Linux安全应用    （用户  文件   sshd   sudo）

selinux   

数据加密  数据解密   https

++++++++++++++++++++++++++++++++++

什么是安全？

保护谁的安全？ 服务器的安全

怎么保护？

物理安全（规则制度）

本地安全 （用户  文件） 用户从本地登录 或ssh登录后可以执行的操作（登录用户有什么使用权限和管理权限对文件的访问权限服务的配置系统文件）

网络安全 （防火墙软件/硬件））                                iptables   tcp/udp  端口号

数据安全（数据加密）  数据在网路中传输不安全，需要加密

数据在网络中传输时，会受到那些***？

堵车    篡改（数据完整性校验）    截获（加密）    冒名顶替（数字签名）

++++++++++++++++++++++++++++++++

一、服务本地安全（系统加固）  /etc/login.defs   （如用户uid起始等等不加选项 默认时遵循配置文件）

1.1  用户账号安全   阻止普通用户关机

1.2  设置账号有效期

useradd   zengye

passwd   zengye

chage  -E  2015-12-31  zengye

                  设置过期时间

chage  -l    zengye  查看用户密码相关信息

chage -d 0 zengye

useradd    tom 

echo  123   |   passwd    --stdin    tom   初始密码

chage   -d   0     tom    强制用户首次登录系统，修改密码

1.3 锁定账号

usermod    -L/U     tom

passwd   -l/u   tom

passwd  -S   tom

passwd   -d   tom

/etc/passwd       /etc/shadow   

添加系统用户使用的配置文件   /etc/login.defs

相关的文件 /etc/skel/ 

/etc/group

useradd -s -m -g -u -G 用户

 useradd -s  /sbin/nologin   服务的访问帐号，进程的执行者

usermod -u -g  -G  -s -U  -L  

groupadd  tea

usermod -G tea zhang 将这个用户加到组里有这个组权限

userdel -r 用户名（工作不能这样删该用户的所有文件都在家下 要先备份出来 再删）

vim ~/.bash_logout  （用户退出时，执行该文件中命令操作）

rm -fr  /home/zhang/*

用户级配置文件（只对自己有效，如果系统的也写。这个也写，遵循这个）

~/.bashrc （这两个都写 这个生效）

~/.bash_profile

系统级配置文件（对所有用户有效）

/etc/profile

/etc/bashrc

全局变量 或命名别名

定义一个变量可以给他做成全局

[root@svr6 ~]# echo $PATH

/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin

[root@svr6 ~]# mkdir /shell

[root@svr6 ~]# PATH=$PATH:/shell

[root@svr6 ~]# echo $PATH

/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin:/shell]:/shell

[root@svr6 ~]# vim ~/.bash_profile

PATH=$PATH:/shell

[root@svr6 ~]# echo $PATH （永久 再开一个终端也有）

/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/shell:/root/bin:/shell

# awk -F ":" '{print $1,$7,$6}'   /etc/passwd  查看用户的名字 登录的shell 家目录

# awk -F ":" '$7=="/sbin/nologin" {print $1,$7,$6}'  /etc/passwd 查看不能登录系统的用户 名字家目录，shell

# awk -F ":" '$7=="/sbin/nologin" {print $1,$4}'  /etc/passwd  

# awk -F ":" ' {print $1,$4}'  /etc/group   查看组的用户名和成员

# awk -F ":" '$1="zhang" {print $1,$4}'  /etc/group  查看zhang这个组的用户

别名：1. vim /etc/bashrc  alias my='ls'  (针对全体用户都生效 再开一个终端测试）

       2. alias yy=hostname (临时生效，只应用当前用户，关闭端口或切换别的用户失效）

       3.vim /root/.bashrc  alias m=ls  （永久有效，但不能切换到别的用户中使用）

设置history历史记录个数

配置文件 /etc/profile   /etc/bashrc

HISTSIZE=1000  改成HISTSIZE=10

#source /etc/profile 或 重启就行 （bash /etc/profile 不行） 历史记录命令就只有保存10个

history -c 清空历史命令

#history 

#!h 执行最近一次h开头命令

设置历史命令执行的时间 /etc/bashrc  /etc/profile  

 最后一行添加： export HISTTIMEFORMAT="%F %H:%M "

