㈠ linux如何配置双机SSH信任然后双向免密码登陆
一、实现原理
使用一种被称为"公私钥"认证的方式来进行ssh登录。"公私钥"认证方式简单的解释是：
首先在客户端上创建一对公私钥(公钥文件：~/.ssh/id_rsa.pub;私钥文件：~/.ssh/id_rsa)，然后把公钥放到服务器上(~/.ssh/authorized_keys)，自己保留好私钥。当ssh登录时，ssh程序会发送私钥去和服务器上的公钥做匹配。如果匹配成功就可以登录了。
二、实验环境
A机：TS-DEV/10.0.0.163
B机：CS-DEV/10.0.0.188
三、Linux/Unix双机建立信任
3.1
在A机生成证书
在A机root用户下执行ssh-keygen命令，在需要输入的地方，直接回车，生成建立安全信任关系的证书。
#
ssh-keygen
-t
rsa
注意：在程序提示输入passphrase时直接输入回车，表示无证书密码。
上述命令将生成私钥证书id_rsa和公钥证书id_rsa.pub，存放在用户家目录的.ssh子目录中。
3.2
查看~/.ssh生成密钥的文件
#
cd
~/.ssh
#
ll
3.3
A对B建立信任关系
将公钥证书id_rsa.pub复制到机器B的root家目录的.ssh子目录中，同时将文件名更换为authorized_keys，此时需要输入B机的root用户密码(还未建立信任关系)。建立了客户端到服务器端的信任关系后，客户端就可以不用再输入密码，就可以从服务器端拷贝数据了。
#
scp
-r
id_rsa.pub
10.0.0.188:/root/.ssh/authorized_keys
3.4
B对A建立信任关系
在B机上执行同样的操作，建立B对A的信任关系。
#
ssh-keygen
-t
rsa
#
cd
~/.ssh/
#
ll
#
scp
-r
id_rsa.pub
10.0.0.163:/root/.ssh/authorized_keys
如果想让B，C同时可以scp不输入密码，传输A中的数据;
则要把B、C的公钥都给
A;
操作步骤：把两机器的id_rsa.pub中的数据都拷贝到A的/root/.ssh/authorized_keys文件中，一行表示一条;
A:
scp
-r
id_rsa.pub
10.0.0.163:/root/.ssh/authorized_keys
B:
scp
-r
id_rsa.pub
10.0.0.188:/root/.ssh/authorized_keys
测试
ssh
[email protected]
'hostname'
///
ssh
[email protected]
'hostname'
如果连接反应慢，请修改以下两参数
/etc/ssh/sshd_config
GSSAPIAuthentication
no
UseDNS
no
然后重启service
sshd
restart
㈡ linux下如何开通ssh,允许远程登录
ssh是可以代替telnet的一种远程管理的方式．并且具有安全＼快捷等优点的一种服务．
方法一：进入Xwindows,在shell窗口执行setup命令，选择system service启动sshd服务．
方法二：在/etc/ssh/sshd_config文件中，将permitRootLogin no|yes设置为允许root用户远程登录
/etc/init.d/sshd start 启动ssh服务
/etc/init.d/sshd stop关闭服务
启动:
service sshd start
安装过程:
1.以root身份登入系统(没登入系统和没有足够的权限都不能安装,晕,这不是废话)
2.检查安装系统时是否已经安装SSH服务端软件包:
rpm -qa|grep openssh
若显示结果中包含openssh-server-*,则说明已经安装,直接启动
sshd服务就可以了(service sshd start).(其中*的内容是该包的版本,一般为3.5p1-6)
若无任何显示,或显示中不包含openssh-server-*则说明没有安装SSH服务端软件包, 进入第3步
3.找到redhat 9.0 安装光盘,放入光驱中并加载光驱
mount -t iso9660 /dev/cdrom /mnt/cdrom (加载光驱命令)
4.查找光驱中的SSH服务端软件所在目录,一般在/mnt/cdrom/RedHat/RPMS/目录下,
可以先cd到该目录下再用ls查看,如:ls openssh*,然后根据上面具体显示直接安装
rpm -ivh openssh-3.5p1-6 (如果第二步中显示已经安装该包就不要安装)
rpm -ivh oeenssh-server-3.5p1-6
5.启动sshd服务 /etc/rc.d/init.d/sshd start
netstat -a | more看有没正常启动
如果出现：
tcp 0 0 *:ssh *:* LISTEN
就说明正常启动了
6.在windows 下用putty等SSH客户端软件连接测试,或直接在linux主机上输入
ssh 测试,但必须要先安装linux 下的SSH客户端软件包,即
