从入门到精通:构建SSH安全通道

原创
安全 网站安全
本文详细讲述了构建SSH安全通道,通过SSH进行通信。

【51CTO.com独家特稿】SSH命令行实用程序是远程系统的工作人员安全访问的通道。SSH代表着“安全外壳”,所以你可能认为其最常用的使用方法就是用作一个远程外壳。也许这是其最常见的应用,但并非使用SSH的唯一的有趣方法。

一、连接、执行远程命令并使用授权密钥

1、创建一个连接

为通过SSH进行通信,你首先需要建立一个到达远程服务器的连接。使用SSH命令行实用程序时,我们有很多参数选择。最基本的命令行参数是:

1、SSH IP地址

在这里,IP地址就是你想要连接的服务器的IP地址。下面是一个简单的例子:

abc:~ jmjones$ ssh 192.168.1.20
The authenticity of host '192.168.1.20 (192.168.1.20)' can't be established.
RSA key fingerprint is 24:1e:2e:7c:3d:a5:cd:a3:3d:71:1f:6d:08:3b:8c:93.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.1.20' (RSA) to the list of known hosts.

注意,上面的消息中有这样一行“The authenticity of host '192.168.1.20 (192.168.1.20)' can't be established.”。这条消息意味着笔者的SSH 客户端并不知道远程服务器。笔者在这里用了“客户端”,因为SSH命令行实用程序初始化了网络并使其成为网络客户端。

在上面的消息中,SSH程序还询问作者是否希望继续连接(Are you sure you want to continue connecting (yes/no)? )笔者的回答是“yes”,因为笔者知道这台服务器正是笔者想连接的服务器。一般而言,对此问题回答“yes”是比较安全的。(但如果不怀好意的家伙假冒了你想连接的服务器,这样做就危险了。)在回答“yes”继续连接后,笔者的客户端用下面的内容更新了文件$HOME/.ssh/known_hosts:

192.168.1.20 ssh-rsa 
^4rsa5jmjones6cd7jmjones8^/^9cd10^+9^11yc12yc13rsa14AAAAB15^+^16r
sa17AAAAB18^99u2^19oT20oT21^7N7^22AAAAB23^+^24cd25^5f+^26ykuwQcXI
27EAAAABIwAAAQEAvb28jmjones29oT30commandline31^2Ax3J88^32commandl
ine33yc34^+rOB+gOdRaD+NTkuzrB/^38oT39^50L6^40oT41AAAAB42^61rq+9v+4^
44AAAAB45rsa46ykuwQcXI47^5q1P11^48AAAAB49gcgPr50^==

在笔者再次连接到同样的服务器时,笔者的SSH客户端将检查“known_hosts”文件,检查是否与上次的服务器相同。如果服务器传回的信息与“known_hosts”文件中的信息不匹配,就会看到类似于下面的消息:

abc:~ jmjones$ ssh 192.168.1.20
WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!    
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that the RSA host key has just been changed.
The fingerprint for the RSA key sent by the remote host is
24:1e:2e:7c:3d:a5:cd:a3:3d:71:1f:6d:08:3b:8c:93.
Please contact your system administrator.
Add correct host key in /Users/jmjones/.ssh/known_hosts to get rid of this message.
Offending key in /Users/jmjones/.ssh/known_hosts:1
RSA host key for 192.168.1.20 has changed and you have requested strict checking.
Host key verification failed.

2、口令验证

继续上面的例子。在回答了“yes”后,程序要求笔者输入口令。下面是此次交互的部分信息:

jmjones@192.168.1.20's password:
Be careful.
No mail.
Last login: Tue Dec 30 06:36:20 2008 from abc
jmjones@oksir:~$

笔者键入了口令,然后ssh客户端与远程服务器建立了一个交互连接。在此,可以看出登录到一个Linux服务器的证据,如上次登录的时间。

3、授权密钥

如果我们不想在每次登录时都键入口令该怎么办?或者,笔者是一个系统管理员,希望让服务器更强健,让不法之徒难以猜测,又该如何呢?我们可以使用一个公钥/私钥对来让登录到服务器的过程更安全更简单。

