|
 |
栏目导栏 |
|
| |
|
|
|
|
|
资料搜索 |
|
| |
|
|
|
|
|
热门文章 |
|
| |
|
|
|
|
|
最新文章 |
|
| |
|
|
|
| |
| |
|
|
|
| |
| OpenSSH学习笔记(安装配置openssh-4.6p1) |
|
本文系作者原创，转载请保留出处：http://marion.cublog.cn jqyLinux联盟
jqyLinux联盟
一、关闭并卸载RedHat9.0自带的Openssh jqyLinux联盟
jqyLinux联盟
1.1 停止服务 jqyLinux联盟
jqyLinux联盟
#service sshd stop jqyLinux联盟
jqyLinux联盟
1.2 卸载Openssh jqyLinux联盟
jqyLinux联盟
#rpm -e openssh --nodeps jqyLinux联盟
#rpm -e openssh-server --nodeps jqyLinux联盟
#rpm -e openssh-clients --nodeps jqyLinux联盟
#rpm -e openssh-askpass-gnome jqyLinux联盟
#rpm -e openssh-askpass jqyLinux联盟
jqyLinux联盟
二、下载安装最新的openssl和openssh jqyLinux联盟
jqyLinux联盟
2.1 下载相关软件包至/usr/local/src目录 jqyLinux联盟
jqyLinux联盟
http://www.openssl.org/source/openssl-0.9.8e.tar.gz jqyLinux联盟
jqyLinux联盟
jqyLinux联盟
2.2 安装openssl jqyLinux联盟
jqyLinux联盟
#cd /usr/local/src jqyLinux联盟
#tar zxvf openssl-0.9.8e.tar.gz jqyLinux联盟
#cd openssl-0.9.8e jqyLinux联盟
#./config shared zlib jqyLinux联盟
#make jqyLinux联盟
#make test jqyLinux联盟
#make install jqyLinux联盟
mv /usr/bin/openssl /usr/bin/openssl.OFF jqyLinux联盟
mv /usr/include/openssl /usr/include/openssl.OFF jqyLinux联盟
ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl jqyLinux联盟
ln -s /usr/local/ssl/include/openssl /usr/include/openssl jqyLinux联盟
jqyLinux联盟
2.3 配置库文件搜索路径 jqyLinux联盟
jqyLinux联盟
#echo "/usr/local/ssl/lib" >> /etc/ld.so.conf jqyLinux联盟
#ldconfig -v jqyLinux联盟
jqyLinux联盟
2.4 查看openssl的版本号，以验正是否安装正确 jqyLinux联盟
jqyLinux联盟
#openssl version -a jqyLinux联盟
OpenSSL 0.9.8e 11 Apr 2007 jqyLinux联盟
built on: Sat Mar 24 21:24:41 CST 2007 jqyLinux联盟
platform: linux-elf jqyLinux联盟
options: bn(64,32) md2(int) rc4(idx,int) des(ptr,risc1,16,long) idea(int) blowfish(idx) jqyLinux联盟
compiler: gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -DL_ENDIAN -DTERMIO -O3 -fomit-frame-pointer -Wall -DOPENSSL_BN_ASM_PART_WORDS -DOPENSSL_IA32_SSE2 -DSHA1_ASM -DMD5_ASM -DRMD160_ASM -DAES_ASM jqyLinux联盟
OPENSSLDIR: "/usr/local/ssl" jqyLinux联盟
jqyLinux联盟
三、下载安装最新的openssh jqyLinux联盟
jqyLinux联盟
3.1 下载相关软件包至/usr/local/src目录 jqyLinux联盟
