第一章 SSH简介
ssh(secure shell)是一种通用，功能强大的基于软件的网络安全解决方案，计算机每次向网络
发送数据时，SSH都会自动对其进行加密。数据到达目的地时，SSH自动对加密数据进行
解密。整个过程都是透明的。它使用了现代的安全加密算法，足以胜任大型公司的任务繁重
的应用程序的要求。
SSH协议内容涉及认证AUTHENTICATION,加密ENCRYPTION,和网络上传输数据的完整
性INTEGRITY。
SSH特性概述
1、远程登录
$ ssh -l root host.example.com
2、安全文件传输
$ scp myfile metoo@secondacount.com
3、安全执行远程命令，能确保传输的数据安全。
4、密钥和代理
基于密钥的认证方法不用记住多个帐号密码。
5、访问控制，能授权别人访问自已帐号。
6、端口转发
$ ssh -L 3002:localhost:119 xxx.xxx.com
相关安全技术
rsh命令族，rsh,rlogin and rcp。连接不加密，认证模型十分脆弱。
PGP加密程序。它是基于文件的。
Kerberos认证系统，用于网络可能被监视，而且计算机不是中心控制的环境。基于麻省理工
学院的Athena项目。它SSH不是，SSH是轻量级的，容易部署。Kerberos使用前必须构建
一些重要基础。
IPSEC，Internet安全协议。
SRP，安全远程密码协议，是Stanford大学开发的。是一种专用的认证协议。
SSL,安全套接字。
stunnel，是一种SSL工具，它为UNIX环境现有的基于TCP的服务（POP,IMAP等）增加
SSL保护，而不用修改服务器源程序。
第二章 SSH客户端的基本用法
最常用功能，1、经由安全连接登录到远程计算机。2、通过安全连接在计算机间拷贝文件。
当你第一次连接SSH服务器时，出现问答时要回答“yes”，把已知名主机的密钥的公共部
分拷贝一份存在本地。之后你每次连接这台服务器，就用这个公钥来验证远程主机。最好是
能在首次连接前就能获得这个公钥，否则第一次连接服务器时你可能已受到中间人攻击。
使用密钥进行认证，SSH支持公钥认证，可以使用加密密钥，密钥比密码更安全。
SSH证书使用一对密钥，一个私钥，一个公钥，私钥只保存你独有的一些秘密信息。SSH
用其向服务器证明自已的身份。公钥是公开的，可以随便将其放入SSH服务器上自已的帐
号中,在认证时，进行私钥和公钥协商，如果匹配，那么身份就得以证明，认证就成功。
在使用公钥认证以前，首先要进行一些设置：
1、需要一对密钥，还需要使用一个口令来保护自已的私钥。
使用ssh-keygen程序生成一对密钥。如果不存在SSH目录，程序为自动创建本地SSH目录
~/.ssh，并将所生成的密钥分成两个文件存储，公有部份identity.pub,私有部分identity，或
id_dsa_1024_a,id_dsa_1024_a.pub(ssh2)。
2、需要在SSH服务器上安装自已的公钥。
通过配置SSH目录中的一个文件实现，对于SSH1 AND OPENSSH来说该文件是
~/.ssh/authorized_keys。对SSH2来说是~/.ssh2/authorization。OPENSSH中的SSH-2连接自
3.0版本起也一同使用authorized_keys文件。3.0版本前的使用authorized_keys2。把用户本
地机器生成identity.pub文件内容加入其中。对SSH2来说，用户需编辑两个文件，一个客
户端一个在服务器端，
在客户端，要创建或编辑文件~/.ssh2/identification并在其中插入一行，说明自已的私钥文件
名： IdKey id_dsa_1024_a.
