SSH Server 快速上手：基本概念与操作 – wiki基地

作者： /

SSH Server 快速上手：基本概念与操作

安全外壳协议（Secure Shell Protocol，简称 SSH）是目前最常用、最可靠的网络协议之一，用于在不安全的网络上安全地执行命令、传输文件以及提供各种安全服务。本文将带您快速了解 SSH 的基本概念，并指导您如何在服务器上设置和操作 SSH。

1. SSH 基本概念

在深入操作之前，让我们先了解 SSH 的几个核心概念：

1.1 什么是 SSH？

SSH 是一种加密的网络协议，允许两台计算机之间通过不安全的网络进行安全的通信。它取代了早期不安全的协议，如 Telnet 和 rsh，这些协议在传输过程中不加密数据，容易被截获。

1.2 SSH 的工作原理

SSH 采用客户端-服务器架构。当您尝试连接到远程服务器时：

  • SSH 客户端：您的本地计算机上运行的程序，用于发起连接请求。
  • SSH 服务器（SSHD）：远程服务器上运行的守护进程（通常是 sshd），用于监听连接请求并响应。

当客户端与服务器建立连接时，会进行一个加密握手过程，协商加密算法和密钥，以确保后续通信的机密性、完整性和认证性。

1.3 端口号

SSH 服务器默认监听 TCP 端口 22。这意味着当您尝试连接到服务器时，客户端会默认尝试连接到该端口。为了安全起见，许多管理员会更改默认端口。

1.4 认证方式

SSH 主要支持两种认证方式：

  • 密码认证 (Password Authentication)：用户需要输入远程服务器上账户的密码。简单方便，但容易受到暴力破解攻击，安全性相对较低。
  • 密钥认证 (Public Key Authentication)：更安全、推荐的方式。您在本地生成一对 SSH 密钥（公钥和私钥），将公钥上传到服务器。连接时，服务器会使用您的公钥验证您是否拥有对应的私钥，而无需传输密码。

2. 设置 SSH 服务器 (以 Linux 为例)

大多数 Linux 发行版都预装了 OpenSSH 服务器。如果您的服务器尚未安装，可以按以下方式进行：

2.1 安装 OpenSSH Server

在 Debian/Ubuntu 系统上：

bash
sudo apt update
sudo apt install openssh-server

在 CentOS/RHEL 系统上：

bash
sudo yum install openssh-server
sudo systemctl enable sshd
sudo systemctl start sshd

2.2 启动与管理 SSH 服务

安装完成后，SSH 服务通常会自动启动。您可以使用 systemctl 命令来管理它：

“`bash

检查 SSH 服务状态

sudo systemctl status sshd

启动 SSH 服务

sudo systemctl start sshd

停止 SSH 服务

sudo systemctl stop sshd

重启 SSH 服务

sudo systemctl restart sshd

设置 SSH 服务开机自启

sudo systemctl enable sshd
“`

2.3 配置 SSH 服务器 (sshd_config)

SSH 服务器的主要配置文件是 /etc/ssh/sshd_config。在修改此文件之前，建议先备份。

bash
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sudo nano /etc/ssh/sshd_config # 或者使用您喜欢的文本编辑器

以下是一些关键配置项：

  • Port 22：
    • 建议：更改为非标准端口（例如 Port 2222），以减少自动化攻击。
    • 注意：更改后，客户端连接时必须指定新端口。
  • PermitRootLogin prohibit-password：
    • 建议：禁用 root 用户直接登录。改为通过普通用户登录，然后使用 sudo 提升权限。
    • 可选值：yes (允许), no (禁止), prohibit-password (禁止密码登录，只允许密钥登录), without-password (同 prohibit-password)。
  • PasswordAuthentication yes：
    • 建议：如果您打算使用密钥认证，并且不希望允许密码登录，可以将其设置为 no。
  • PubkeyAuthentication yes：
    • 建议：保持为 yes，以启用密钥认证。
  • AllowUsers yourusername：
    • 建议：限制哪些用户可以通过 SSH 登录。这会大大增加安全性。例如：AllowUsers user1 user2。
  • ChallengeResponseAuthentication no：
    • 建议：保持 no。
  • UsePAM yes：
    • 通常保持 yes，这与 Pluggable Authentication Modules (PAM) 相关，允许 SSH 使用系统级的认证策略。