openssh-clients-*,安装过程和上面的服务端包相同
7.若能成功远程登入,则说明SSH服务安装配置成功,
否则很可能就是你的防火墙阻止连接了,重新配置防火墙或干脆先停掉防火墙
(/etc/rc.d/init.d/iptables stop) 就可以连接了
或者service iptables stop
㈢ linux 配置ssh有几种方法
直接使用Linux系 统的root帐户登录系统，在很多环境下是不允许。而且如果网络中的所有机器都能使用ssh登录关键服务器也是不允许的。这就要求我们需要使用一些手段， 现在root帐号的登录，而且是只有指定的几台机器才能登录。当然限制登录的ip这些通过网络设备也恩那个完成。但是我们只需要了解怎么使用系统自己的功 能实现，这是每一个系统管理员都比较了解的。
1，修改ssh的配置文件，是root用户只能通过本地登录，不能通过远程ssh连接服务器。
vim /etc/ssh/sshd_config,
把#PermitRootLogin yes改成
PermitRootLogin no，然后重启ssh服务器，root用户就不能通过ssh远程登录系统了，只能通过一个普通帐号su或者本地登录。
2，可以同修改其他系统配置文件，使之能通过几个指定的IP远程ssh登录服务器。把下面这段放到root的.bash_profile文件中
ALLOWHOSTSLIST="192.168.163.1"
REMOTEHOST=$(env | grep SSH_CLIENT | awk '{print $1}' | awk -F "=" '{print $2}')
if echo "${ALLOWHOSTSLIST}" | grep "${REMOTEHOST}" > /dev/null
then :
else
exit
fi
结果就只能通过IP地址是192.168.163.1这台服务器通过ssh远程连接本服务器了。
3，可以把需要ssh远程服务器的IP地址添加到/etc/hosts.allow,例如下面的操作：
sshd:192.168.163.1:allow #只允许这个IP地址ssh登录
sshd:192.168.163.:allow #允许这个网段的所有IP地址ssh登录
sshd:all:deny #拒绝所有没有出现在上面的IP地址的ssh连接
4，也可以使用iptables指定能够远程ssh到服务器的IP地址
iptables -A INPUT -p tcp --dport 22 -s 192.168.163.1 -j ACCEPT #允许这个IP地址ssh连接本服务器
iptables -A INPUT -p tcp --dport 22 -s 192.168.163.0/24 -j ACCEPT #允许这个网段的所有IP远程ssh连接本服务器
iptables -A INPUT -p tcp --dport 22 -j DROP #除了上面允许的IP地址外，都拒绝使用ssh连接到服务器
㈣ 如何建立linux ssh信任的方法与常见问题
在Linux服务器之间建立信任关系，是很多线上服务系统的基础性工作，这样能便于程序在多台服务器之间自动传输数据，或者方便用户不输入密码就可以在不同的主机间完成登录或者各种操作。
网上关于建立Linux信任关系（ssh trust）的中文文章有一些，但是写得都不太详细，这里汇总了方方面面的资料，把多机信任关系建立方法说说清楚（文/陈运文）
一 建立信任关系的基本操作
基本场景是想从一台Server服务器直接登录另一台，或者将Server服务器的数据不需密码验证直接拷贝至Client服务器，以下我们简称Server服务器为S（待发送的数据文件在这台服务器上），Client服务为C，信任关系的最简单操作方法如下：
1 在S服务器上，进入当前用户根目录下的隐藏目录 .ssh，命令如下：
cd ~/.ssh
（注：目录名前的点好”.”表示该文件夹是一个特殊的隐藏文件夹，ls命令下默认是看不到的，通过 ls –a 命令观察到）
2 生成S服务器的私钥和公钥：
ssh-keygen -t rsa
（注：rsa是一种加密算法的名称，此处也可以使用dsa，关于rsa和dsa算法的介绍可见本文后半章节）
ssh-keygen生成密钥用于信任关系生成
-此时会显示Generating public/private key pair. 并提示生成的公钥私钥文件的存放路径和文件名，默认是放在 /home/username/.ssh/id_rsa 这样的文件里的，通常不用改，回车就可以
然后Enter passphrase(empty for no passphrase): 通常直接回车，默认不需要口令
Enter same passphrase again: 也直接回车
然后会显式密钥fingerprint生成好的提示，并给出一个RSA加密协议的方框图形。此时在.ssh目录下ls，就可以看到生成好的私钥文件id_rsa和公钥文件id_rsa.pub了
以下是各种补充说明：
注1：如果此时提示 id_rsaalready exists，Overwrite(y/n) 则说明之前已经有人建好了密钥，此时选择n 忽略本次操作就行，可以直接用之前生成好的文件；当然选y覆盖一下也无妨