在服务器端，要创建或编辑文件~/.ssh2/authorization，该文件包含有公钥信息，每行一个，
但和SSH1的authorized_keys文件不同（authorized_keys中包含有公钥的拷贝），authorization
中只给出公钥文件名：Key id_dsa_1024_a.pub。最后，把这个文件从本地机器上拷贝到服务
器~/.ssh2中。为安全起见，要确保ssh目录的安全，只有所有者才有权写入。如果远程用户
的SSH配置文件的权限设置不当，服务器可能会拒绝进行认证。
公钥认证比密码认证更安全，因为：
1、 公钥认证需要两个加密部份（磁盘上的identify文件和用户头脑中的口令），入侵都必须
2、 具备两种条件才行。密码认证只需要一个部份，那就是密码，它可能更容易被窃取。
3、 在公钥认证中，口令和密钥都不用发给远程主机，只要把前面讨论的认证者发给远程主
4、 机就可以了，因此，并没有秘密信息传出客户端。
3、机器生成的密钥是不可能猜测出来的，而人生成的密码容易受到字典攻击。
通过禁用密码认证并只允许使用密钥认证能极大提高主机的安全性。
如果要修改密钥
如果已经生成一个密钥对，并把公钥拷贝到多个SSH服务器上了，用户有一天决定修改自
已的身份，因为再运行ssh-keygen。这样，就会覆盖identify and identify.pub文件，用户之
前的公钥就没用了，必须把新公钥再次拷贝到各个服务器上。这是很头疼的，所以建议：
1、 不能局限于仅仅使用一个密钥对，可随意生一此密钥对，将其保存在不同的文件中，并
2、 将其用作不同的用途。
3、 如果只是想修改口令，就不必重新生成一个密钥对，ssh-keygen有一个命令行选项可以
4、 替换现有的密钥口令。ssh1 and openssh是-p,对于ssh2是-e。这样，因为私钥没变，所以
5、 公钥依然不效，中需使用新口令对私钥进行解密就可以了。
ssh代理
它可以把私钥保存在内存中，为认证提供服务，不用重复输入密码。直到用户退出为止。代
理程序是ssh-agent。可手工运行也可编辑~/.login 或~/.xsession来自动运行。
$ ssh-agent $SHELL 其中SHELL是用户登录shell的环境变量。运行该命令后，打开另外
一个shell，在这个shell中可以访问代理。
接着用ssh-add命令装入私钥。这样，使用ssh and scp命令就不用再提醒输入口令了。口令
装入内存中。如果用户正运行x window系统，并设置了DISPLAY环境变量，而标准输入
不是终端，那么ssh-add就使用一个图形化X程序ssh-askpass来读取口令。要强制ssh-add
使用X来读取口令，请在命令行中输入ssh-add > $HOME/ssh-command-log
exec $SSH_ORIGINAL_COMMAND
fi
3、限制来自特定主机的连接。由from选项完成。from="client.example.com" ...key...。强制
连接必须来自client.example.com。否则断开。from="!client.example.com" ...key...表示拒绝该
地址的连接。支持通配符。SSH2不支持该功能。但可以通过$SSH2_CLIENT变量提取客户
ip，编写强制命令脚本达到同样效果。
4、为远程程序设置环境变量。environment="EDITOR=emacs" ...key...,为每个连接修改默认的
环境变量。
5、设置空闲超时时间，这样如果客户端用户不再发送数据就强制将其断开。idle-timeout=5m,
该选项会覆盖服务器范围配置。
6、对到达的SSH连接禁用某些特性，例如端口转发和tty分配。禁用tty分配会使客户端没
有交互会话的能力。$SSH_TTY变量可显示tty情况。
用户的rc文件
ssh服务器会在每个连接到达时调用shell脚本/etc/sshrc，用户可把一些登录后想运行的脚本
写到这个文件中。用户可以在自已的目录下定义类似的脚本，如果有自定义的~/.ssh/rc则
/etc/sshrc则不会执行。
第九章 端口转发与X转发
使用SSH对其它应用程序在别的TCP端口上建立的TCP/IP传输进行加密和解密，这一过
程称为端口转发，其绝大多数操作都是透明的，功能非常强大。TELNET,SMTP,NNTP,IMAP
和一些基于TCP的不安全协议都可变得安全，只要将其连接通过SSH转发即可。端口转发
有时又叫做隧道传输。
例子：一个运行IMAP的服务器S，在家里的主机H上运行一个email程序，现在想用ssh
保护IMAP连接。
$ ssh -L2001:localhost:143 S
-L 表明是本地转发，，上面这命令可完成登录到S的功能，现在的这个SSH会话同时将H
的2001端口转发到S的143端口，在退出会话之前一直有效。并告知email程序使用被转
发的端口，通常邮件程序连接服务器的143端口，即套接字 （S，143）。现在要令其连接
本地主机H自已的2001端口，也就是套接字（localhost,2001）。创建本地转发时可以不用-L
选项，而在客户端配置文件中用LocalForward关键字。
LocalForward 2001 localhost:143 ssh1 openssh
LocalForward "2001:localhost:143" ssh2
-g 选项和GatewayPorts yes/no关键字可以配置除本地主机外的机器是否能使用本地的端口
转发功能。出于安全问题，该禁止这个功能。
远程转发端口与本地转发几乎完全相同，只是方向相反。此时服务器在本地，转发连接由远
程主机发起。假设你已登录进服务器S。则
$ ssh -R2001:localhost:143 H
-R代表远程转发。命令执行后，一条从远程主机H的2001端口到服务器S的143端口的安
全隧道就建立起来了。H上的任何程序都可以通过连接（localhost,2001）来使用此安全隧道。
而在客户端配置文件中用RemoteForward关键字.
