在 Linux 中配置基于密鑰認(rèn)證的 SSH
什么是基于 SSH 密鑰的認(rèn)證？
Secure Shell，又稱?SSH，是允許你通過無安全網(wǎng)絡(luò)（例如 Internet）和遠(yuǎn)程系統(tǒng)之間安全訪問/通信的加密網(wǎng)絡(luò)協(xié)議。無論何時(shí)使用 SSH 在無安全網(wǎng)絡(luò)上發(fā)送數(shù)據(jù)，它都會在源系統(tǒng)上自動地被加密，并且在目的系統(tǒng)上解密。SSH 提供了四種加密方式，基于密碼認(rèn)證，基于密鑰認(rèn)證，基于主機(jī)認(rèn)證和鍵盤認(rèn)證。最常用的認(rèn)證方式是基于密碼認(rèn)證和基于密鑰認(rèn)證。
在基于密碼認(rèn)證中，你需要的僅僅是遠(yuǎn)程系統(tǒng)上用戶的密碼。如果你知道遠(yuǎn)程用戶的密碼，你可以使用?ssh user@remote-system-name?訪問各自的系統(tǒng)。另一方面，在基于密鑰認(rèn)證中，為了通過 SSH 通信，你需要生成 SSH 密鑰對，并且為遠(yuǎn)程系統(tǒng)上傳 SSH 公鑰。每個(gè) SSH 密鑰對由私鑰與公鑰組成。私鑰應(yīng)該保存在客戶系統(tǒng)上，公鑰應(yīng)該上傳給遠(yuǎn)程系統(tǒng)。你不應(yīng)該將私鑰透露給任何人。希望你已經(jīng)對 SSH 和它的認(rèn)證方式有了基本的概念。
這篇教程，我們將討論如何在 Linux 上配置基于密鑰認(rèn)證的 SSH。
在 Linux 上配置基于密鑰認(rèn)證的 SSH
為方便演示，我將使用 Arch Linux 為本地系統(tǒng)，Ubuntu 18.04 LTS 為遠(yuǎn)程系統(tǒng)。
本地系統(tǒng)詳情：
OS: Arch Linux Desktop
IP address: 192.168.225.37/24
遠(yuǎn)程系統(tǒng)詳情：
OS: Ubuntu 18.04 LTS Server
IP address: 192.168.225.22/24
本地系統(tǒng)配置
就像我之前所說，在基于密鑰認(rèn)證的方法中，想要通過 SSH 訪問遠(yuǎn)程系統(tǒng)，需要將公鑰上傳到遠(yuǎn)程系統(tǒng)。公鑰通常會被保存在遠(yuǎn)程系統(tǒng)的一個(gè)?~/.ssh/authorized_keys?文件中。
注意事項(xiàng)：不要使用?root?用戶生成密鑰對，這樣只有 root 用戶才可以使用。使用普通用戶創(chuàng)建密鑰對。
現(xiàn)在，讓我們在本地系統(tǒng)上創(chuàng)建一個(gè) SSH 密鑰對。只需要在客戶端系統(tǒng)上運(yùn)行下面的命令。
1 | $ ssh-keygen |
上面的命令將會創(chuàng)建一個(gè) 2048 位的 RSA 密鑰對。你需要輸入兩次密碼。更重要的是，記住你的密碼。后面將會用到它。
樣例輸出：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 | Generating public/private rsa key pair. Enter file in which to save the key (/home/sk/.ssh/id_rsa): Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /home/sk/.ssh/id_rsa. Your public key has been saved in /home/sk/.ssh/id_rsa.pub. The key fingerprint is: SHA256:wYOgvdkBgMFydTMCUI3qZaUxvjs+p2287Tn4uaZ5KyE [email?protected] The key's randomart image is: +---[RSA 2048]----+ |+=+*= + | |o.o=.* = | |.oo * o + | |. = + . o | |. o + . S | | . E . | | + o | | +.*o+o | | .o*=OO+ | +----[SHA256]-----+ |
如果你已經(jīng)創(chuàng)建了密鑰對，你將看到以下信息。輸入?y?就會覆蓋已存在的密鑰。
1 2 | /home/username/.ssh/id_rsa already exists. Overwrite (y/n)? |