jqyLinux联盟
ftp://openbsd.nsysu.edu.tw/BSD/OpenBSD/OpenSSH/portable/openssh-4.6p1.tar.gz jqyLinux联盟
jqyLinux联盟
3.2 安装 jqyLinux联盟
jqyLinux联盟
#cd /usr/local/src jqyLinux联盟
#tar zxvf openssh-4.6p1.tar.gz jqyLinux联盟
#cd openssh-4.6p1 jqyLinux联盟
#./configure --prefix=/usr --sysconfdir=/etc/ssh --with-pam --with-zlib --with-ssl-dir=/usr/local/ssl --with-md5-passwords --mandir=/usr/share/man jqyLinux联盟
#make jqyLinux联盟
#make install jqyLinux联盟
jqyLinux联盟
3.3 查看openssh版本号，验正安装结果 jqyLinux联盟
jqyLinux联盟
# ssh -v jqyLinux联盟
OpenSSH_4.6p1, OpenSSL 0.9.8e 11 Apr 2007 jqyLinux联盟
usage: ssh [-1246AaCfgkMNnqsTtVvXxY] [-b bind_address] [-c cipher_spec] jqyLinux联盟
[-D [bind_address:]port] [-e escape_char] [-F configfile] jqyLinux联盟
[-i identity_file] [-L [bind_address:]port:host:hostport] jqyLinux联盟
[-l login_name] [-m mac_spec] [-O ctl_cmd] [-o option] [-p port] jqyLinux联盟
[-R [bind_address:]port:host:hostport] [-S ctl_path] jqyLinux联盟
[-w local_tun[:remote_tun]] [user@]hostname [command] jqyLinux联盟
jqyLinux联盟
四、启动并验正服务的开启状况 jqyLinux联盟
jqyLinux联盟
4.1 调试启动，如果以下显示均正常，就可以正常启动sshd了。 jqyLinux联盟
jqyLinux联盟
#/usr/sbin/sshd -d jqyLinux联盟
debug1: sshd version OpenSSH_4.6p1 jqyLinux联盟
debug1: private host key: #0 type 0 RSA1 jqyLinux联盟
debug1: read PEM private key done: type RSA jqyLinux联盟
debug1: private host key: #1 type 1 RSA jqyLinux联盟
debug1: read PEM private key done: type DSA jqyLinux联盟
debug1: private host key: #2 type 2 DSA jqyLinux联盟
debug1: rexec_argv[0]='/usr/sbin/sshd' jqyLinux联盟
debug1: rexec_argv[1]='-d' jqyLinux联盟
socket: Address family not supported by protocol jqyLinux联盟
debug1: Bind to port 22 on 0.0.0.0. jqyLinux联盟
Server listening on 0.0.0.0 port 22. jqyLinux联盟
Generating 768 bit RSA key. jqyLinux联盟
RSA key generation complete. jqyLinux联盟
jqyLinux联盟
4.2 启动服务 jqyLinux联盟
jqyLinux联盟
#/usr/sbin/sshd jqyLinux联盟
jqyLinux联盟
4.3 查看监听端口中是否有22 jqyLinux联盟
jqyLinux联盟
#netstat -tnlp | grep :22 jqyLinux联盟
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 21018/sshd jqyLinux联盟
jqyLinux联盟
4.4 尝试从本机通过ssh登录 jqyLinux联盟
jqyLinux联盟
# ssh root@localhost jqyLinux联盟
The authenticity of host 'localhost (127.0.0.1)' can't be established. jqyLinux联盟
RSA key fingerprint is 03:eb:80:fe:07:d9:9d:00:1c:15:37:93:d1:d3:8e:6d. jqyLinux联盟
Are you sure you want to continue connecting (yes/no)? yes jqyLinux联盟
Warning: Permanently added 'localhost' (RSA) to the list of known hosts. jqyLinux联盟
root@localhost's password: jqyLinux联盟
Last login: Wed Apr 11 11:29:04 2007 from localhost.localdomain jqyLinux联盟
jqyLinux联盟
五、sshd进程及其相关参数详细说明 jqyLinux联盟
jqyLinux联盟
sshd服务是OpenSSH的守护进程。此服务附带的工具程序可以取代rlogin和rsh，在两台会话的主机间通过非安全的Internet 建立起安全的加密连接。sshd监听来自客户端的连接请求，并在接收到请求时fork一个子进程；此子进程将负责处理密钥交换、加密、认证、命令执行及数据传输等。可以使用命令行选项或者配置文件来配置启动sshd，但命令行中指定的选项将优先于配置文件中的相同选项。 jqyLinux联盟
jqyLinux联盟
-4 强制sshd仅接收来自IPv4格式地址的请求； jqyLinux联盟
jqyLinux联盟
-6 强制sshd仅接收来自IPv6格式地址的请求； jqyLinux联盟
jqyLinux联盟
-b 指定ssh v1中服务器密钥的长度位数； jqyLinux联盟
jqyLinux联盟
-D 此选项只是用来监视sshd的启动状态，在附加此选项时，sshd不会作为一个守护进程启动； jqyLinux联盟
jqyLinux联盟
-d 此选项将启动调试模式；sshd服务的启动状态会在前台显示，并把详细的调试信息输出至日志文件；此时， sshd不会fork新的子进程，因此仅仅能接受一个连接请求。此先项主要用来调试sshd； jqyLinux联盟
jqyLinux联盟
-e 输出错误信息到日志文件，不包括正常的调试信息； jqyLinux联盟
jqyLinux联盟
-f 此选项后接指定的配置文件；默认为/etc/ssh/sshd_config; jqyLinux联盟
jqyLinux联盟
-g 此选项后跟一个时间期限，默认单位是秒，用来为客户端认证期间提供一个可以等待的期限；如果客户端在此指定期限内认证错误，sshd将断开连接并退出;0表示无时间限制; jqyLinux联盟
jqyLinux联盟
-h 此选项后跟一个主机密钥文件，用来指定一个sshd启动时读取的主机密钥文件；在以非root身份启动sshd时必须指定此选项（因为默认的key文件只有root具有读权限）;ssh v1默认的key文件为/etc/ssh/ssh_host_key,sshd v2默认的key文件为 /etc/ssh/ssh_host_rsa_key以 jqyLinux联盟
及/etc/ssh/ssh_host_dsa_key;可以为不同版本的协议及不同的密钥算法指定不同的key文件； jqyLinux联盟
jqyLinux联盟
-i 此选项用来指定通过inetd守护进程启动sshd；sshd需要生成服务端密钥才能接受客户端的请求，这将需要大约10秒钟的时间，如果每个请求都重新生成一次密钥的话，客户端将不得不等待较长的时间，因此，默认情况下是不使用inet方式启动sshd的；如果使用较短长度的密钥，此选项将是一个颇富弹性的选择； jqyLinux联盟
jqyLinux联盟
-k 此选项后跟一个时间期限，用来为ssh v1指定一个重新生成服务端key的时间间隔（默认为一个小时）；如此频繁的生成密钥的目的在于不必存储密钥，因此，超过了一个小时后恢复通讯期间加密的数据几乎是不可能的，哪怕机器被攻入亦或被占据，这将在很大程度上提高了安全性；0表示不重新生成密钥； jqyLinux联盟
jqyLinux联盟
-o 用来为配置文件指定一个新的可用选项； jqyLinux联盟
jqyLinux联盟
-p 指定sshd服务监听的端口（默认是22），可以同时指定多个端口；如果使用此选项，则会忽略配置文件中指定的端口； jqyLinux联盟
jqyLinux联盟