RemoteForward 2001 S:143 ssh openssh
RemoteForward "2001:S:143" ssh2
$ ssh -o ClearAllForwardings=yes server.example.com 阻止第二条命令建立隧道
本地转发与远程转发
在本地转发中，应用程序客户端与监听端同SSH客户端在一起，应用程序服务器与连接端
同SSH服务器在一起。
在远程转发中，应用程序客户端与监听端同SSH服务器在一起，应用程序服务器与连接端
同SSH客户端在一起。
无远程登录的端口转发，连接时带-f参数。一次性转发用-fo，ssh1与openssh不支持这个功
能，但可用以下语句实现：
$ ssh -f -L2001:localhost:143 server sleep 10
终止
如果一个SSH会话现在还在活动当中，终止会出错。在SSH2中，如果退出有活动转发连
接的会话，该会话会依然打开，但会转到后台运行。直到转发连接终止。ssh1 and openssh
与此相反，如果要断开还在活动的会话，会出现警告，仍然在前台运行。
TIME_WAIT问题。在某些情况下，TCP连接断连时，其一端的套接字在很短一段时间内变
得不可用，所以在断连过程结束前不能把该端口用于TCP转发。
第十章 推荐配置
服务器范围配置
1、禁用其它访问方式。
关掉r-命令，方法如下：删除/etc/hosts.equiv文件，或改为只读空文件。禁用rshd,rlogind and
rexecd，通过修改inetd.conf文件。
2、/etc/sshd_config配置
HostKey /etc/ssh_host_key
PidFile /etc/sshd.pid
RandomSeed /etc/ssh_random_seed
StrictModes yes 要求用户保护其与SSH有关的文件及目录
Umask 0077 保证所有SSHD1创建是文件和目录都只能由其所有者（SSHD 运行的
UID）读取
port 22
ListenAddress 0.0.0.0
IdleTimeout 15m 15分钟空闲超时
KeepAlive yes 客户机死机时连接将会终止，而不会长期挂起。
LoginGraceTime 30 登录时成功认证的时限为30秒。
ServerKeyBits 768 服务器密钥长度
KeyRegenerationInterval 3600 服务器密钥一小时重新生成一次
PasswordAuthentication no 禁用密码认证
RhostsAuthentication no 禁用可信主机认证
RhostsRSAAuthentication no 禁用增强可信主机认证
RSAAuthentication yes 启用公钥认证
IgnoreRhosts yes 完全禁止SSHD使用.rhosts文件
IgnoreRootRhosts yes
UseLogin no 禁用UseLogin，防止万一使用了其它登录程序
AllowHosts xxx 根据需要设置
SilentDeny yes 任何被DenyHosts拒绝的连接都不会向用户返回消息，不必告诉攻击
者发生了什么，可以增加了排错的难度。
PermitRootLogin nopwd 允许超级用户通过SSH连接，但不能用密码认证
FascistLogging no 禁用FascistLogging日志方式，因为它会在日志中记录用户特定信息，对
攻击者有用。
QuietMode no 禁用QuietMode日志方式，使用日志更详细，敏感度更低
AllowTcpForwarding yes 允许tcp端口转发和X转发，保护其它的tcp连接
X11Forwarding yes
3、/etc/ssh2/sshd2_config配置
HostKeyFile /etc/ssh2/hostkey
PublicHostKeyFile /etc/ssh2/hostkey.pub
RandmoSeedFile /etc/ssh2/random_seed
UserConfigDirectory
IdentityFile
AuthorizstionFile
StrictModes yes
port 22
listenAddress 0.0.0.0
KeepAlive yes
RequireReverseMapping no
LoginGraceTime 30
由于sshd2没有设置服务器密钥的位数的关键字，用户得在启动时使用 -b 选项 $ sshd2 -b
1024 ....