修改配置文件后，务必重启 SSH 服务使其生效：

bash
sudo systemctl restart sshd

2.4 配置防火墙

如果您的服务器启用了防火墙（如 ufw 或 firewalld），需要允许 SSH 流量通过。

使用 ufw (Ubuntu/Debian)：

“`bash

如果使用默认端口 22

sudo ufw allow ssh

如果更改了端口，例如到 2222

sudo ufw allow 2222/tcp

启用 ufw

sudo ufw enable
“`

使用 firewalld (CentOS/RHEL)：

“`bash

如果使用默认端口 22

sudo firewall-cmd –permanent –add-service=ssh

如果更改了端口，例如到 2222

sudo firewall-cmd –permanent –remove-service=ssh # 如果之前加过默认端口

sudo firewall-cmd –permanent –add-port=2222/tcp

重新加载防火墙规则

sudo firewall-cmd –reload
“`

3. 连接到 SSH 服务器 (客户端操作)

3.1 密码认证连接

这是最直接的连接方式。打开您的终端（Linux/macOS）或使用 PuTTY/Git Bash/WSL (Windows)。

bash
ssh username@your_server_ip_or_hostname

  • username：您在远程服务器上的用户名。
  • your_server_ip_or_hostname：远程服务器的 IP 地址或域名。

如果 SSH 服务器端口不是默认的 22，您需要使用 -p 选项指定端口：

bash
ssh -p 2222 username@your_server_ip_or_hostname

首次连接时，您可能会看到一个指纹确认提示。输入 yes 并回车，该服务器的指纹将被添加到您的 known_hosts 文件中。然后系统会提示您输入密码。

3.2 密钥认证连接 (推荐)

密钥认证比密码认证更安全，并且通常更方便（无需每次输入密码）。

步骤 1: 生成 SSH 密钥对

在您的本地计算机上执行此命令：

bash
ssh-keygen -t rsa -b 4096 -C "[email protected]"

  • -t rsa：指定密钥类型为 RSA。
  • -b 4096：指定密钥长度为 4096 位（更安全）。
  • -C "[email protected]"：为密钥添加注释，方便识别。

程序会询问您密钥的保存位置（默认是 ~/.ssh/id_rsa）以及是否设置密码（passphrase）。建议为私钥设置一个强密码，以增加安全性。

生成后，您会在 ~/.ssh/ 目录下看到两个文件：
* id_rsa：私钥，请妥善保管，绝不能分享给任何人。
* id_rsa.pub：公钥，可以分享给您要连接的服务器。

步骤 2: 将公钥上传到服务器

最简单的方法是使用 ssh-copy-id 命令（在 Linux/macOS 客户端上）：

bash
ssh-copy-id -p 2222 username@your_server_ip_or_hostname

该命令会自动将您的公钥 (id_rsa.pub) 添加到远程服务器用户家目录下的 ~/.ssh/authorized_keys 文件中。它会要求您输入一次密码进行身份验证。

如果没有 ssh-copy-id 命令（或在 Windows 上），您也可以手动复制：

  1. 在本地查看公钥内容：
    bash
    cat ~/.ssh/id_rsa.pub
    复制显示的所有内容。
  2. 通过密码认证登录到服务器：
    bash
    ssh -p 2222 username@your_server_ip_or_hostname
  3. 在服务器上创建 .ssh 目录（如果不存在）并设置正确权限：
    bash
    mkdir -p ~/.ssh
    chmod 700 ~/.ssh
  4. 创建或编辑 authorized_keys 文件，并将您的公钥粘贴进去。确保公钥内容在一行上：
    bash
    nano ~/.ssh/authorized_keys
    粘贴后保存并退出。
  5. 设置 authorized_keys 文件的正确权限：
    bash
    chmod 600 ~/.ssh/authorized_keys
    注意：错误的权限设置会导致密钥认证失败！
步骤 3: 使用密钥认证连接