請注意密碼是可選的。如果你輸入了密碼，那么每次通過 SSH 訪問遠(yuǎn)程系統(tǒng)時(shí)都要求輸入密碼，除非你使用了 SSH 代理保存了密碼。如果你不想要密碼（雖然不安全），簡單地敲兩次回車。不過，我建議你使用密碼。從安全的角度來看，使用無密碼的 ssh 密鑰對不是什么好主意。這種方式應(yīng)該限定在特殊的情況下使用，例如，沒有用戶介入的服務(wù)訪問遠(yuǎn)程系統(tǒng)。（例如，用?rsync?遠(yuǎn)程備份……）
如果你已經(jīng)在個(gè)人文件?~/.ssh/id_rsa?中有了無密碼的密鑰，但想要更新為帶密碼的密鑰。使用下面的命令：
1 | $ ssh-keygen -p -f ~/.ssh/id_rsa |
樣例輸出：
1 2 3 | Enter new passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved with the new passphrase. |
現(xiàn)在，我們已經(jīng)在本地系統(tǒng)上創(chuàng)建了密鑰對。接下來，使用下面的命令將 SSH 公鑰拷貝到你的遠(yuǎn)程 SSH 服務(wù)端上。
1 | $ ssh-copy-id sk@192.168.225.22 |
在這里，我把本地（Arch Linux）系統(tǒng)上的公鑰拷貝到了遠(yuǎn)程系統(tǒng)（Ubuntu 18.04 LTS）上。從技術(shù)上講，上面的命令會把本地系統(tǒng)?~/.ssh/id_rsa.pub?文件中的內(nèi)容拷貝到遠(yuǎn)程系統(tǒng)?~/.ssh/authorized_keys?中。明白了嗎？非常棒。
輸入?yes?來繼續(xù)連接你的遠(yuǎn)程 SSH 服務(wù)端。接著，輸入遠(yuǎn)程系統(tǒng)用戶?sk?的密碼。
1 2 3 4 5 6 7 8 | /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed /usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys sk@192.168.225.22's password: ? Number of key(s) added: 1 ? Now try logging into the machine, with: "ssh 'sk@192.168.225.22'" and check to make sure that only the key(s) you wanted were added. |
如果你已經(jīng)拷貝了密鑰，但想要替換為新的密碼，使用?-f?選項(xiàng)覆蓋已有的密鑰。
1 | $ ssh-copy-id -f sk@192.168.225.22 |
我們現(xiàn)在已經(jīng)成功地將本地系統(tǒng)的 SSH 公鑰添加進(jìn)了遠(yuǎn)程系統(tǒng)?，F(xiàn)在，讓我們在遠(yuǎn)程系統(tǒng)上完全禁用掉基于密碼認(rèn)證的方式。因?yàn)槲覀円呀?jīng)配置了密鑰認(rèn)證，因此不再需要密碼認(rèn)證了。
在遠(yuǎn)程系統(tǒng)上禁用基于密碼認(rèn)證的 SSH
你需要在 root 用戶或者?sudo?執(zhí)行下面的命令。
禁用基于密碼的認(rèn)證，你需要在遠(yuǎn)程系統(tǒng)的終端里編輯?/etc/ssh/sshd_config?配置文件：
1 | $ sudo vi /etc/ssh/sshd_config |
找到下面這一行，去掉注釋然后將值設(shè)為?no：
1 | PasswordAuthentication no |
重啟 ssh 服務(wù)讓它生效。
1 | $ sudo systemctl restart sshd |
從本地系統(tǒng)訪問遠(yuǎn)程系統(tǒng)
在本地系統(tǒng)上使用命令 SSH 你的遠(yuǎn)程服務(wù)端：
1 | $ ssh sk@192.168.225.22 |
輸入密碼。
樣例輸出：
1 2 3 | Enter passphrase for key '/home/sk/.ssh/id_rsa': Last login: Mon Jul 9 09:59:51 2018 from 192.168.225.37 sk@ubuntuserver:~$ |