注2：公钥用于加密，它是向所有人公开的（pub是公开的单词public的缩写）；私钥用于解密，只有密文的接收者持有。
3 在Server服务器上加载私钥文件
仍然在.ssh目录下，执行命令：
ssh-add id_rsa
系统如果提示：Identity added: id_rsa (id_rsa) 就表明加载成功了
下面有几个异常情况处理：
–如果系统提示：could not open a connection to your authentication agent
则需要执行一下命令：
ssh-agent bash
然后再执行上述的ssh-add id_rsa命令
–如果系统提示id_rsa: No such file or directory
这是系统无法找到私钥文件id_rsa，需要看看当前路径是不是不在.ssh目录，或者私钥文件改了名字，例如如果建立的时候改成 aa_rsa，则这边命令中也需要相应改一下
-如果系统提示 command not found，那肯定是你命令敲错字符了J
-提示Agent admitted failure to sign using the key，私钥没有加载成功，重试ssh-add
-注意id_rsa/id_rsa.pub文件不要删除，存放在.ssh目录下
4 把公钥拷贝至Client服务器上
很简单，例如 scp id_rsa.pub [email protected]:~
5 ssh登录到Client服务器上，然后在Client服务器上，把公钥的内容追加到authorized_keys文件末尾（这个文件也在隐藏文件夹.ssh下，没有的话可以建立，没有关系）
cat id_rsa.pub >> ~/.ssh/authorized_keys
以下是各种补充说明，遇到问题时可以参考：
注1：这里不推荐用文件覆盖的方式，有些教程直接scp id_rsa.pub 到Client服务器的authorized_keys文件，会导致之前建的其他信任关系的数据被破坏，追加到末尾是更稳妥的方式；
注2： cat 完以后，Client服务器上刚才拷贝过来的id_rsa.pub文件就不需要了，可以删除或移动到其它地方）
注3：ssh-keygen 命令通过-b参数可以指定生成的密钥文件的长度，如果不指定则默认为1024，如果ssh-keygen –b 4096（最长4096），则加密程度提高，但是生成和验证时间会增加。对一般的应用来说，默认长度已经足够胜任了。如果是rsa加密方式，那么最短长度为768 byte
注4：authorized_keys文件的权限问题。如果按上述步骤建立关系后，仍然要验证密码，并且没有其他报错，那么需要检查一下authorized_keys文件的权限，需要作下修改： chmod g-w authorized_keys
OK，现在试试在Server端拷贝一个文件到Client服务器，应该无需交互直接就传过去了。
但是此时从Client传数据到Server服务器，仍然是需要密码验证的。如果需要两台服务器间能直接互传数据，则反过来按上述步骤操作一下就可以了
二 删除服务器间信任关系的方法
如果想取消两台服务器之间的信任关系，直接删除公钥或私钥是没有用的，需要在Client服务器上，打开 ~/.ssh/ authorized_keys 文件，找到对应的服务器的公钥字段并删除
每个段落的开头是ssh-rsa字样，段尾是Server服务器的帐号和ip（如下图红框），需要细心的找一下后删除整段
密钥文件内容和删除Linux服务器间信任关系的方法
三 各种可能遇到的情况和处理方法
–提示 port 22: Connection refused
可能的原因：没有正确安装最新的openssh-server，安装方法如下
sudo apt-get install openssh-server
不支持apt安装的，可以手工下载：
wget ftp.ssh.com/pub/ssh/ssh-3.2.9.1.tar.gz
–关于目录和文件的权限设置
.ssh目录的权限必须是700，同时本机的私钥的权限必须设置成600：
chmod 600 id_rsa
否则ssh服务器会拒绝登录
四 关于RSA和DSA加密算法
在ssh-keygen命令中，-t参数后指定的是加密算法，可以选择rsa或者dsa
RSA 取名自算法的三位提出者Ron Rivest, Adi Shamir, and Leonard Adleman的姓名首字母，作为一种非对称加密算法，RSA的安全性基于及其困难的大整数分解（两个素数的乘积的还原问题）。关于RSA算法原理的文章很多，感兴趣的朋友可以找来读一读。
DSA = Digital Signature Algorithm，基于有限域离散对数难题，是Schnorr和ElGamal签名算法的变种，一般用于数字签名和认证，被美国标准局（NIST）采纳为数字签名标准DSS（Digital Signature Standard），based on discrete logarithms computation.