再开一个终端测试  #history

vim /etc/services (所有服务端口号，配置文件）

伪装登录提示（level  3）

修改文件内容，隐藏操作系统的版本和内核版。

/etc/issue    (用户本地登录的提示信息)

/etc/issue.net  (用户网络登录的提示信息)

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

2   文件系统安全

ext2   ext3   ext4 

mount    /dev/sdb2    /disk2 (默认挂载)

mount    -t  ext4    -o   选项，选项    /dev/sdb2    /disk2

man   mount

开机挂载设备  /etc/fstab

                       /etc/rc.local

defaults 默认挂载选项包括那些？

rw, suid, dev, exec, auto, nouser, async, and relatime

noexec   禁止运行二进制文件

nosuid   禁用SUID、SGID特殊权限

mount    -t  ext4    -o   noexec，nosuid    /dev/sdb2    /disk2

3 保护文件   (系统配置   服务的配置)

EXT3/EXT4的文件属性控制 

文件的特殊属性

i  不可变（immutable）(不能被mv   rm   写  )只能读

a  仅可追加（append only）  仅追加 不能vim进去加

chattr   +i   /etc/passwd (

chattr   -i   /etc/passwd

chattr  +i  /etc/resolv.conf(不能被mv   rm   写,但是可以拷贝，拷贝走了就没有i属性）

lsattr      /etc/resolv.conf (查看该文件属性)

[root@room1pc01 ~]# lsattr /etc/rc.d/rc.local

----i--------e- /etc/rc.d/rc.local

[root@room1pc01 ~]# tail -1 /etc/rc.d/rc.local

echo Taren1 | passwd --stdin root

chattr +a /etc/passwd(只能对这个文件追加 创用户会报错）

chattr -a /etc/passwd (取消a属性)

[root@room9pc00 mysql]# chattr  -i /etc/passwd

[root@room9pc00 mysql]# lsattr /etc/passwd

网卡 网关  dns  主机名 /etc/hosts  服务主配置文件 一般只对他们设置这种特殊属性让他们只能看

————————————————————————————————————————————————————————————

++++++++++++++++++++++++++++++++++++

禁用非必要的系统服务

chkconfig   --add  --del --list --level 

[root@room1pc01 ~]# ntsysv 可以查看所有服务是否开机自启 （*开机自启）

#chmod -x /etc/init.d/* (禁止普通用户使用服务脚本启动暂停） 

文件系统安全

10G   /dev/sdb    

分区     格式化    挂载

fdisk   mkfs    mount   -o 选项，选项

        ext4

                     