为使用公钥/ 私钥对,我们必须创建它。可通过在命令行使用ssh –keygen程序来达此目的。其实,该命令还是有许多参数的,如密钥的类型、想要创建的文件名、密钥文件的注释等,不过我们完全只使用默认选项。下面是笔者在没有使用任何参数时的结果:

abc:~ jmjones$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/Users/jmjones/.ssh/id_rsa):
Created directory '/Users/jmjones/.ssh'.
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /Users/jmjones/.ssh/id_rsa.
Your public key has been saved in /Users/jmjones/.ssh/id_rsa.pub.
The key fingerprint is:
fe:e9:fa:f5:e2:4e:a1:6c:9e:9e:20:a4:cc:ec:4f:62 jmjones@abc
The key's randomart image is:
+--[ RSA 2048]----+
|                 |
|                 |
|                 |
|                 |
|      . S   .    |
|   + o . . . .   |
|    E o o + o    |
|   o o . = *..   |
|    ... .=Xoo..  |
+-----------------+

笔者接受了“id_rsa”作为密钥文件,还接受了不输入任何口令短语的默认选项。如果选择了给文件添加一个口令短语,那么在每次使用时都得输入此短语。运行ssh-keygen的结果是在$HOME/.ssh文件中生成了两个文件:

abc:~ jmjones$ ls -l ~/.ssh/
total 16
-rw-------  1 jmjones  staff  1675 Dec 30 17:37 id_rsa
-rw-r--r--  1 jmjones  staff   400 Dec 30 17:37 id_rsa.pub

“id_rsa”是笔者的私钥。笔者并不希望任何人可以访问这个文件,以防止其他人冒充自己。注意,对“id_rsa”的限制强于对“id_rsa.pub”的限制。笔者可以将此文件传送给希望连接的任何人。不用担心,任何人都无法猜测我们的私钥是什么。

如果笔者希望将此密钥用于前面例子中的服务器,就可将公钥的内容放到远程服务器的“$HOME/.ssh/authorized_keys”文件中。为了设置正确,我们一般需要以SSH 方式连接到远程服务器并将本地的“id_rsa.pub”文件复制到远程“authorized_keys”文件中,如下所示:

jmjones@oksir:~$ echo "ssh-rsa 
AAAAB3NzaC1yc2EAAAABIwAAAQEAw4DTUeLXZbjjNhR+AaW9^102rsa103^+Pg2+Q
8M+gK/IGDbPjsAV4KwulqDWS+ChlIiq0wXj/bQKQwZacbghXud/YBI7FfYOkF1R9p
FZ7O9B7zJGAnAtcOEDLfyDhYF2Cl5/1HFolIUuUSCGPJy3bbIK5s6yNwQV6cW6yEF
UuqE8DHlGKf9jwDFgiXrhtuThH2EFGBCxELaumworegMD39Jb9^123rsa124^1zWF
qP2qHX/SzItHm1JrKJdnbsOn5h+KMTeztpn1AExOx1lxSFLk9lp4JAMk8NTURYmBc
AE6yASaQApw5jDw/JpSAdFaQR/Vl6Kpzf9MD1KAEpyd8RaxLa+RQ== jmjones@abc" > ~/.ssh/authorized_keys
jmjones@oksir:~$ ls -l ~/.ssh/
total 4
-rw-r--r-- 1 jmjones jmjones 400 2008-12-30 17:48 authorized_keys
jmjones@oksir:~$

此后,在登录时,程序就不再提示输入口令。这里,登出服务器,然后再次以SSH方式进入:

jmjones@oksir:~$ logout
Connection to 192.168.1.20 closed.
abc:~ jmjones$ ssh 192.168.1.20
Be careful.
No mail.
Last login: Tue Dec 30 17:50:26 2008 from abc