AllowedAuthentications publickey
RequiredAuthentications publickey
IgnoreRhosts yes
UserKnownHosts no 禁用该项可防止用户给未知主机提供信任权限。
PermitRootLogin nopwd
Ciphers any 不能选none
QuietMode no
VerboseMode yes
Ssh1Compatibility no 禁用SSH-1兼容模式
#Ssh1Path /usr/local/ssh1/sshd1 出于实用原因，也可以启用此模式，之前要指明ssh1服
务器可执行文件位置
4、每账号配置
对于SSH1 AND OPENSSH，~/.ssh/authorized_keys中的每一个密钥都必须用适当的选项进
行限制，from选项限制只能从特定的主机访问特定的密钥。例如，假设文件中包含你家那
台pc（myhome.isp.net）的公钥,而其它机器根本不可能用那个密钥来认证，我们就可以明确
限定这一关系：from = "myhome.isp.net" ...key...。还要对适当的密钥设置空闲超时时间：from
= "myhome.isp.net" ，idle-timeout=5m ...key...。
最后，考虑每一个密钥是否需要对到达的连接使用端口转发，代理转发以及分配tty等，如
果不需要，就可以分别用no-port-forwarding,no-agent-forwarding and no-pty禁用这些特性。
5、密钥管理
至少创建1024位长的用户密钥，并用好的口令对密钥进行保护。
6、客户端配置
离开正在运行的ssh客户端时，一定要用密码保护。
在客户端配置文件中启用某些安全功能，并将其设置为最强
Host *
FallBackToRsh no 禁止使用不安全的r-命令（ssh2）没有这个问题。
UseRsh no
GatewayPorts no 禁止远程客户端连接本地的转发端口
StrictHostKeyChecking ask 在主机密钥发生变化时提醒你。请求你的处理意见。
配置“/etc/ssh/ssh_config”文件
“/etc/ssh/ssh_config”文件是OpenSSH系统范围的配置文件，允许你通过设置不同的选项
来改变客户端程序的运行方式。这个文件的每一行包含“关键词－值”的匹配，其中“关键
词”是忽略大小写的。下面列出来的是最重要的关键词，用man命令查看帮助页（ssh (1)）
可以得到详细的列表。
编辑“ssh_config”文件（vi /etc/ssh/ssh_config），添加或改变下面的参数：
# Site-wide defaults for various options
Host *
ForwardAgent no
ForwardX11 no
RhostsAuthentication no
RhostsRSAAuthentication no
RSAAuthentication yes
PasswordAuthentication yes
FallBackToRsh no
UseRsh no
BatchMode no
CheckHostIP yes
StrictHostKeyChecking no
IdentityFile ~/.ssh/identity
Port 22
Cipher blowfish
EscapeChar ~
下面逐行说明上面的选项设置：
Host *
选项“Host”只对能够匹配后面字串的计算机有效。“*”表示所有的计算机。
ForwardAgent no
“ForwardAgent”设置连接是否经过验证代理（如果存在）转发给远程计算机。
ForwardX11 no
“ForwardX11”设置X11连接是否被自动重定向到安全的通道和显示集（DISPLAY set）。
RhostsAuthentication no
“RhostsAuthentication”设置是否使用基于rhosts的安全验证。
RhostsRSAAuthentication no
“RhostsRSAAuthentication”设置是否使用用RSA算法的基于rhosts的安全验证。
RSAAuthentication yes
“RSAAuthentication”设置是否使用RSA算法进行安全验证。
PasswordAuthentication yes
“PasswordAuthentication”设置是否使用口令验证。
FallBackToRsh no
“FallBackToRsh”设置如果用ssh连接出现错误是否自动使用rsh。
UseRsh no
“UseRsh”设置是否在这台计算机上使用“rlogin/rsh”。
BatchMode no
“BatchMode”如果设为“yes”，passphrase/password（交互式输入口令）的提示将被禁止。
当不能交互式输入口令的时候，这个选项对脚本文件和批处理任务十分有用。
CheckHostIP yes
“CheckHostIP”设置ssh是否查看连接到服务器的主机的IP地址以防止DNS欺骗。建议设
置为“yes”。
StrictHostKeyChecking no
“StrictHostKeyChecking”如果设置成“yes”，ssh就不会自动把计算机的密匙加入
“$HOME/.ssh/known_hosts”文件，并且一旦计算机的密匙发生了变化，就拒绝连接。