手动挂载：  

开机自动挂：  /etc/fstab   /etc/rc.local

触发挂载：  /etc/auto.master

      /etc/init.d/autofs  restart

defaults 包含哪些参数

man

mount -o  nosuid,noexec /dev/sdb1 /disk1 (挂载一般接这样的参数）

文件权限种利：

普通： rwx 421

特殊： suid sgid  粘赤位

         S  S      T

         s   s     t   x

suid让用户执行文件时候，身份切换成文件的所有者

普通用户创建用户 需要/usr/sbin/useradd 给s权限才能创建

[root@room1pc01 ~]# which useradd

/usr/sbin/useradd

[root@room1pc01 ~]# useradd tom

[root@room1pc01 ~]# echo 1 |passwd --stdin tom

更改用户 tom 的密码 。

passwd： 所有的身份验证令牌已经成功更新。

[root@room1pc01 ~]# su tom

[tom@room1pc01 root]$ useradd zhang

bash: /usr/sbin/useradd: 权限不够

[tom@room1pc01 root]$ ll /usr/sbin/useradd

-rwxr-x---. 1 root root 103096 4月   7 2015 /usr/sbin/useradd

[tom@room1pc01 root]$ exit

exit

[root@room1pc01 ~]# chmod u+s /usr/sbin/useradd

[root@room1pc01 ~]# ll /usr/sbin/useradd

-rwsr-x---. 1 root root 103096 4月   7 2015 /usr/sbin/useradd

[root@room1pc01 ~]# su tom

[tom@room1pc01 root]$ useradd zhang

bash: /usr/sbin/useradd: 权限不够

[tom@room1pc01 root]$ exit

exit

[root@room1pc01 ~]# chmod +x /usr/sbin/useradd

[root@room1pc01 ~]# su tom

[tom@room1pc01 root]$ useradd zhang

[tom@room1pc01 root]$ ll /usr/sbin/useradd

-rwsr-x--x. 1 root root 103096 4月   7 2015 /usr/sbin/useradd

1.粘只位（管理员给一个目录其它用户o+t权限，别的用户不能对该目录或该目录写不属于自己用户的文件有修改，增加，删除权限，可以看）

[root@svr7 ~]# mkdir /publ

[root@svr7 ~]# chmod 777 /publ

[root@svr7 ~]# ls -dl /publ/

drwxrwxrwx. 2 root root 4096 3月   6 05:10 /publ/

[root@svr7 ~]# chmod o+t /publ/

[root@svr7 ~]# su - zhang

[zhang@svr7 ~]$ cd /publ/

[zhang@svr7 publ]$ touch 1.txtx

[zhang@svr7 publ]$ mv 1.txtx  11

[zhang@svr7 publ]$ ls

11

[zhang@svr7 publ]$ cd

[zhang@svr7 ~]$ rm -fr /publ/

rm: 无法删除"/publ": 权限不够

[zhang@svr7 ~]$ exit

logout

[root@svr7 publ]# su - tc

[tc@svr7 ~]$ cd /publ/

[tc@svr7 publ]$ ls

11

[tc@svr7 publ]$ vim 11 （不能修改，只读）

[tc@svr7 publ]$ mv 11 1

mv: 无法将"11" 移动至"1": 不允许的操作

[tc@svr7 publ]$ ls

11

[tc@svr7 publ]$ ls -ld 1.txt

-rw-rw-r--. 1 zhang zhang 0 3月   6 05:13 1.txt

[tc@svr7 publ]$ exit

logout

[root@svr7 ~]# su - zhang

[zhang@svr7 ~]$ cd /publ/

[zhang@svr7 publ]$ ls

1.txt

[zhang@svr7 publ]$ mv 1.txt 11.txt

[tc@svr7 ~]$ ls -ld /publ/

drwxrwxrwt. 2 root root 4096 3月   6 05:15 /publ/

ACL权限可以为个别普通用户或组单独使用这个文件的权限。tc妹妹（单独给某个用户使用权限）

[root@svr7 ~]# useradd zhang

[root@svr7 ~]# useradd tc

[root@svr7 ~]# mkdir /nsd

[root@svr7 ~]# chmod 750 /nsd

[root@svr7 ~]# ls -lhd /nsd

drwxr-x---. 2 root root 4.0K 3月   6 05:03 /nsd

[root@svr7 ~]# setfacl -m u:tc:rwx /nsd

[root@svr7 ~]# su - tc

[tc@svr7 ~]$ cd /nsd

[tc@svr7 ~]$ ls -lhd /nsd

drwxr-x---+ 2 root root 4.0K 3月   6 05:03 /nsd

[tc@svr7 ~]$ exit

[root@svr7 ~]# su - zhang

[zhang@svr7 ~]$ cd /nsd

-bash: cd: /nsd: 权限不够

[zhang@svr7 ~]$ ls -lhd /nsd

drwxr-x---+ 2 root root 4.0K 3月   6 05:03 /nsd

[root@room1pc01 桌面]# mkdir /tiantan

[root@room1pc01 桌面]# mkdir /tedu
[root@room1pc01 桌面]# useradd tc
[root@room1pc01 桌面]# setfacl -m u:tc:rwx /tedu  
[root@room1pc01 桌面]# getfacl
Usage: getfacl [-aceEsRLPtpndvh] file ...
Try `getfacl --help' for more information.
[root@room1pc01 桌面]# getfacl /tedu
getfacl: Removing leading '/' from absolute path names
# file: tedu
# owner: root
# group: root
user::rwx
user:tc:rwx
group::r-x
mask::rwx
other::r-x

[root@room1pc01 桌面]# setfacl -x u:tc /tedu
[root@room1pc01 桌面]# getfacl /tedu
getfacl: Removing leading '/' from absolute path names
# file: tedu
# owner: root
# group: root
user::rwx
group::r-x
mask::r-x
other::r-x

[root@room1pc01 桌面]# mkdir /data/aa

[root@room1pc01 桌面]# setfacl -Rm u:tc:rwx /data/aa
[root@room1pc01 桌面]# getfacl /data/aa
getfacl: Removing leading '/' from absolute path names
# file: data/aa
# owner: root
# group: root
user::rwx
user:tc:rwx
group::r-x
mask::rwx
other::r-x

[root@room1pc01 桌面]# setfacl -dm u:tc:rwx /tiantan
[root@room1pc01 桌面]# getfacl /tiantan
getfacl: Removing leading '/' from absolute path names
# file: tiantan
# owner: root
# group: root
user::rwx
group::r-x
other::r-x
default:user::rwx
default:user:tc:rwx
default:group::r-x
default:mask::rwx
default:other::r-x

[root@room1pc01 桌面]# mkdir /tiantan/abc

[root@room1pc01 桌面]# getfacl /tiantan/abc
getfacl: Removing leading '/' from absolute path names
# file: tiantan/abc
# owner: root
# group: root
user::rwx
user:tc:rwx
group::r-x
mask::rwx
other::r-x
default:user::rwx
default:user:tc:rwx
default:group::r-x
default:mask::rwx
default:other::r-x

[root@room1pc01 桌面]# su - tc
[tc@room1pc01 ~]$ mkdir /tiantan/aa
mkdir: 无法创建目录"/tiantan/aa": 权限不够
[tc@room1pc01 ~]$ mkdir /tiantan/abc/aa
[tc@room1pc01 ~]$ su - root
密码：
[root@room1pc01 ~]# setfacl -m u:tc:rwx /tiantan
[root@room1pc01 ~]# getfacl /tiantan
getfacl: Removing leading '/' from absolute path names
# file: tiantan
# owner: root
# group: root
user::rwx
user:tc:rwx
group::r-x
mask::rwx
other::r-x
default:user::rwx
default:user:tc:rwx
default:group::r-x
default:mask::rwx
default:other::r-x


[root@room1pc01 ~]# su - tc
[tc@room1pc01 ~]$ mkdir /tiantan/tt

#lsof  查看哪些程序在打开哪些文件或目录（进程打开的文件）有时候umount卸载不掉 就查看下

系统分区规划

根

/boot

交换分区 硬盘划分出来（当内存不够用使用）

/var （可以做LV）  /home   （可以做LV逻辑卷）     

++++++++++++++++++++++++++++++++++++

二、用户切换与提权

2.1  用户切换 su

su      用户名      su      bob2

su  -   用户名      su   -   bob2

su  -               切换到管理员root用户

su  [-]  -c  "命令"  [目标用户]

[zhang@svr6 ~]$ su -c "service httpd status" root

密码：

httpd (pid  1915) 正在运行...

[zhang@svr6 ~]$ 

su 操作的日志文件   cat    /var/log/secure

/etc/profile  (系统级配置 对登录系统的所有用户生效)

~/.bash_profile  (用户级配置 只对当前用户生效)

HISTSIZE=1000

HISTTIMEFORMAT='%F %T'

