Linux 远程访问控制 SSH SCP SFTP TCP-Wrappers
SSH（secure shell）协议
一种安全通道协议，主要用来实现字符界面的远程登录、远程复制等功能。
协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入的用户口令
SSH客户端<-----------------网络------------------->SSH服务端
数据传输是加密的，可以防止信息泄漏数据传输是压缩的，可以提高传输速度
SSH客户端: Putty、Xshell、 CRT
SSH服务端: OpenSSH
SSH服务端 OpenSSH
OpenSSH 是实现 SSH 协议的开源软件项目，适用于各种 UNIX、Linux 操作系统
Centos 7系统默认已安装openssh相关软件包，并已将 sshd 服务添加为开机自启动。
sshd 服务默认使用的是TCP的 22端口 密文
telnet服务默认使用的是TCP的 23端口 明文
服务名称 sshd
服务端主程序 /usr/sbin/sshd
服务端配置文件 /etc/ssh/sshd_config执行 systemctl start sshd 命令即可启动 sshd 服务
ssh config和sshd config都是ssh服务器的配置文件，
二者区别在于ssh是针对客户端的配置文件，sshd则是针对服务端的配置文件。
配置openSSH 服务端
查看openssh服务是否启动
systemctl status sshd netstat -lntp ss -lntp修改openssh配置
vim /etc/ssh/sshd_configPort 22 #监听端口为 22 ✨ ListenAddress 0.0.0.0 #监听地址为任意网段，也可以指定openSSH服务器的具体IPLoginGraceTime 2m #登录验证时间为 2 分钟 PermitRootLogin no #禁止 root 用户登录 ✨ MaxAuthTries 6 #最大重试次数为 6PermitEmptyPasswords no #禁止空密码用户登录 ✨ UseDNS no #禁用 DNS 反向解析，以提高服务器的响应速度黑白名单设置（直接添加在sshd—config下方）
黑白名单的权限最高，若上方运行root用户登录但是白名单没有root用户，登录仍然失败
只允许zhangsan、lisi、wangwu用户登录 且其中wangwu用户仅能够从IP地址为61.23.24.25 的主机远程登录AllowUsers zhangsan lisi wangwu@61.23.24.25 #多个用户以空格分隔禁止某些用户登录，用法于Allowusers 类似(注意黑白名单不能同时使用) DenyUsers zhangsan
连接ssh服务器
ssh root@192.168.80.101 ssh root@192.168.80.101 -p 2222 #指定端口用户第一次登录时必须接收服务器发来的ECDSA秘钥（yes确认）后才能继续验证
接收的秘钥信息将保存到~/.ssh/known_host中。
补充：ssh远程执行命令并立刻退出
ssh root@192.168.80.101 ifconfig ssh root@192.168.80.101 rm -f /opt/1.txt
设置ssh秘钥验证
sshd 服务支持两种验证方式
1.密码验证
对服务器中本地系统用户的登录名称、密码进行验证。简便，但可能会被暴力破解
2.密钥对验证要求提供和匹配的密钥信息才能通过验班。通常先在客户端中创建一对密钥文件(公钥、私钥)，然后将公钥文件放到服务器中的指定位置。远程登录时，系统将使用公钥、私钥进行加密/解密关联验证。能增强安全性，且可以免交互登录。
公钥和私钥的关系
- 公钥和私钥是成对生成的，这两个密钥互不相同，可以互相加密和解密。
- 不能根据一个密钥来推算出另一个密钥。
- 公钥对外公开，私只有私钥的持有人才知道
设置ssh配置文件 开启秘钥验证
当密码验证、密钥对验证都启用时，服务器将优先使用密对验证。可根据实际情况设置验证方式
vim /etc/ssh/sshd_configPasswordAuthentication yes #启用密码验证PubkeyAuthentication yes #✨启用密钥对验证AuthorizedKeysFile .ssh/authorized_keys #指定公钥库文件(放在需要登录的对方用户对应的家目录中)systemctl restart sshd #修改配置需要 重启服务开启秘钥认证简要步骤
客户端 ssh-keygen -t rsa/ecdsa
客户端 ssh-copy-id -i [rsa/ecdsa.pub(公钥文件)] 被连接用户@[被连接主机IP/主机名]
在客户端(host1)创建密钥对
通过ssh-keygen工具为当前用户创建密钥对文件。可用的加密算法为RSA、ECDSA或DSA等(ssh-keygen命令的"-t"选项用于指定算法类型)。
[xue@host1 xue]$ ssh-keygen -t ecdsaGenerating public/private ecdsa key pair. Enter file in which to save the key (/home/admin/.ssh/id_ecdsa): #私钥存储位置 直接回车 Created directory '/home/admin/.ssh'. #生成的私钥、公钥文件默认存放在宿主目录中的隐藏目录.ssh/下 Enter passphrase (empty for no passphrase): #输入密码 Enter same passphrase again: #重复密码 Your identification has been saved in /home/admin/.ssh/id_ecdsa. Your public key has been saved in /home/admin/.ssh/id_ecdsa.pub. The key fingerprint is: SHA256:ML23n9VaoN2vUVAiMRpVOgIGQGID/Lo0vPa1H/3+HkY admin@host1 The key's randomart image is: +---[ECDSA 256]---+ |o.+.o...o ..=oo .| | o o o . o + o | | . o . o o . | | . o . . . . | |. . S . E. .| | = .. ..o = | |. + . . .. .o+ +| | + . . . ...o.+.| |. .. ... .o=oo..| +----[SHA256]-----+ls -l ~/.ssh/id_ecdsa* #id ecdsa是私钥文件，权限默认为600; #id ecdsa.pub是公钥文件，用来提供给 SSH 服务器将公钥文件上传至服务器(host2)
scp ~/.ssh/id_ecdsa.pub root@192.168.80.102:/opt #-P可以指定端口号或#此方法可直接在服务器的/home/xue/.ssh/目录中导入公钥文本,不用在做下一步 cd ~/.ssh/ ssh-copy-id -i id_ecdsa.pub root@192.168.80.102在服务器(host2)中导入公钥文本
ssh root@192.168.80.102 #在host1客户端上使用ssh操作host2。直接去host2操作也行 mkdir /home/xue/.ssh/ cat /opt/id_ecdsa.pub >> /home/xue/.ssh/authorized_keys #cat打印公钥内容重定向输出到公钥认证文件 #想要密钥登陆那个用户就放哪个用户家目录此时完成了密钥登陆设置
有时会出现不生效的情况，可以检查认证文件的权限
[admin@host1 xue]$ ssh xue@192.168.80.102 #此时再进行连接（注意连接使用的用户，需要是刚刚放置过公钥文件在家目录中的用户）Enter passphrase for key '/home/admin/.ssh/id_ecdsa': #输入刚刚设置的秘钥密码 Last login: Fri Apr 21 23:07:51 2023 from 192.168.80.1[xue@host2 ~]$若要实行免交互登录
有两种方法
1.在创建秘钥文件时不输入密码
2.若创建秘钥文件输入了密码，使用ssh会话代理（只有当前会话生效）
ssh-agent bash ssh-add #输入秘钥设置的密码
SCP 远程复制
下行复制 scp root@192.168.80.11:/etc/passwd /root/passwd10.txt #将远程主机中的/etc/passwd文件复制到本机上行复制 scp -r /etc/ssh/ root@192.168.80.10:/opt # -r 代表文件夹 #将本机机的/etc/ssh 目录复制到远程主机#指定端口传输 scp -P 22 /etc/ssh/1.txt root@192.168.80.101:/opt#SCP命令指定端口用-P而不是-pSCP传输若对方有同名文件将会直接覆盖！！！
小技巧
不想输入长地址，或是位于同一文件夹中两机传输数据，可以使用 `` （双撇号，数字1左边）。在双撇号中的命令会被获取命令的结果。
例如`pwd` 就代表获取当前目录的路径，与前面的命令相结合
cd /etc/yum.repos.d/scp local.repo 192.168.80.102:/etc/yum.repos.d/ scp local.repo 192.168.80.102:`pwd` #想要从本机/etc/yum.repos.d/传输到目标主机/etc/yum.repos.d/目录
SFTP 安全FTP
安全FTP由于使用了加密/解密技术，所以传输效率比普通的FTP要低，但使用 SSH协议连接安全性更高。
sftp zhangsan@192.168.80.102 sftp -P 22 zhangsan@192.168.80.102 #SCP命令指定端口用-P而不是-psftp> get 文件名 #下载文件到ftp目录 sftp> put 文件名 #上传文件到ftp目录 sftp> quit #退出
TCP Wrappers 访问控制
TCP Wrappers (TCP封套)
将TCP服务程序"包裹"起来，代为监听TCP服务程序的端口，增加了一个安全检测过程，外来的连接请求必须先通过这层安全检测，恭得许可后才能访问真正的服务程序。大多数 Linux 发行版，TCP Wrappers 是默认提供的功能。
rpm -q tcp wrappers
TCP wrappers 保护机制的两种实现方式
1.直接使用 tcpd 程序对其他服务程序进行保护，需要运行 tcpd程序。
2.由其他网络服务程序调用 libwrap.so.*链接库，不需要运行 tcpd 程序。此方式的应用更加广泛，也更有效率
使用 ldd 命令可以查看程序是否含义 libwrap.so.*链接库,据此判断该程序是否支持tcp wrappers
一般sshd,vsftpd,telnet,pop3,imap都会支持（httpd不支持）
ldd $(which sshd) | grep libwrapwhich sshd #which找出服务路径，传递给ldd，查看服务的链接库，并筛选出libwrap ldd /usr/sbin/sshd | grep libwrapldd `which sshd` | grep libwrap#三种不同写法
TCP Wrappers 的访问策略
TCP wrappers 机制的保护对象为各种网络服务程序，针对访问服务的客户端地址进行访问控制。
对应的两个策略文件为/etc/hosts.allow 和/etc/hosts.deny，分别用来设置允许和拒绝的策略
格式: <服务程序列表>:<客户端地址列表>(1) 服务程序列表 ALL: 代表所有的服务。 单个服务程序:如”vsftpd”。 多个服务程序组成的列表: 如”vsftpd,sshd”。 (2)客户端地址列表 ALL:代表任何客户端地址。 LOCAL: 代表本机址。 多个地址以逗号分隔 允许使用通配符“*” 和“?”，前者代表任意长度字符，后者仅代表一个字符 网段地址，如“192.168.80.”或者 192.168.80.0/255.255.255.0 区域地址，如“.benet.com”匹配“benet.com”域中所有主机TCP wrappers 机制的基本原则
- 首先检查/etc/hosts.allow文件，如果找到相匹配的策略，则允许访问
- 否则继续检查/etc/hosts.deny文件，如果找到相匹配的策略，则拒绝访问
- 如果检查上述两个文件都找不到相匹配的策略，则允许访问。
允许所有，拒绝个别
只需在/etc/hosts.deny文件中添加相应的拒绝策略允许个别，拒绝所有
除了在/etc/hosts.allow中添加允许策略之外
还需要在/etc/hosts.deny文件中设置"ALL:ALL"的拒绝策略。
实例
若只希望从IP地址为12.0.0.1的主机或者位于192.168.80.0/24网段的主机访问sshd服务，其他地址被拒绝
vi /etc/hosts.allowsshd:12.0.0.1,192.168.80.*#sshd,vstpd:12.0.0.1,192.168.80.* 两个服务的写法vi /etc/hosts.denysshd:ALL
