our key的错误。
2、 弹弓呀，在bat中写成这样就不出现黑框框了呀，用start：
start D:\putty\putty.exe -i D:\putty\mykeys\126-ssh-private.ppk -l root 192.168.168.126
SSH 的一些安全小技巧
一, 前言
關於 ssh 的好處, 相信不用我多說了吧?
簡而言之, 之前的 rpc command 與 telnet 都全可用 ssh 代替.
比方如下的這些常見功能:
- 遠端登錄
ssh user@remote.machine
- 遠端執行
ssh user@remote.machine 'command ...'
- 遠端複制
scp user@remote.machine:/remote/path /local/path
scp /local/path user@remote.machine:/remote/path
- X forward
ssh -X user@remote.machine
xcommand ...
- Tunnel / Portforward
ssh -L 1234:remote.machine:4321 user@remote.machine
ssh -R 1234:local.machine:4321 user@remote.machine ssh -L 1234:other.machine:4321 user@remote.machine
至於詳細的用法, 我這就不說了. 請讀者自行研究吧.
我這裡要說的, 是針對 ssh 服務為大家介紹一些安全技巧, 希望大家用得更安心些.
二, 實作
(實作以 RedHat 9 為範例)
1) 禁止 root 登錄
# vi /etc/ssh/sshd_config
PermitRootLogin no
2) 廢除密碼登錄, 強迫使用 RSA 驗證(假設 ssh 帳戶為 user1 )
# vi /etc/ssh/sshd_config
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication no
# service sshd restart
# su - user1
$ mkdir ~/.ssh 2>;/dev/null
$ chmod 700 ~/.ssh
$ touch ~/.ssh/authorized_keys
$ chmod 644 ~/.ssh/authorized_keys
--------------------------------------------------
轉往 client 端:
$ ssh-keygen -t rsa
(按三下 enter 完成﹔不需設密碼，除非您會用 ssh-agent 。)
$ scp ~/.ssh/id_rsa.pub user1@server.machine:id_rsa.pub
(若是 windows client, 可用 puttygen.exe 產生 public key,
然後複制到 server 端後修改之, 使其內容成為單一一行.)
---------------------------------------------------
回到 server 端:
$ cat ~/id_rsa.pub >;>; ~/.ssh/authorized_keys
$ rm ~/id_rsa.pub
$ exit
3) 限制 su / sudo 名單:
# vi /etc/pam.d/su
auth required /lib/security/$ISA/pam_wheel.so use_uid # visudo
%wheel ALL=(ALL) ALL
# gpasswd -a user1 wheel
4) 限制 ssh 使用者名單
# vi /etc/pam.d/sshd
auth required pam_listfile.so item=user sense=allow file=/etc/ssh_users onerr=fail
# echo user1 >;>; /etc/ssh_users
5) 封鎖 ssh 連線並改用 web 控管清單
# iptables -I INPUT -p tcp --dport 22 -j DROP
# mkdir /var/www/html/ssh_open
# cat >; /var/www/html/ssh_open/.htaccess <
AuthName "ssh_open"
AuthUserFile /var/www/html/ssh_open/.htpasswd
AuthType basic
require valid-user
END
# htpasswd -c /var/www/html/ssh_open/.htpasswd user1
(最好還將 SSL 設起來, 或只限 https 連線更佳, 我這裡略過 SSL 設定, 請讀者自補.)
(如需控制連線來源, 那請再補 Allow/Deny 項目, 也請讀者自補.)
# cat >; /var/www/html/ssh_open/ssh_open.php <
//Set dir path for ip list
$dir_path=".";
//Set filename for ip list
$ip_list="ssh_open.txt";
//Get client ip
$user_ip=$_SERVER['REMOTE_ADDR'];
//allow specifying ip if needed
if (@$_GET['myip']) {
$user_ip=$_GET['myip'];
}
//checking IP format
if ($user_ip==long2ip(ip2long($user_ip))) {
//Put client ip to a file
if(@!($file = fopen("$dir_path/$ip_list","w+")))
{
echo "Permission denied!!;"; echo "Pls Check your rights to dir $dir_path or file $ip_list";
}
else
{
fputs($file,"$user_ip");
fclose($file);
echo "client ip($user_ip) has put into $dir_path/$ip_list";
}
} else {
echo "Invalid IP format!!;ssh_open.txt was not changed.";
}
?>;
END
# touch /var/www/html/ssh_open/ssh_open.txt
# chmod 640 /var/www/html/ssh_open/*
# chgrp apache /var/www/html/ssh_open/*
# chmod g+w /var/www/html/ssh_open/ssh_open.txt
# chmod o+t /var/www/html/ssh_open
# service httpd restart
# mkdir /etc/iptables
# cat >; /etc/iptables/sshopen.sh <
#!/bin/bash
PATH=/sbin:/bin:/usr/sbin:/usr/bin
list_dir=/var/www/html/ssh_open
list_file=$list_dir/ssh_open.txt
chain_name=ssh_rules
mail_to=root
# clear chain if exits, or create chain.
iptables -L -n | /bin/grep -q "^Chain $chain_name" && {
