如何在 Linux 中配置基於密鑰認證的 SSH

Linux愛好者2018-10-06 17:10:51

(點擊上方公眾號,可快速關注)


英文:SK,翻譯:Linux中國/LuMing

linux.cn/article-10086-1.html


什麼是基於 SSH 密鑰的認證?


眾所周知,Secure Shell,又稱 SSH,是允許你通過無安全網絡(例如 Internet)和遠程系統之間安全訪問/通信的加密網絡協議。無論何時使用 SSH 在無安全網絡上發送數據,它都會在源系統上自動地被加密,並且在目的系統上解密。SSH 提供了四種加密方式,基於密碼認證,基於密鑰認證,基於主機認證和鍵盤認證。最常用的認證方式是基於密碼認證和基於密鑰認證。


在基於密碼認證中,你需要的僅僅是遠程系統上用戶的密碼。如果你知道遠程用戶的密碼,你可以使用 ssh user@remote-system-name 訪問各自的系統。另一方面,在基於密鑰認證中,為了通過 SSH 通信,你需要生成 SSH 密鑰對,並且為遠程系統上傳 SSH 。每個 SSH 密鑰對由私鑰與公鑰組成。私鑰應該保存在客戶系統上,公鑰應該上傳給遠程系統。你不應該將私鑰透露給任何人。希望你已經對 SSH 和它的認證方式有了基本的概念。


這篇教程,我們將討論如何在 Linux 上配置基於密鑰認證的 SSH。


在 Linux 上配置基於密鑰認證的 SSH


為方便演示,我將使用 Arch Linux 為本地系統,Ubuntu 18.04 LTS 為遠程系統。


本地系統詳情:


  • OS: Arch Linux Desktop

  • IP address: 192.168.225.37/24


遠程系統詳情:


  • OS: Ubuntu 18.04 LTS Server

  • IP address: 192.168.225.22/24


本地系統配置


就像我之前所說,在基於密鑰認證的方法中,想要通過 SSH ,需要將公鑰上傳到遠程系統。公鑰通常會被保存在遠程系統的一個 ~/.ssh/authorized_keys 文件中。


注意事項:不要使用 root 用戶生成密鑰對,這樣只有 root 用戶才可以使用。使用普通用戶創建密鑰對。


現在,讓我們在本地系統上創建一個 SSH 密鑰對。只需要在上運行下面的命令。


$ ssh-keygen


上面的命令將會創建一個 2048 位的 RSA 密鑰對。你需要輸入兩次密碼。更重要的是,記住你的密碼。後面將會用到它。


樣例輸出:



如果你已經創建了密鑰對,你將看到以下信息。輸入 y 就會覆蓋已存在的密鑰。


/home/username/.ssh/id_rsa already exists.

Overwrite (y/n)?


請注意密碼是可選的。如果你輸入了密碼,那麼每次通過 SSH 訪問遠程系統時都要求輸入密碼,除非你使用了 SSH 代理保存了密碼。如果你不想要密碼(雖然不安全),簡單地敲兩次回車。不過,我建議你使用密碼。從安全的角度來看,使用無密碼的 ssh 密鑰對不是什麼好主意。這種方式應該限定在特殊的情況下使用,例如,沒有用戶介入的服務訪問遠程系統。(例如,用 rsync 遠程備份……)


如果你已經在個人文件 ~/.ssh/id_rsa 中有了無密碼的密鑰,但想要更新為帶密碼的密鑰。使用下面的命令:


$ ssh-keygen -p -f ~/.ssh/id_rsa


樣例輸出:


Enter new passphrase (empty for no passphrase):

Enter same passphrase again:

Your identification has been saved with the new passphrase.


現在,我們已經在本地系統上創建了密鑰對。接下來,使用下面的命令將 SSH 公鑰拷貝到你的遠程 SSH 服務端上。


$ ssh-copy-id sk@192.168.225.22


在這裡,我把本地(Arch Linux)系統上的公鑰拷貝到了遠程系統(Ubuntu 18.04 LTS)上。從技術上講,上面的命令會把本地系統 ~/.ssh/id_rsa.pub 文件中的內容拷貝到遠程系統 ~/.ssh/authorized_keys 中。明白了嗎?非常棒。


輸入 yes 來繼續連接你的遠程 SSH 服務端。接著,輸入遠程系統用戶 sk 的密碼。



如果你已經拷貝了密鑰,但想要替換為新的密碼,使用 -f 選項覆蓋已有的密鑰。


$ ssh-copy-id -f sk@192.168.225.22


我們現在已經成功地將本地系統的 SSH 公鑰添加進了遠程系統。現在,讓我們在遠程系統上完全禁用掉基於密碼認證的方式。因為我們已經配置了密鑰認證,因此不再需要密碼認證了。