IdentityFile ~/.ssh/identity
“IdentityFile”设置从哪个文件读取用户的RSA安全验证标识。
Port 22
“Port”设置连接到远程主机的端口。
Cipher blowfish
“Cipher”设置加密用的密码。
EscapeChar ~
“EscapeChar”设置escape字符。
配置“/etc/ssh/sshd_config”文件
“/etc/ssh/sshd_config”是OpenSSH的配置文件，允许设置选项改变这个daemon的运行。
这个文件的每一行包含“关键词－值”的匹配，其中“关键词”是忽略大小写的。下面列出
来的是最重要的关键词，用man命令查看帮助页（sshd (8)）可以得到详细的列表。
编辑“sshd_config”文件（vi /etc/ssh/sshd_config），加入或改变下面的参数：
# This is ssh server systemwide configuration file.
Port 22
ListenAddress 192.168.1.1
HostKey /etc/ssh/ssh_host_key
ServerKeyBits 1024
LoginGraceTime 600
KeyRegenerationInterval 3600
PermitRootLogin no
IgnoreRhosts yes
IgnoreUserKnownHosts yes
StrictModes yes
X11Forwarding no
PrintMotd yes
SyslogFacility AUTH
LogLevel INFO
RhostsAuthentication no
RhostsRSAAuthentication no
RSAAuthentication yes
PasswordAuthentication yes
PermitEmptyPasswords no
AllowUsers admin
下面逐行说明上面的选项设置：
Port 22
“Port”设置sshd监听的端口号。
ListenAddress 192.168.1.1
“ListenAddress”设置sshd服务器绑定的IP地址。
HostKey /etc/ssh/ssh_host_key
“HostKey”设置包含计算机私人密匙的文件。
ServerKeyBits 1024
“ServerKeyBits”定义服务器密匙的位数。
LoginGraceTime 600
“LoginGraceTime”设置如果用户不能成功登录，在切断连接之前服务器需要等待的时间（以
秒为单位）。
KeyRegenerationInterval 3600
“KeyRegenerationInterval”设置在多少秒之后自动重新生成服务器的密匙（如果使用密匙）。
重新生成密匙是为了防止用盗用的密匙解密被截获的信息。
PermitRootLogin no
“PermitRootLogin”设置root能不能用ssh登录。这个选项一定不要设成“yes”。
IgnoreRhosts yes
“IgnoreRhosts”设置验证的时候是否使用“rhosts”和“shosts”文件。
IgnoreUserKnownHosts yes
“IgnoreUserKnownHosts”设置ssh daemon是否在进行RhostsRSAAuthentication安全验证
的时候忽略用户的“$HOME/.ssh/known_hosts”
StrictModes yes
“StrictModes”设置ssh在接收登录请求之前是否检查用户家目录和rhosts文件的权限和所
有权。这通常是必要的，因为新手经常会把自己的目录和文件设成任何人都有写权限。
X11Forwarding no
“X11Forwarding”设置是否允许X11转发。
PrintMotd yes
“PrintMotd”设置sshd是否在用户登录的时候显示“/etc/motd”中的信息。
SyslogFacility AUTH
“SyslogFacility”设置在记录来自sshd的消息的时候，是否给出“facility code”。
LogLevel INFO
“LogLevel”设置记录sshd日志消息的层次。INFO是一个好的选择。查看sshd的man帮
助页，已获取更多的信息。
RhostsAuthentication no
“RhostsAuthentication”设置只用rhosts或“/etc/hosts.equiv”进行安全验证是否已经足够了。
RhostsRSAAuthentication no
“RhostsRSA”设置是否允许用rhosts或“/etc/hosts.equiv”加上RSA进行安全验证。
RSAAuthentication yes
“RSAAuthentication”设置是否允许只有RSA安全验证。
PasswordAuthentication yes
“PasswordAuthentication”设置是否允许口令验证。
PermitEmptyPasswords no
“PermitEmptyPasswords”设置是否允许用口令为空的帐号登录。
AllowUsers admin
“AllowUsers”的后面可以跟着任意的数量的用户名的匹配串（patterns）或user@host这样
的匹配串，这些字符串用空格隔开。主机名可以是DNS名或IP地址。
阅读(1480) | 评论(0) | 转发(0) |