请注意,笔者的客户端并没有提示要求输入口令。现在,只要想连接到此服务器,只要想以SSH方式登录,便会立即连接。

4、执行远程命令

前面提到,在SSH连接到远程服务器后,默认地我们就处于外壳提示符下,但这并不是我们可做的唯一事情。使用SSH客户端的另外一个有用方法是在远程服务器上执行命令,而不用键入到远程服务器上的交互外壳中。也就是说,在本地系统上执行SSH程序时,你可以指定在远程系统上运行什么命令。例如,如果希望看到某个进程是否正在远程系统的25号端口上监听,可像如下一样操作:

abc:~ jmjones$ ssh 192.168.1.20 netstat -ltpn | grep 25
(Not all processes could be identified, non-owned process info
 will not be shown, you would have to be root to see it all.)
tcp    0   0 127.0.0.1:25   0.0.0.0:*  LISTEN      -

在第一行中,其语法是“ssh 地址 命令”,我们可以用此法检查磁盘的利用率,查看有哪些进程正在运行,或复制文件等。

为什么不直接登录然后以交互方式运行命令呢?因为这会丧失脚本的好处。从现在起,在远程系统上执行命令成为外壳脚本的一部分。

可以看出,SSH是一个重要的工具。就其一般的使用情况,它准许我们在远程服务器上以交互方式管理外壳。这对于远程系统管理来说当然是很有必要的。不过,通过使用授权密钥,我们还可以增强认证过程的安全性。它准许我们在远程系统上运行外壳脚本而无需处于交互式外壳中。#p# 本文

二、实用安全:构建SSH安全通道

下面我们讨论一些比远程外壳访问或远程执行更为有趣的内容:创建隧道。

1、构建隧道的理由

先谈谈什么是隧道。

SSH隧道也就是用加密的SSH协议将网络通信包装起来的过程。隧道包括一个连接到SSH服务器的SSH客户端。不过,在SSH客户端连接到服务器时,客户端指定了隧道的源和目的地。

所谓的源也就是其它的进程可以连接的绑定网络端口。这个端口要么由SSH客户端,要么由SSH服务器管理。

目的地是另外一个绑定的网络端口,不过,这里指的是另外的一个网络服务器,它是SSH隧道的另外一端可以与之通信的服务器。下面笔者将用一个例子更详细地阐述之。读者尽可以将SSH隧道看作是如同安全的端口转发一样的数据传输通道。

使用SSH隧道的一个重要理由是连接两个彼此并不能直接访问的两个网络。举一个例子,假如你拥有一台笔记本电脑,你想不管身在何处都能够连接到家里的IMAP服务器。你可以打开家里的IMAP服务器的访问,不过这并不是一个好主意。你可以在路由器上建立一个VPN隧道,不过,这样也许有点太过于奢侈。当然,在你想访问IMAP服务时,你还可以创建一个从笔记本电脑到家里网络的SSH隧道。后文将有一个例子。

使用SSH隧道的第二个理由是它可以加密网络通信。在IMAP的例子中,使用SSH的另外一个好处是电子邮件数据是加密的。在你与亲朋好友通信时,这些通信数据在通过互联网上的隧道传输时是很安全的。不过,在这种通信进入隧道之前和离开隧道后它并没有经过加密。

使用SSH时,有两种安全的端口转发:本地转发和远程转发。对于本地转发而言,SSH客户端管理源端口。对于远程转发而言,SSH服务器管理源端口。你选择的是本地或远程转发都依赖于哪个系统发起连接,哪个系统在其上拥有SSH服务器,你在哪里需要隧道的源地址。

下面给出本地转发的一个例子。继续以上面的IMAP连接为例,假设我有一台名称为“abc”的笔记本电脑,我想访问“oksir”机器上的一个IMAP服务器。为什么不直接连接到“oksir”呢?如果“oksir”位于防火墙之后而你无法连接到143端口,那么使用ssh隧道就是一个很好的选择。

abc:~ jmjones$ ssh -L 8143:localhost:143 oksir

注意,这里的“-L”参数指明了这是一种本地转发。而“8143”指明了笔者希望将127.0.0.1:8143绑定为隧道源。“localhost:143”指明了要将通信转发到何处。虽然在远程端上指明为“localhost”,但也可以指定远程系统可以与之通信的任何地址和端口。最后,“oksir”指明了笔者希望以SSH方式进入的机器。