DES = Digital Encryption Standard. Obsolete standard.
RSA算法好在网络容易实现密钥管理,便进行数字签名,算法复杂,加/解速度慢,采用非对称加密。在实际用于信任关系建立中，这两种方法的差异很微小，可以挑选其一使用。
五 关于SSH协议的介绍
SSH全称Secure SHell，顾名思义就是非常安全的shell的意思，SSH协议是IETF（Internet Engineering Task Force）的Network Working Group所制定的一种协议。SSH的主要目的是用来取代传统的telnet和R系列命令（rlogin,rsh,rexec等）远程登陆和远程执行命令的工具，实现对远程登陆和远程执行命令加密。防止由于网络监听而出现的密码泄漏，对系统构成威胁。
ssh协议目前有SSH1和SSH2，SSH2协议兼容SSH1。目前实现SSH1和SSH2协议的主要软件有OpenSSH和SSH Communications Security Corporation公司的SSH Communications 软件。前者是OpenBSD组织开发的一款免费的SSH软件，后者是商业软件，因此在linux、FreeBSD、OpenBSD、NetBSD等免费类UNIX系统种，通畅都使用OpenSSH作为SSH协议的实现软件。因此，本文重点介绍一下OpenSSH的使用。需要注意的是OpenSSH和SSH Communications的登陆公钥/私钥的格式是不同的，如果想用SSH Communications产生的私钥/公钥对来登入到使用OpenSSH的linux系统需要对公钥/私钥进行格式转换。
第一次登陆后，ssh就会把登陆的ssh指纹存放在用户home目录的.ssh目录的know_hosts文件中，如果远程系统重装过系统，ssh指纹已经改变，你需要把 .ssh 目录下的know_hosts中的相应指纹删除，再登陆回答yes，方可登陆。请注意.ssh目录是开头是”.”的隐藏目录，需要ls –a参数才能看到。而且这个目录的权限必须是700,并且用户的home目录也不能给其他用户写权限，否则ssh服务器会拒绝登陆。如果发生不能登陆的问题，请察看服务器上的日志文件/var/log/secure。通常能很快找到不能登陆的原因。
六 关于ssh_config和sshd_config文件配置的说明
/etc/ssh/ssh_config:
Host *
选项“Host”只对能够匹配后面字串的计算机有效。“*”表示所有的计算机。
ForwardAgent no
“ForwardAgent”设置连接是否经过验证代理（如果存在）转发给远程计算机。
ForwardX11 no
“ForwardX11”设置X11连接是否被自动重定向到安全的通道和显示集（DISPLAY set）。
RhostsAuthentication no
“RhostsAuthentication”设置是否使用基于rhosts的安全验证。
RhostsRSAAuthentication no
“RhostsRSAAuthentication”设置是否使用用RSA算法的基于rhosts的安全验证。
RSAAuthentication yes
“RSAAuthentication”设置是否使用RSA算法进行安全验证。
PasswordAuthentication yes
“PasswordAuthentication”设置是否使用口令验证。
FallBackToRsh no
“FallBackToRsh”设置如果用ssh连接出现错误是否自动使用rsh。
UseRsh no
“UseRsh”设置是否在这台计算机上使用“rlogin/rsh”。
BatchMode no
“BatchMode”如果设为“yes”，passphrase/password（交互式输入口令）的提示将被禁止。当不能交互式输入口令的时候，这个选项对脚本文件和批处理任务十分有用。
CheckHostIP yes
“CheckHostIP”设置ssh是否查看连接到服务器的主机的IP地址以防止DNS欺骗。建议设置为“yes”。
StrictHostKeyChecking no
“StrictHostKeyChecking”如果设置成“yes”，ssh就不会自动把计算机的密匙加入“$HOME/.ssh/known_hosts”文件，并且一旦计算机的密匙发生了变化，就拒绝连接。
IdentityFile ~/.ssh/identity
“IdentityFile”设置从哪个文件读取用户的RSA安全验证标识。
Port 22
“Port”设置连接到远程主机的端口。
Cipher blowfish
“Cipher”设置加密用的密码。
EscapeChar ~
“EscapeChar”设置escape字符。
/etc/ssh/sshd_config:
Port 22
“Port”设置sshd监听的端口号。
ListenAddress 192.168.1.1
“ListenAddress”设置sshd服务器绑定的IP地址。
HostKey /etc/ssh/ssh_host_key