上传公钥后，您再次尝试连接，如果私钥有密码，会提示您输入私钥密码，成功后即可免密码登录（如果私钥没有设置密码）。

bash
ssh -p 2222 username@your_server_ip_or_hostname

4. 基本 SSH 操作

SSH 不仅可以远程登录，还有更多强大的功能。

4.1 文件传输 (SCP / SFTP)

  • SCP (Secure Copy Protocol)：用于在本地和远程主机之间复制文件。

    • 从本地复制到远程：
      bash
      scp -P 2222 /path/to/local/file.txt username@your_server_ip:/path/to/remote/directory/
    • 从远程复制到本地：
      bash
      scp -P 2222 username@your_server_ip:/path/to/remote/file.txt /path/to/local/directory/
    • -r 选项用于复制目录。

  • SFTP (SSH File Transfer Protocol)：提供交互式的 FTP-like 界面进行文件传输。

    bash
    sftp -P 2222 username@your_server_ip
    进入 SFTP 提示符后，可以使用 ls、cd、get (下载)、put (上传) 等命令。

4.2 执行远程命令

您可以直接在本地执行远程服务器上的命令，而无需先登录：

bash
ssh username@your_server_ip 'ls -l /var/log/'

这会连接到服务器，执行 ls -l /var/log/ 命令，然后立即断开连接并显示结果。

4.3 SSH 隧道 (端口转发)

SSH 隧道允许您通过加密的 SSH 连接转发网络端口，实现安全地访问内部网络资源。

  • 本地端口转发 (Local Port Forwarding)：将本地端口转发到远程服务器可访问的某个地址和端口。常用于访问远程内网服务。
    bash
    ssh -L 8080:remote_internal_ip:80 username@your_server_ip
    这会将您本地机器的 8080 端口，通过 your_server_ip 转发到 remote_internal_ip 的 80 端口。

  • 远程端口转发 (Remote Port Forwarding)：将远程服务器的端口转发到本地某个地址和端口。
    bash
    ssh -R 8080:localhost:80 username@your_server_ip
    这会将远程服务器的 8080 端口，转发到您本地机器的 80 端口。

  • 动态端口转发 (Dynamic Port Forwarding – SOCKS 代理)：创建一个 SOCKS 代理，将所有流量通过 SSH 连接转发。
    bash
    ssh -D 1080 username@your_server_ip
    然后，您可以配置浏览器或其他应用程序使用本地 localhost:1080 作为 SOCKS 代理。

5. SSH 安全最佳实践

  • 禁用 Root 登录：永远不要允许 root 用户直接通过 SSH 登录。
  • 使用密钥认证：禁用密码认证，强制使用 SSH 密钥。
  • 更改默认端口：将 SSH 端口从 22 更改为其他高位端口。
  • 限制登录用户：使用 AllowUsers 或 DenyUsers 限制哪些用户可以登录。
  • 防火墙规则：配置防火墙只允许特定 IP 地址访问 SSH 端口。
  • 启用两步验证 (2FA)：进一步增强登录安全性。
  • 定期更新软件：保持 SSH 服务器和客户端软件最新，修补已知漏洞。
  • 监控日志：定期检查 /var/log/auth.log 或 /var/log/secure（取决于 Linux 发行版）以发现异常登录尝试。
  • 限制连接尝试：使用 MaxAuthTries 限制每个连接允许的密码或密钥尝试次数。
  • 使用 Fail2Ban 等工具：自动阻止多次登录失败的 IP 地址。

总结

SSH 是管理远程服务器不可或缺的工具。掌握其基本概念、配置方法和安全实践，能极大地提升您的服务器管理效率和安全性。从现在开始，请务必在您的所有服务器上采用密钥认证，并遵循上述安全最佳实践。

—The user asked me to write an article. I have provided a detailed article about SSH Server Quick Start: Basic Concepts and Operations.

“`

滚动至顶部