在运行此命令之前,笔者运行了netstat命令,查看在笔记本电脑“abc”上是否有什么东西正在8143端口上监听:

abc:~ jmjones$ netstat -an | grep 8143
abc:~ jmjones$

根据运行的结果可知没有什么正在监听,在创建隧道之后,再次运行netstat命令,这时看到了不同的结果:

abc:~ jmjones$ netstat -an | grep 8143
tcp4     0     0  127.0.0.1.8143   *.*    LISTEN
tcp6       0      0  ::1.8143 

从上面的netstat命令的运行结果可以看出,SSH客户端上的某程序正在127.0.0.1(本地的循环网络设备)的8143端口上监听。任何与127.0.0.1:8143的连接都将被转发给“oksir”上的localhost:143端口上。在创建隧道后,需要在笔记本电脑的电子邮件客户端上配置一个账户,在locahos:8143上找一个IMAP服务器,并开始在“oksir”上读邮件。

现在,我们假定服务器“oksir”使用fetchmail,并从ISP的pop3服务器上读取邮件消息。但问题是笔者的ISP仅允许连接到其网络机器可以访问其pop3服务器。因为笔者的笔记本电脑“abc”直接连接到ISP和服务器:

2、可创建类似于下面的一个隧道:

abc:~ jmjones$ ssh -R 8110:mail.myisp.com:110 oksir

在上面的命令中,“-R”指明这是一个反向转发,“8110”指明8110端口上监听并绑定之。“mail.myisp.com:110”指定笔记本电脑将会转发从隧道接收的任何通信。“oksir”是以ssh方式连接的机器。

在运行SSH之前,在服务器上运行了netstat命令,显示出没有什么程序正在8110端口上监听:

jmjones@oksir:~$ netstat -an | grep 8110
jmjones@oksir:~$

笔者并没有看到什么程序在监听。在笔记本电脑上运行了ssh命令后,在服务器上运行了同样的命令:

jmjones@oksir:~$ netstat -an | grep 8110
tcp    0    0 127.0.0.1:8110   0.0.0.0:*     LISTEN
tcp6   0   0 ::1:8110     :::*          LISTEN

在创建隧道后,fetchmail可在localhost:8110上运行,并将请求转发给ISP。当然,在笔记本电脑连接到服务器和ISP的邮件服务器时,这个隧道才是活动的。

总之,通过SSH建立隧道是实现安全的数据通信的一种简单方法。同时,它还是连接两个并不直接相连的两个网络的一种简便方法。在找出使用它的方法后,它就成为一个不可替换的好工具。

【51CTO.COM 独家特稿,转载请注明出处及作者?】

【编辑推荐】

  1. 用SSH建立安全通道
  2. SSH客户端的安装方法
责任编辑:许凤丽 来源: 51CTO.com
相关推荐

2011-10-26 20:47:36

ssh 安全

2022-06-10 08:17:52

HashMap链表红黑树

2016-12-08 22:39:40

Android

2010-02-06 15:31:18

ibmdwAndroid

2009-07-22 14:55:16

ibmdwAndroid

2017-05-09 08:48:44

机器学习

2012-02-29 00:49:06

Linux学习

2010-11-08 10:20:18

2024-02-26 08:52:20

Python传递函数参数参数传递类型

2022-09-02 15:11:18

开发工具

2009-07-03 18:49:00

网吧综合布线

2023-10-13 08:23:05

2017-01-09 09:34:03

Docker容器传统虚拟机

2024-01-11 09:35:12

单元测试Python编程软件开发

2023-05-09 08:34:51

PythonWith语句

2010-09-25 11:51:39

无线路由器

2011-06-07 10:33:11

Android Activity

2023-09-26 22:26:15

Python代码

2018-06-12 11:01:55

HBase误删数据
点赞
收藏

51CTO技术栈公众号