-q 安静模式，此种情况下将不会产生任何系统日志；正常情况下，服务启动、认证以及每一次终端登录都会被记录； jqyLinux联盟
jqyLinux联盟
-t 测试模式，仅用来检查配置文件的正确性及密钥是否健壮；此选项多用在配置文件改动时； jqyLinux联盟
jqyLinux联盟
六、sshd相关的文件详细说明 jqyLinux联盟
jqyLinux联盟
~/.hushlogin jqyLinux联盟
如果配置文件中分别启用了PrintLastLog和PrintMotd选项，则此文件可以用来在屏幕显示前一次的登录时间以及/etc/motd的内容。但不会显示Banner选项指定的banner。 jqyLinux联盟
jqyLinux联盟
~/.rhosts jqyLinux联盟
此文件主要用来实现主机间的认证。如果你的主机上有些用户的主目录位于NFS文件系统上，则必需把这个文件的权限置为全局可读，因为 sshd进程将以root的身份读取此文件。此外，此文件属主必须为相关用户，且其他任何用户均不能具有写权限。一般推荐的权限为600。 jqyLinux联盟
jqyLinux联盟
~/.ssh/authorized_keys jqyLinux联盟
此文件存储的是用户的公钥，当其远程登录时可以用此公钥为其进行认证。公钥信息并非要求高度安全性的文件，但仍推荐将其权限置为700。如果此文件、~/.ssh目录或者此用户的主目录能被其他用户读取，则此文件将可能被其他非授权用户修改或置换。此种情况下，除非在主配置文件中把 StrictModes的值置为"no"，否则sshd将不允许使用此文件。 jqyLinux联盟
jqyLinux联盟
~/.ssh/environment jqyLinux联盟
如果此文件存在，将会在用户登录时读入用户的环境。它只能包含空行、以"#"开头的注释行以及形如“name=value”赋值行，推荐权限为600。默认情况下此功能是禁止的，可以通过PermitUserEnviroment选项开启。 jqyLinux联盟
jqyLinux联盟
~/.ssh/known_hosts jqyLinux联盟
用户曾成功登入过的主机的host key都将存放于此文件，但不包括系统间已经互相成功认证的主机host key，只能让root和属主具有读写权限。 jqyLinux联盟
jqyLinux联盟
~/.ssh/rc jqyLinux联盟
此文件用来在用户的主目录不能正常访问前初始化用户的登录环境，其权限应该为600。 jqyLinux联盟
jqyLinux联盟
/etc/host.equiv jqyLinux联盟
用于主机间的认证，只能让root用户可写。 jqyLinux联盟
jqyLinux联盟
/etc/nologin jqyLinux联盟
如果这个文件存在，sshd将拒绝除root用户外的任何其他用户登录。在任何用户在尝试登录时，此文件都将被显示，但所有非root用户将被拒绝。此文件应该是全局可读的。 jqyLinux联盟
jqyLinux联盟
/etc/ssh/ssh_known_hosts jqyLinux联盟
存入系统级别的互相认证时已知主机的host key。这个文件需要管理员手动配置，可以将已知主机的公钥存入于此文件。此文件只能为root或属主读写，但应该是全局可读的。 jqyLinux联盟
jqyLinux联盟
/etc/ssh/ssh_host_key jqyLinux联盟
/etc/ssh/ssh_host_dsa_key jqyLinux联盟
/etc/ssh/ssh_host_rsa_key jqyLinux联盟
以上三个文件用来存放主机密钥的私钥部分，它们的属主只能为root用户，只能被root用户读取，不能为其他任何用户访问。如果其他用户可以读取此文件，则sshd将不能启动。 jqyLinux联盟
jqyLinux联盟
/etc/ssh/ssh_host_key.pub jqyLinux联盟
/etc/ssh/ssh_host_dsa_key.pub jqyLinux联盟
/etc/ssh/ssh_host_rsa_key.pub jqyLinux联盟
以上三个文件用来存放主机密钥的公钥部分，它们应该是全局可读的，但只有root用户可写。它们分别对应相应的私钥文件。这些文件并没有什么实际用途，仅仅是用来为用户认证登录提供便利，因此常被copy至其它可信的主机中。可以使用ssh-keygen来生成这些文件。 jqyLinux联盟
jqyLinux联盟
/etc/ssh/sshd_config jqyLinux联盟
sshd的主配置文件；jqyLinux联盟
Linux联盟收集整理 ,转贴请标明原始链接,如有任何疑问欢迎来本站Linux论坛讨论 |
|
|
|
|
|