在遠程系統上禁用基於密碼認證的 SSH


你需要在 root 用戶或者 sudo 執行下面的命令。


禁用基於密碼的認證,你需要在遠程系統的終端裡編輯 /etc/ssh/sshd_config 配置文件:


$ sudo vi /etc/ssh/sshd_config


找到下面這一行,去掉註釋然後將值設為 no:


PasswordAuthentication no


重啟 ssh 服務讓它生效。


$ sudo systemctl restart sshd


從本地系統訪問遠程系統


在本地系統上使用命令 SSH 你的遠程服務端:


$ ssh sk@192.168.225.22


輸入密碼。


樣例輸出:



現在,你就能 SSH 你的遠程系統了。如你所見,我們已經使用之前 ssh-keygen 創建的密碼登錄進了遠程系統的賬戶,而不是使用當前賬戶實際的密碼。


如果你試圖從其它客戶端系統 ssh(遠程系統),你將會得到這條錯誤信息。比如,我試圖通過命令從 CentOS SSH 訪問 Ubuntu 系統:


樣例輸出:



如你所見,除了 CentOS(LCTT 譯註:根據上文,這裡應該是 Arch)系統外,我不能通過其它任何系統 SSH 訪問我的遠程系統 Ubuntu 18.04。


為 SSH 服務端添加更多客戶端系統的密鑰


這點非常重要。就像我說過的那樣,除非你配置過(在之前的例子中,是 Ubuntu),否則你不能通過 SSH 訪問到遠程系統。如果我希望給更多客戶端予以權限去訪問遠程 SSH 服務端,我應該怎麼做?很簡單。你需要在所有的客戶端系統上生成 SSH 密鑰對並且手動拷貝 ssh 公鑰到想要通過 ssh 訪問的遠程服務端上。


在客戶端系統上創建 SSH 密鑰對,運行:


$ ssh-keygen


輸入兩次密碼。現在,ssh 密鑰對已經生成了。你需要手動把公鑰(不是私鑰)拷貝到遠程服務端上。


使用以下命令查看公鑰:


$ cat ~/.ssh/id_rsa.pub


應該會輸出類似下面的信息:


ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCt3a9tIeK5rPx9p74/KjEVXa6/OODyRp0QLS/sLp8W6iTxFL+UgALZlupVNgFjvRR5luJ9dLHWwc+d4umavAWz708e6Na9ftEPQtC28rTFsHwmyLKvLkzcGkC5+A0NdbiDZLaK3K3wgq1jzYYKT5k+IaNS6vtrx5LDObcPNPEBDt4vTixQ7GZHrDUUk5586IKeFfwMCWguHveTN7ykmo2EyL2rV7TmYq+eY2ZqqcsoK0fzXMK7iifGXVmuqTkAmZLGZK8a3bPb6VZd7KFum3Ezbu4BXZGp7FVhnOMgau2kYeOH/ItKPzpCAn+dg3NAAziCCxnII9b4nSSGz3mMY4Y7 ostechnix@centosserver


拷貝所有內容(通過 USB 驅動器或者其它任何介質),然後去你的遠程服務端的終端,像下面那樣,在 $HOME 下創建文件夾叫做 .ssh。你需要以 root 身份執行命令(注:不一定需要 root)。


$ mkdir -p ~/.ssh


現在,將前幾步創建的客戶端系統的公鑰添加進文件中。


echo {Your_public_key_contents_here} >> ~/.ssh/authorized_keys


在遠程系統上重啟 ssh 服務。現在,你可以在新的客戶端上 SSH 遠程服務端了。


如果覺得手動添加 ssh 公鑰有些困難,在遠程系統上暫時性啟用密碼認證,使用 ssh-copy-id 命令從本地系統上拷貝密鑰,最後禁用密碼認證。



【關於投稿】


如果大家有原創好文投稿,請直接給公號發送留言。


① 留言格式:
【投稿】+《 文章標題》+ 文章鏈接

② 示例:
【投稿】《不要自稱是程序員,我十多年的 IT 職場總結》:http://blog.jobbole.com/94148/

③ 最後請附上您的個人簡介哈~



看完本文有收穫?請分享給更多人

關注「Linux 愛好者」,提升Linux技能

閱讀原文

TAGS: