RHCE-3-远程登录服务

2024-03-27 22:20
文章标签 服务 登录 远程 rhce

本文主要是介绍RHCE-3-远程登录服务，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

简介

概念

  • 远程连接服务器通过文字或图形接口方式来远程登录系统，让你在远程终端前登录linux主机以取得可操作主机接口（shell），而登录后的操作感觉就像是坐在系统前面一样

功能:

  • 分享主机的运算能力

  • 服务器类型：有限度开放连接

  • 工作站类型：只对内网开放

分类

文字接口:

  • 明文传输：Telnet、RSH等，目前非常少用

 # 使用wireshark抓包分析工具验证telnet明文传输​[root@server ~]# yum  install telnet-server -y  # 安装telnet​[root@server ~]# systemctl start  telnet.socket  # 启动服务​# 使用xshell 新建telnet连接

image-20230810224602868

 # 在https://www.wireshark.org/download.html下载安装wireshar​# 启动wireshark，选择捕获VMnet8网卡

image-20230810224855700

 # 在xshell中输入ip a 或其它命令​# 在wireshark选择记录后单右->追踪流->TCP流

image-20230810225128927

 # 可以看到是明文传输

image-20230810225216075

  • 加密传输：SSH为主，已经取代明文传输

 # 关闭上述telnet连接，建立ssh连接，查看是否为加密传输

image-20230810225441061

图形接口：

  • XDMCP、VNC、XRDP等

文字接口连接服务器:

  • SSH（Secure Shell Protocol，安全壳程序协议）由 IETF 的网络小组（Network Working Group）所制定，可以通过数据包加密技术将等待传输的数据包加密后再传输到网络上。

  • ssh协议本身提供两个服务器功能：

    • 一个是类似telnet的远程连接使用shell的服务器；

    • 另一个就是类似ftp服务的sftp-server，提供更安全的ftp服务。

连接加密技术简介

  • 目前常见的网络数据包加密技术通常是通过“非对称密钥系统”来处理的。

  • 主要通过两把不一样的公钥与私钥来进行加密与解密的过程。

密钥解析：

  • 公钥（public key）：提供给远程主机进行数据加密的行为，所有人都可获得你的公钥来将数据加密。

  • 私钥（private key）：远程主机使用你的公钥加密的数据，在本地端就能够使用私钥来进行解密。私钥只有自己拥有。

SSH工作过程：

  • 服务端与客户端要经历如下五个阶段：

过程说明
版本号协商阶段SSH目前包括SSH1和SSH2两个版本，双方通过版本协商确定使用的版本
密钥和算法协商阶段SSH支持多种加密算法，双方根据本端和对端支持的算法，协商出最终使用的算法
认证阶段SSH客户端向服务器端发起认证请求，服务器端对客户端进行认证
会话请求阶段认证通过后，客户端向服务器端发送会话请求
交互会话阶段会话请求通过后，服务器端和客户端进行信息的交互

版本协商阶段

  • 服务器端打开端口22，等待客户端连接；

  • 客户端向服务器端发起TCP初始连接请求，TCP连接建立后，服务器向客户端发送第一个报文，包括版本标志字符串，格式为SSH-<主协议版本号>.<次协议版本号>.<软件版本号>，协议版本号由主版本号和次版本号组成，软件版本号主要是为调试使用。

  • 客户端收到报文后，解析该数据包，如果服务器的协议版本号比自己的低，且客户端能支持服务器端的低版本，就使用服务器端的低版本协议号，否则使用自己的协议版本号。

  • 客户端回应服务器一个报文，包含了客户端决定使用的协议版本号。服务器比较客户端发来的版本号，决定是否能同客户端一起工作。如果协商成功，则进入密钥和算法协商阶段，否则服务器断开TCP连接

  • 注意：上述报文都是采用明文方式传输

密钥和算法协商阶段

  • 服务器端和客户端分别发送算法协商报文给对端，报文中包含自己支持的公钥算法列表、加密算法列表、MAC（Message Authentication Code，消息验证码）算法列表、压缩算法列表等等

  • 服务器端和客户端根据对端和本端支持的算法列表得出最终使用的算法

  • 服务器端和客户端利用DH交换（Diffie-Hellman Exchange）算法、主机密钥对等参数，生成会话密钥和会话ID。

  • 由此，服务器端和客户端就取得了相同的会话密钥和会话ID。对于后续传输的数据，两端都会使用会话密钥进行加密和解密，保证了数据传送的安全。在认证阶段，两端会使用会话用于认证过程

  • 会话密钥的生成：

    • 客户端需要使用适当的客户端程序来请求连接服务器，服务器将服务器的公钥发送给客户端。（服务器的公钥产生过程：服务器每次启动sshd服务时，该服务会主动去找/etc/ssh/ssh_host*文件，若系统刚装完，由于没有这些公钥文件，因此sshd会主动去计算出这些需要的公钥文件，同时也会计算出服务器自己所需要的私钥文件。）

    • 服务器生成会话ID，并将会话ID发给客户端。

    • 若客户端第一次连接到此服务器，则会将服务器的公钥数据记录到客户端的用户主目录内的~/.ssh/known_hosts。若是已经记录过该服务器的公钥数据，则客户端会去比对此次接收到的与之前的记录是否有差异。客户端生成会话密钥，并用服务器的公钥加密后，发送给服务器。

    • 服务器用自己的私钥将收到的数据解密，获得会话密钥。

    • 服务器和客户端都知道了会话密钥，以后的传输都将被会话密钥加密

认证阶段(两种认证方法)：

  • 基于口令的认证（password认证）：客户端向服务器发出password认证请求，将用户名和密码加密后发送给服务器，服务器将该信息解密后得到用户名和密码的明文，与设备上保存的用户名和密码进行比较，并返回认证成功或失败消息。

  • 基于密钥的认证（publickey认证）：

    • 客户端产生一对公共密钥，将公钥保存到将要登录的服务器上的那个账号的家目录的.ssh/authorized_keys文件中

    • 认证阶段：客户端首先将公钥传给服务器端。服务器端收到公钥后会与本地该账号家目录下的authorized_keys中的公钥进行对比，如果不相同，则认证失败；否则服务端生成一段随机字符串，并先后用客户端公钥和会话密钥对其加密，发送给客户端。客户端收到后将解密后的随机字符串用会话密钥发送给服务器。如果发回的字符串与服务器端之前生成的一样，则认证通过，否则，认证失败。

  • 注：服务器端对客户端进行认证，如果认证失败，则向客户端发送认证失败消息，其中包含可以再次认证的方法列表。客户端从认证方法列表中选取一种认证方法再次进行认证，该过程反复进行。直到认证成功或者认证次数达到上限，服务器关闭连接为止

SSH服务配置

安装ssh

[root@server ~]# yum  install  openssh-server

配置文件分析:

 [root@server ~]# vim  /etc/ssh/sshd_config21.#Port 22  # 默认监听22端口,可修改22.#AddressFamily any  # IPV4和IPV6协议家族用哪个，any表示二者均有23.#ListenAddress 0.0.0.0 # 指明监控的地址，0.0.0.0表示本机的所有地址(默认可修改)24.#ListenAddress :: # 指明监听的IPV6的所有地址格式​26.#HostKey /etc/ssh/ssh_host_rsa_key     # rsa私钥认证,默认27.#HostKey /etc/ssh/ssh_host_ecdsa_key   # ecdsa私钥认证28.#HostKey /etc/ssh/ssh_host_ed25519_key # ed25519私钥认证​​34 #SyslogFacility AUTH  # ssh登录系统的时会记录信息并保存在/var/log/secure35.#LogLevel INFO   # 日志的等级​39.#LoginGraceTime 2m   # 登录的宽限时间，默认2分钟没有输入密码，则自动断开连接40 PermitRootLogin yes # 允许管理员root登录 41.#StrictModes yes   # 是否让sshd去检查用户主目录或相关文件的权限数据42.#MaxAuthTries 6  # 最大认证尝试次数，最多可以尝试6次输入密码。之后需要等待某段时间后才能再次输入密码43.#MaxSessions 10   # 允许的最大会话数​49.AuthorizedKeysFile .ssh/authorized_keys # 选择基于密钥验证时，客户端生成一对公私钥之后，会将公钥放到.ssh/authorizd_keys里面65 #PasswordAuthentication yes  # 登录ssh时是否进行密码验证66 #PermitEmptyPasswords no    # 登录ssh时是否允许密码为空​……123.Subsystem sftp /usr/libexec/openssh/sftp-server #支持 SFTP ，如果注释掉，则不支持sftp连接AllowUsers user1 user2 #登录白名单（默认没有这个配置，需要自己手动添加），允许远程登录的用户。如果名单中没有的用户，则提示拒绝登录

ssh实验

实验1

  • 修改ssh服务器端的端口号

  • 第一步：服务端操作，编辑配置文件，修改端口号

 [root@server ~]# vim  /etc/ssh/sshd_config  # 定位第21行，去掉# 后修改端口号21 Port 2222

  • 第二步：服务端操作，重启服务

 [root@server ~]# systemctl restart  sshd   # 注意：ssh的服务名位sshd​[root@server ~]# yum  install  net-tools  # 安装网络工具才可使用netstat命令​[root@server ~]# netstat  -ntlp   # 查看端口号是否已修改​[root@server ~]# ip  a  查看本机IP地址

  • 第三步：客户端操作，ssh登录服务端

 [root@node1 ~]# ssh  root@192.168.48.130# 尝试登录被拒绝，22端口已关闭ssh: connect to host 192.168.48.130 port 22: Connection refused  ​root@node1 ~]# ssh  -p  2222  root@192.168.48.130  # 指明以2222端口登录服务端The authenticity of host '[192.168.48.130]:2222 ([192.168.48.130]:2222)' can't be established.ED25519 key fingerprint is SHA256:K7nvJFkfIh+p9YytEGR44wLbTfpB0Y52oVou0UdG6nc.This key is not known by any other namesAre you sure you want to continue connecting (yes/no/[fingerprint])? yes # 输入yesWarning: Permanently added '[192.168.48.130]:2222' (ED25519) to the list of known hosts.root@192.168.48.130's password:   # 输入服务端账户密码Activate the web console with: systemctl enable --now cockpit.socket​Register this system with Red Hat Insights: insights-client --registerCreate an account or view all your systems at https://red.ht/insights-dashboardLast login: Tue May 30 13:57:25 2023 from 192.168.48.1[root@server ~]# ​# 注销登录[root@server ~]# exit   # 注销，回到node1主机，或者使用ctrl+d进行注销注销Connection to 192.168.48.130 closed.

实验2

  • 拒绝root账户远程登录

  • 方法：使用配置文件中的Permitrootlogin参数进行实现

  • 参数值：

参数类别是否允许ssh登录登录方式交互shell
yes允许无限制无限制
no不允许无无
prohibit-password允许仅允许使用密码无限制
forced-commands only允许仅允许密钥授权的口令

第一步.修改配置文件

 [root@server ~]# vim  /etc/ssh/sshd_configPermitRootLogin no         # yes修改为no

  • 第二步：服务端重启服务

 [root@server ~]# systemctl restart  sshd

  • 第三步：客户端，测试

 [root@node1 ~]# ssh  root@192.168.48.130root@192.168.48.130's password:         # 拒绝root连接sshPermission denied, please try again.

实验3

  • 允许特定账户进行ssh登录，其它账户无法登录

  • 第一步：服务端添加新账户

 [root@server ~]# useradd  test[root@server ~]# passwd  test

  • 第二步：服务端修改主配置文件

[root@server ~]# vim  /etc/ssh/sshd_configAllowUsers   test  # 第一行添加​[root@server ~]# systemctl restart  sshd

  • 第三步：客户端测试

 [root@node1 ~]# ssh  test@192.168.48.130The authenticity of host '192.168.48.130 (192.168.48.130)' can't be established.ED25519 key fingerprint is SHA256:K7nvJFkfIh+p9YytEGR44wLbTfpB0Y52oVou0UdG6nc.This key is not known by any other namesAre you sure you want to continue connecting (yes/no/[fingerprint])? yes  # 输入yesWarning: Permanently added '192.168.48.130' (ED25519) to the list of known hosts.test@192.168.48.130's password:   # 密码123456Register this system with Red Hat Insights: insights-client --registerCreate an account or view all your systems at https://red.ht/insights-dashboard[test@server ~]$           # 按下ctrl+d进行注销注销​[root@node1 ~]# ssh  root@192.168.48.130   # 测试其它账户可否登录root@192.168.48.130's password: Permission denied, please try again

实验4

ssh-keygen

  • ssh-keygen是用于生成、管理、转换密钥的工具

  • 格式：

 [root@server ~]# ssh-keygen  -t  rsa

  • 分析

    • -t：指定密钥类型

    • rsa：使用rsa公钥加密算法，可以产生公钥和私钥

    • 执行后会在对应账户目录中产生一个隐藏目录.ssh，其中有2个文件

      • id_rsa:私钥文件

      • id_rsa.pub：公钥文件

虚拟之间实现密钥的登录（免密登录）

  • 预处理：2台机子都恢复快照

  • 第一步：定位客户端，制作公私钥对

 [root@node1 ~]# ssh-keygen  -t  rsa  # 一路回车

  • 第二步：定位客户端，将公钥上传到服务器端

[root@node1 ~]# ssh-copy-id   root@192.168.48.130  # 输入服务端的账户及IP地址The authenticity of host '192.168.48.130 (192.168.48.130)' can't be established.ED25519 key fingerprint is SHA256:K7nvJFkfIh+p9YytEGR44wLbTfpB0Y52oVou0UdG6nc.This key is not known by any other namesAre you sure you want to continue connecting (yes/no/[fingerprint])? yes  # 输入yes/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keysroot@192.168.48.130's password:  # 输入服务端root账户的的密码 ​Number of key(s) added: 1​Now try logging into the machine, with:   "ssh 'root@192.168.48.130'"and check to make sure that only the key(s) you wanted were added. ​# 注意：客户端将公钥上传到服务器端后，服务器端的/root/.ssh/authorized_keys文件会存储客户端的公钥数据

  • 第三步：客户端测试

 [root@node1 ~]# ssh  root@192.168.48.130Activate the web console with: systemctl enable --now cockpit.socket​Register this system with Red Hat Insights: insights-client --registerCreate an account or view all your systems at https://red.ht/insights-dashboardLast login: Wed Mar 22 11:31:31 2023[root@server ~]#

  • 第四步：由于是要实现服务端与客户端相互免密，则将上述操作在服务端在执行一遍

实验5

  • xshell使用密钥登陆

  • 之前xshell使用的是密码登录，现在通过密钥的配置，实现无密码登录

 # 注意：先在服务器端检查/root/.ssh/authorized_keys是否存在，它时存储公钥的文件，若不存在需要新建

# 服务器端操作[root@server ~]# cd  /root[root@server ~]# ls  -a[root@server ~]# mkdir  .ssh[root@server ~]# cd  .ssh[root@server .ssh]# vim  authorized_keys# 有时需要注意.ssh目录的权限

  • 打开xshell开始操作，新建密钥：

image-20221015165112600

  • 下一步：

image-20221015165212799

  • 设置密钥文件名加密密码（可不设）

image-20221015165313925

  • 产生公钥，并另存为文件

image-20221015165425367

  • 将windows中保存的公钥文件以记事本的方式打开，复制内容，拷贝到Linux服务器端的/root/.ssh/authorized_keys文件中后保存退出，并重启服务：

 [root@server .ssh]# systemctl restart sshd

  • xshell中新建会话：

image-20221015165837790

  • 点击用户身份验证，选择Public Key 方式验证登录，点击连接

image-20221015165931344

  • 设置以什么身份登录：

image-20221015170046388

  • 输入密钥密码

image-20221015170123206

  • 成功

这篇关于RHCE-3-远程登录服务的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/853580。

相关文章

Security OAuth2 单点登录流程

Security OAuth2 单点登录流程

单点登录（英语：Single sign-on，缩写为 SSO），又译为单一签入，一种对于许多相互关连，但是又是各自独立的软件系统，提供访问控制的属性。当拥有这项属性时，当用户登录时，就可以获取所有系统的访问权限，不用对每个单一系统都逐一登录。这项功能通常是以轻型目录访问协议（LDAP）来实现，在服务器上会将用户信息存储到LDAP数据库中。相同的，单一注销（single sign-off）就是指
阅读更多...
【测试】输入正确用户名和密码，点击登录没有响应的可能性原因

【测试】输入正确用户名和密码，点击登录没有响应的可能性原因

目录 一、前端问题 1. 界面交互问题 2. 输入数据校验问题 二、网络问题 1. 网络连接中断 2. 代理设置问题 三、后端问题 1. 服务器故障 2. 数据库问题 3. 权限问题： 四、其他问题 1. 缓存问题 2. 第三方服务问题 3. 配置问题 一、前端问题 1. 界面交互问题 登录按钮的点击事件未正确绑定，导致点击后无法触发登录操作。 页面可能存在
阅读更多...
【区块链 + 人才服务】可信教育区块链治理系统 | FISCO BCOS应用案例

【区块链 + 人才服务】可信教育区块链治理系统 | FISCO BCOS应用案例

伴随着区块链技术的不断完善，其在教育信息化中的应用也在持续发展。利用区块链数据共识、不可篡改的特性， 将与教育相关的数据要素在区块链上进行存证确权，在确保数据可信的前提下，促进教育的公平、透明、开放，为教育教学质量提升赋能，实现教育数据的安全共享、高等教育体系的智慧治理。 可信教育区块链治理系统的顶层治理架构由教育部、高校、企业、学生等多方角色共同参与建设、维护，支撑教育资源共享、教学质量评估、
阅读更多...
【区块链 + 人才服务】区块链集成开发平台 | FISCO BCOS应用案例

【区块链 + 人才服务】区块链集成开发平台 | FISCO BCOS应用案例

随着区块链技术的快速发展，越来越多的企业开始将其应用于实际业务中。然而，区块链技术的专业性使得其集成开发成为一项挑战。针对此，广东中创智慧科技有限公司基于国产开源联盟链 FISCO BCOS 推出了区块链集成开发平台。该平台基于区块链技术，提供一套全面的区块链开发工具和开发环境，支持开发者快速开发和部署区块链应用。此外，该平台还可以提供一套全面的区块链开发教程和文档，帮助开发者快速上手区块链开发。
阅读更多...
基于SpringBoot的宠物服务系统+uniapp小程序+LW参考示例

基于SpringBoot的宠物服务系统+uniapp小程序+LW参考示例

系列文章目录 1.基于SSM的洗衣房管理系统+原生微信小程序+LW参考示例 2.基于SpringBoot的宠物摄影网站管理系统+LW参考示例 3.基于SpringBoot+Vue的企业人事管理系统+LW参考示例 4.基于SSM的高校实验室管理系统+LW参考示例 5.基于SpringBoot的二手数码回收系统+原生微信小程序+LW参考示例 6.基于SSM的民宿预订管理系统+LW参考示例 7.基于
阅读更多...
Golang支持平滑升级的HTTP服务

Golang支持平滑升级的HTTP服务

前段时间用Golang在做一个HTTP的接口，因编译型语言的特性，修改了代码需要重新编译可执行文件，关闭正在运行的老程序，并启动新程序。对于访问量较大的面向用户的产品，关闭、重启的过程中势必会出现无法访问的情况，从而影响用户体验。 使用Golang的系统包开发HTTP服务，是无法支持平滑升级（优雅重启）的，本文将探讨如何解决该问题。 一、平滑升级（优雅重启）的一般思路 一般情况下，要实现平滑
阅读更多...
Golang服务平滑重启

Golang服务平滑重启

与重载配置相同的是我们也需要通过信号来通知server重启，但关键在于平滑重启，如果只是简单的重启，只需要kill掉，然后再拉起即可。平滑重启意味着server升级的时候可以不用停止业务。 我们先来看下Github上有没有相应的库解决这个问题，然后找到了如下三个库： facebookgo/grace - Graceful restart & zero downtime deploy for G
阅读更多...
远程工具-SecureCRT/SecureFX

远程工具-SecureCRT/SecureFX

下载地址： https://www.portablesoft.org/securecrt-securefx-integrated/
阅读更多...
Java后端微服务架构下的API限流策略：Guava RateLimiter

Java后端微服务架构下的API限流策略：Guava RateLimiter

Java后端微服务架构下的API限流策略：Guava RateLimiter 大家好，我是微赚淘客返利系统3.0的小编，是个冬天不穿秋裤，天冷也要风度的程序猿！ 在微服务架构中，API限流是保护服务不受过度使用和拒绝服务攻击的重要手段。Guava RateLimiter是Google开源的Java库中的一个组件，提供了简单易用的限流功能。 API限流概述 API限流通过控制请求的速率来防止
阅读更多...
【微服务】Ribbon（负载均衡，服务调用）+ OpenFeign（服务发现，远程调用）【详解】

【微服务】Ribbon（负载均衡，服务调用）+ OpenFeign（服务发现，远程调用）【详解】

文章目录 1.Ribbon（负载均衡，服务调用）1.1问题引出1.2 Ribbon负载均衡1.3 RestTemplate整合Ribbon1.4 指定Ribbon负载均衡策略1.4.1 配置文件1.4.2 配置类1.4.3 定义Ribbon客户端配置1.4.4 自定义负载均衡策略 2.OpenFeign面向接口的服务调用（服务发现，远程调用）2.1 OpenFeign的使用2.1 .1创建
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2