“HostKey”设置包含计算机私人密匙的文件。
ServerKeyBits 1024
“ServerKeyBits”定义服务器密匙的位数。
LoginGraceTime 600
“LoginGraceTime”设置如果用户不能成功登录，在切断连接之前服务器需要等待的时间（以秒为单位）。
KeyRegenerationInterval 3600
“KeyRegenerationInterval”设置在多少秒之后自动重新生成服务器的密匙（如果使用密匙）。重新生成密匙是为了防止用盗用的密匙解密被截获的信息。
PermitRootLogin no
“PermitRootLogin”设置root能不能用ssh登录。这个选项一定不要设成“yes”。
IgnoreRhosts yes
“IgnoreRhosts”设置验证的时候是否使用“rhosts”和“shosts”文件。
IgnoreUserKnownHosts yes
“IgnoreUserKnownHosts”设置ssh daemon是否在进行RhostsRSAAuthentication安全验证的时候忽略用户的“$HOME/.ssh/known_hosts”
StrictModes yes
“StrictModes”设置ssh在接收登录请求之前是否检查用户家目录和rhosts文件的权限和所有权。这通常是必要的，因为新手经常会把自己的目录和文件设成任何人都有写权限。
X11Forwarding no
“X11Forwarding”设置是否允许X11转发。
PrintMotd yes
“PrintMotd”设置sshd是否在用户登录的时候显示“/etc/motd”中的信息。
SyslogFacility AUTH
“SyslogFacility”设置在记录来自sshd的消息的时候，是否给出“facility code”。
LogLevel INFO
“LogLevel”设置记录sshd日志消息的层次。INFO是一个好的选择。查看sshd的man帮助页，已获取更多的信息。
RhostsAuthentication no
“RhostsAuthentication”设置只用rhosts或“/etc/hosts.equiv”进行安全验证是否已经足够了。
RhostsRSAAuthentication no
“RhostsRSA”设置是否允许用rhosts或“/etc/hosts.equiv”加上RSA进行安全验证。
RSAAuthentication yes
“RSAAuthentication”设置是否允许只有RSA安全验证。
PasswordAuthentication yes
“PasswordAuthentication”设置是否允许口令验证。
PermitEmptyPasswords no
“PermitEmptyPasswords”设置是否允许用口令为空的帐号登录。
AllowUsers admin
“AllowUsers”的后面可以跟着任意的数量的用户名的匹配串（patterns）或user@host这样的匹配串，这些字符串用空格隔开。主机名可以是DNS名或IP地址。
㈤ Linux 下实现SSH互信
一、准备两台服务器：
A机：192.168.1.1
B机：192.168.1.2
二、双机建立信任
1、在A机生成秘钥证书
在root下执行ssh-keygen命令，一路回车，生成秘钥证书
# ssh-keygen -t rsa
2、查看生成秘钥文件
# cd ~/.ssh
# ll
文件：私钥证书id_rsa、公钥证书id_rsa.pub
3、A对B建立信任关系
3.1 将公钥证书id_rsa.pub复制到机器B的root家目录的.ssh子目录中，同时将文件名更换为authorized_keys
# scp -r id_rsa.pub [email protected]:/root/.ssh/authorized_keys
3.2 若3.1报错：No such file or directory
使用：# ssh--id -i id_rsa.pub [email protected]
ssh--id命令会自动将id_rsa.pub文件的内容追加到远程主机root用户下.ssh/authorized_keys文件中
3.3 查看B机器是否接收
# ssh 192.168.1.2
# cd .ssh/
# ls
# cat authorized_keys
# exit
3.4 B对A建立信任，同上3的操作步骤
㈥ 如何使用SSH链接Linux
当在远程Linux主机上设置好ssh服务后，就可以用ssh连接了。如果客户端是linux系统，可以用ssh命令（这个是ssh客户端）连接，格式：
ssh 用户名@IP地址
例子：ssh [email protected]
它会提示是否信任这个主机并保存密钥，输入yes并回车，然后输入登录用户的密码就连上了。
如果客户端是Windows系统，一般是用putty或者xshell来连接，他俩都是免费的软件，putty还是绿色软件，下载下来直接运行就可以用，不需要安装，xshell可以用软件管家之类的软件安装，操作方面都是图形界面挺好操作的。