現(xiàn)在，你就能 SSH 你的遠(yuǎn)程系統(tǒng)了。如你所見，我們已經(jīng)使用之前?ssh-keygen?創(chuàng)建的密碼登錄進(jìn)了遠(yuǎn)程系統(tǒng)的賬戶，而不是使用當(dāng)前賬戶實(shí)際的密碼。
如果你試圖從其它客戶端系統(tǒng) ssh（遠(yuǎn)程系統(tǒng)），你將會得到這條錯(cuò)誤信息。比如，我試圖通過命令從 CentOS SSH 訪問 Ubuntu 系統(tǒng)：
樣例輸出：
1 2 3 4 5 | The authenticity of host '192.168.225.22 (192.168.225.22)' can't be established. ECDSA key fingerprint is 67:fc:69:b7:d4:4d:fd:6e:38:44:a8:2f:08:ed:f4:21. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added '192.168.225.22' (ECDSA) to the list of known hosts. Permission denied (publickey). |
如你所見，除了 CentOS（LCTT 譯注：根據(jù)上文，這里應(yīng)該是 Arch）系統(tǒng)外，我不能通過其它任何系統(tǒng) SSH 訪問我的遠(yuǎn)程系統(tǒng) Ubuntu 18.04。
為 SSH 服務(wù)端添加更多客戶端系統(tǒng)的密鑰
這點(diǎn)非常重要。就像我說過的那樣，除非你配置過（在之前的例子中，是 Ubuntu），否則你不能通過 SSH 訪問到遠(yuǎn)程系統(tǒng)。如果我希望給更多客戶端予以權(quán)限去訪問遠(yuǎn)程 SSH 服務(wù)端，我應(yīng)該怎么做？很簡單。你需要在所有的客戶端系統(tǒng)上生成 SSH 密鑰對并且手動拷貝 ssh 公鑰到想要通過 ssh 訪問的遠(yuǎn)程服務(wù)端上。
在客戶端系統(tǒng)上創(chuàng)建 SSH 密鑰對，運(yùn)行：
1 | $ ssh-keygen |
輸入兩次密碼?，F(xiàn)在，ssh 密鑰對已經(jīng)生成了。你需要手動把公鑰（不是私鑰）拷貝到遠(yuǎn)程服務(wù)端上。
使用以下命令查看公鑰：
1 | $ cat ~/.ssh/id_rsa.pub |
應(yīng)該會輸出類似下面的信息：
1 | ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCt3a9tIeK5rPx9p74/KjEVXa6/OODyRp0QLS/sLp8W6iTxFL+UgALZlupVNgFjvRR5luJ9dLHWwc+d4umavAWz708e6Na9ftEPQtC28rTFsHwmyLKvLkzcGkC5+A0NdbiDZLaK3K3wgq1jzYYKT5k+IaNS6vtrx5LDObcPNPEBDt4vTixQ7GZHrDUUk5586IKeFfwMCWguHveTN7ykmo2EyL2rV7TmYq+eY2ZqqcsoK0fzXMK7iifGXVmuqTkAmZLGZK8a3bPb6VZd7KFum3Ezbu4BXZGp7FVhnOMgau2kYeOH/ItKPzpCAn+dg3NAAziCCxnII9b4nSSGz3mMY4Y7 ostechnix@centosserver |
拷貝所有內(nèi)容（通過 USB 驅(qū)動器或者其它任何介質(zhì)），然后去你的遠(yuǎn)程服務(wù)端的終端，像下面那樣，在?$HOME?下創(chuàng)建文件夾叫做?.ssh。你需要以 root 身份執(zhí)行命令（注：不一定需要 root）。
1 | $ mkdir -p ~/.ssh |
現(xiàn)在，將前幾步創(chuàng)建的客戶端系統(tǒng)的公鑰添加進(jìn)文件中。
1 | echo {Your_public_key_contents_here} >> ~/.ssh/authorized_keys |
在遠(yuǎn)程系統(tǒng)上重啟 ssh 服務(wù)?，F(xiàn)在，你可以在新的客戶端上 SSH 遠(yuǎn)程服務(wù)端了。
如果覺得手動添加 ssh 公鑰有些困難，在遠(yuǎn)程系統(tǒng)上暫時(shí)性啟用密碼認(rèn)證，使用?ssh-copy-id?命令從本地系統(tǒng)上拷貝密鑰，最后禁用密碼認(rèn)證。
下載文檔
