SSH原理图
image.png
客户端相关命令
ssh
ssh客户端 远程连接 远程执行命令
-P
指定端口号
ssh -p22 oldboy@10.0.0.41 whoami
没加密telnet软件
scp
远程传输数据
rpc remote cp未加密
-p(大写)
指定端口号
-r
复制目录的时候
scp -P22 -r /etc 172.16.1.41:/tmp
sftp
lrzsz rz 和sz
上传或下载
-P
xsell ---ssh
xftp ----sftp
创建秘钥认证
安装软件
[root@m01 ~] yum install -y sshpass pssh
创建秘钥对
SSH 密钥类型的的选择（rsa， dsa or other）
在用 ssh-keygen 生成密钥对时，通常会面临是使用RSA还是DSA的选择：RSA or DSA, this is a question! 今天在这里分析一下：
原理与安全性
RSA 与 DSA 都是非对称加密算法。其中RSA的安全性是基于极其困难的大整数的分解（两个素数的乘积）；DSA 的安全性是基于整数有限域离散对数难题。基本上可以认为相同密钥长度的 RSA 算法与 DSA 算法安全性相当。
有点要注意，RSA 的安全性依赖于大数分解，但是否等同于大数分解一直未能得到理论上的证明，因为没有证明破解 RSA 就一定需要作大数分解。不过也不必太过担心，RSA 从诞生以来，经历了各种攻击，至今未被完全攻破（依靠暴力破解，小于1024位密钥长度的 RSA 有被攻破的记录，但未从算法上被攻破）。
用途：
DSA 只能用于数字签名，而无法用于加密（某些扩展可以支持加密）；RSA 即可作为数字签名，也可以作为加密算法。不过作为加密使用的 RSA 有着随密钥长度增加，性能急剧下降的问题。
性能：
相同密钥长度下，DSA 做签名时速度更快，但做签名验证时速度较慢，一般情况验证签名的次数多于签名的次数。
相同密钥长度下，DSA （在扩展支持下）解密密文更快，而加密更慢；RSA 正好反过来，一般来说解密次数多于加密次数。不过由于非对称加密算法的先天性能问题，两者都不是加密的好选择。
业界支持：
在业界支持方面，RSA 显然是赢家。RSA 具有更为广泛的部署与支持。
使用 ssh-keygen 时的选择：
上面说了那么多，可以看到RSA 与 DSA 各有优缺点。回到开头的问题，在使用 ssh-keygen 时，RSA 与 DSA到底选哪个？ 比较有意思的是，这个问题最终答案与上面那些优缺点无关。虽然理论上可以生成更长长度的 DSA 密钥 （NIST FIPS 186-3），但ssh-keygen在生成 DSA 密钥时，其长度只能为1024位（基于NIST FIPS 186-2）；而 ssh-keygen 在 RSA 的密钥长度上没有限制。
由于小于1024位密钥长度的 RSA 已经有被攻破的记录，所以说现在：RSA 2048 位密钥是更好的选择。
[root@m01 ~]# ssh-keygen -t dsa
Generating public/private dsa key pair.
Enter file in which to save the key (/root/.ssh/id_dsa): ##输入存放秘钥的文件
Enter passphrase (empty for no passphrase): ##输入密码，空为无密码
Enter same passphrase again: ##再次输入一次
Your identification has been saved in /root/.ssh/id_dsa.
Your public key has been saved in /root/.ssh/id_dsa.pub.
The key fingerprint is:
SHA256:VW1UamyTZ0YDIHQxi00U7DrtJAX/BN0k5cbuhNRRA58 root@m01
The key's randomart image is:
+---[DSA 1024]----+
| .ooO**BB=|
| .*+ooO==|
| .=o.oBE+|
| . +.++= |
| S + o. o |
| + o .o |
| = . |
| . |
| |
+----[SHA256]-----+
如果想免交互创建秘钥的话，需要写脚本
#!/bin/bash
if [ ! -f /root/.ssh/id_dsa ]
then
ssh-keygen -t dsa -f /root/.ssh/id_dsa -P ""
echo "密钥创建成功"
else
echo "密钥已经创建"
fi
检查 秘钥
[root@m01 ~]# ll ~/.ssh/
total 12
-rw------- 1 root root 668 May 27 12:13 id_dsa
-rw-r--r-- 1 root root 598 May 27 12:13 id_dsa.pub
发送公钥 到backup端
[root@m01 ~]# ssh-copy-id -i ~/.ssh/id_dsa.pub 172.16.1.41
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_dsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@172.16.1.41's password:
Number of key(s) added: 1
Now try logging into the machine, with: "ssh '172.16.1.41'"
and check to make sure that only the key(s) you wanted were added.
发送成功以后，m01服务器~/.ssh/下会生成known_hosts文件， backup服务器~/.ssh/会生成authorized_keys文件
进行测试
[root@m01 ~]# ssh 10.0.0.8
Last login: Sat Oct 12 14:16:54 2019 from 10.0.0.61
[root@web02 ~]#
批量分发公钥脚本
[root@m01 /server/scripts]# cat fenfa_pub_key.sh
#!/bin/bash
for ip in 31 41 8
do
sshpass -proot ssh-copy-id -i /root/.ssh/id_dsa.pub root@10.0.0.$ip -o StrictHostKeyChecking=no &>/dev/null
if [ $? -eq 0 ]
#$?判断一个命令的返回值，0为成功
then
echo "10.0.0.$ip 秘钥分发成功"
else
echo "10.0.0.$ip 秘钥分发失败"
fi
done
[root@m01 ~]# sh /server/scripts/fenfa_pub_key.sh
10.0.0.31 秘钥分发失败 // 服务器未开启，所以失败
10.0.0.41 秘钥分发失败 // 服务器未开启，所以失败
10.0.0.8 秘钥分发成功 //正常
检查确认脚本
[root@m01 /server/scripts]# cat fenfa_pub_check.sh
#!/bin/bash
for ip in 31 41 7
do
ssh 172.16.1.$ip hostname &>/dev/null
if [ $? -eq 0 ]
then
echo "172.16.1.$ip 密钥检查成功"
echo ""
else
echo "172.16.1.$ip 密钥检查失败"
echo ""
fi
done
[root@m01 ~]# sh /server/scripts/fenfa_pub_check.sh
10.0.0.31 秘钥检查失败
10.0.0.41 秘钥检查失败
10.0.0.8 秘钥检查成功
例子：
给三台不同ip，不同密码，不同端口的主机分发密钥.
172.16.1.31 nfs01 root 123456 端口 52113
172.16.1.41 backup root 654321 端口 52114
172.16.1.7 web01 root 123123 端口 52115
[root@m01 /server/scripts]# cat test.txt
172.16.1.31 123456 52113
172.16.1.41 654321 52114
172.16.1.7 123123 52115
[root@m01 /server/scripts]# cat while_read_line.sh
#!/bin/bash
while read line
do
IP_info=$(echo $line|awk '{print $1}')
password_info=$(echo $line|awk '{print $2}')
port_info=$(echo $line|awk '{print $3}')
sshpass -p$password_info ssh-copy-id -i /root/.ssh/id_dsa.pub root@$IP_info -o StrictHostKeyChecking=no -p$port_info &>/dev/null
if [ $? -eq 0 ]
then
echo "主机:$IP_info, 密码:$password_info, 端口:$port_info 分发公钥成功."
echo ""
else
echo "主机:$IP_info 分发公钥失败"
echo ""
fi
done </server/scripts/test.txt
网友评论