export   HISTSIZE    HISTTIMEFORMAT

++++++++++++++++++++++++++++++++

2.2  用户提权 sudo

Super or another Do，超级执行

管理员预先为用户设置执行许可

被授权用户有权执行授权的命令，验证自己的口令

普通用执行提权命令的格式

用法1：sudo  特权命令

用法2：sudo   [-u  目标用户]   特权命令

提权修改的配置文件   /etc/sudoers

2.2  用户提权 sudo

白

运维数据库服务 lom

维护网站服务 lucy

晚

运维数据库服务 tom

维护网站服务 bob 

httpd  mysql  运行。。。。

useradd  lom lucy  tom  bob 密码123456

——————  ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++               

提权实验：

++++++++++

[root@svr7 ~]# hostname

svr7.tedu.cn

[root@svr7 ~]# cat /etc/hosts

127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4

[root@svr7 ~]# which service

/sbin/service

[root@svr7 ~]# which vim

/usr/bin/vim

[root@svr7 ~]# useradd tom

[root@svr7 ~]# echo 123456 |passwd --stdin tom

[root@svr7 ~]# visudo   / vim   /etc/sudoers (两种方式进入提权配置文件）

     98 root    ALL=(ALL)       ALL

     99 tom     localhost,svr7.tedu.cn=/sbin/service httpd *  ,/usr/bin/vim /etc     /httpd/conf/httpd.conf

测试：（提权）

[root@svr7 ~]# su - tom

[tom@svr7 ~]$ sudo -l （第一次输密码）

[tom@svr7 ~]$ sudo /usr/bin/vim /etc/httpd/conf/httpd.conf 

[tom@svr7 ~]$ sudo /sbin/service  httpd status

httpd (pid  3723) 正在运行...

_____________________________________________________________

99 tom     localhost,svr7.tedu.cn=/usr/sbin/*，！/usr/sbin/useradd  (除这一个命令没给权，其它tom都能做)

把用户加入一个组提权（晚班组）

groupadd  wenbanmin

usermod  -G wenbanmin tom

usermod  -G wenbanmin lom

99 %wenbanmin    localhost,svr7.tedu.cn=/sbin/service httpd *,/usr/bin/vim /etc   /httpd/conf/httpd.conf

测试效果一样

——————————————————

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

+++提权后用户操作的日志文件++、

服务器记录通过普通用户执行过的提权命令操作(管理员可以查看你执行的命令）

启用日志文件/etc/sudoers

vim /etc/sudoers

Defaults logfile="/var/log/sudo"

[tom@svr7 ~]$ sudo /sbin/service httpd stop

停止 httpd：  

#tailf /var/log/sudo

Mar  6 07:28:56 : tom : TTY=pts/2 ; PWD=/home/tom ; USER=root ;

    COMMAND=/sbin/service httpd stop

——————————————————————————————————————————————

提权时设置别名（别名必须使用大写字母） 管理软件包 磁盘 网络 服务

*先定义后使用，但可以只定义不使用

给用户设置别名  User_Alias      别名名称=用户名列表

给主机设置别名  Host_Alias      别名名称=主机名列表

给命令设置别名  Cmnd_Alias      别名名称=命令列表

99 %wenbanmin    localhost,svr7.tedu.cn=NETWORKING，SOFTWARE    

     

Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient, /usr/bin/net, /sbin/iptables, /usr/bin/rfcomm, /usr/bin/wvdial, /sbin/iwconfig, /sbin/mii-tool

Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum

___________________________________________________________________________________________________________

编辑提权配置文件

vim   /etc/sudoers

visudo    打开配置文件的专属命令

配置文件语法格式

普通用户名    主机列表=命令列表

%用户组名    主机列表=命令列表

jim    localhost,ser5=/sbin/*

visudo    #管理员给普通用户提权

%wheel        ALL=(ALL)       NOPASSWD: ALL

mike    localhost,svr1=/sbin/*, !/sbin/ifconfig  eth0 

bob     localhost,room9pc00=/etc/init.d/httpd *

%webadmingrp     localhost,room9pc00=/etc/init.d/httpd *

:wq

useradd  lily

echo   123   |   passwd --stdin  lily

usermod  -G   wheel   lily

grep   wheel   /etc/group

useradd   mike

echo  123  |  passwd --stdin  mike

groupadd  webadmingrp

useradd  jim

useradd  tom

echo  123  |  passwd --stdin  tom

echo  123  |  passwd --stdin  jim

提权用户登录系统测试命令能否使用

su  -  bob

sudo   -l   查看可以使用命令

sudo  /etc/init.d/httpd  status  执行可以使用的命令

提权时设置别名（别名必须使用大写字母）

*先定义后使用，但可以只定义不使用

给用户设置别名  User_Alias      别名名称=用户名列表

给主机设置别名  Host_Alias      别名名称=主机名列表

给命令设置别名  Cmnd_Alias    别名名称=命令列表

User_Alias   ADMINS = jsmith, mikem

Host_Alias     MAILSERVERS = smtp, smtp2

Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient, /usr/bin/net, /sbin/iptables, /usr/bin/rfcomm, /usr/bin/wvdial, /sbin/iwconfig, /sbin/mii-tool

Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum

ADMINS     MAILSERVERS=NETWORKING

jerry       localhost,ser5=NETWORKING,SOFTWARE

MYSER=mail,web,ftp,mysql,localhost

+++++++++++++++++++++++++++++++

启用日志记录用户执行了那些提权命令

visudo

...

Defaults  logfile="/var/log/sudo"

:wq

sed   -n  '/^$/!p'  /etc/sudoers   |  sed  -n  '/^#/!p'

[root@room9pc00 ~]# sed   -n  '/^$/!p'  /etc/sudoers   |  sed  -n  '/^#/!p'（去除空白行和注释）

Defaults    requiretty

Defaults   !visiblepw

Defaults    always_set_home

Defaults    env_reset

Defaults    env_keep =  "COLORS DISPLAY HOSTNAME HISTSIZE INPUTRC KDEDIR LS_COLORS"

Defaults    env_keep += "MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE"

Defaults    env_keep += "LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES"

Defaults    env_keep += "LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE"

Defaults    env_keep += "LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY"

Defaults    secure_path = /sbin:/bin:/usr/sbin:/usr/bin

rootALL=(ALL) ALL

[root@svr6 ~]# grep -v "^$" /etc/sudoers |grep -v "^#" （和上面效果一样）

++++++++++++++++++++++++++++++++++++

三、管理SSH服务  22端口号

/etc/init.d/sshd  start  ;chkconfig   sshd on

1.默认所有地址接收连接请求（就是一台上的两个ip都可以）

2.默认允许使用本机所有帐号连接

/etc/ssh/sshd_config

 13 Port 2222

 16 ListenAddress 192.168.4.6 (当服务器多个ip时，只允许连这个ip远程管理）

 43 PermitRootLogin no   （不让别人连root用户）

 42 #LoginGraceTime 2m

 45 #MaxAuthTries 6   （输入密码时最多输入错次，都错了要等多少次，这两个连一起用）

 

66 PasswordAuthentication no   （如果做了这一条，就不允许别人输入口令连自己了，但是之前做过密钥对的还是可以免密码连 要改成yes 就都可以 也可以口令）

黑白名单 /etc/ssh/sshd_config

黑名单 在名单列表里的用户不允许登录

DenyUsers yaya@192.168.4.7  jing

DenyGroups dbadmin  webadmin

白名单 只有在命令/etc/ssh/sshd_config

AllowUsers root@172.40.50.117  jerry   (只允许root用户在这个117才能连，jerry任何用户都能连）

AloowGroups  mywebgrp 

配置密钥对登录   （/root/.ssh/）

客户端创建：[root@svr7 ~]# rm -fr /root/.ssh/

      [root@svr7 ~]# ssh-keygen 

      [root@svr7 ~]# ls /root/.ssh

       id_rsa  id_rsa.pub

      [root@svr7 ~]#ssh-copy-id root@192.168.4.6

         

服务器：vim /etc/ssh/sshd_config(修改完配置文件，只允许用密钥对这种方式，口令密码上不了）

 49 PubkeyAuthentication yes

 50 AuthorizedKeysFile      .ssh/authorized_keys  (开启密钥连）

 66 PermitEmptyPasswords no  （不允许输入口令连）

现在只能使用密钥对远程 不能使用口令。

客户端(如果普通用户要远程管理，可以把私钥拷贝到普通用户家目录下并给权限）

将公钥拷贝到普通用户之后就能远程。

[root@svr7 ~]# useradd dc

[root@svr7 ~]# echo 123456 |passwd --stdin dc

[root@svr7 ~]# su - dc

[dc@svr7 ~]$ mkdir /home/dc/.ssh

[dc@svr7 ~]$ ls -ld /home/dc/.ssh

drwxrwxr-x. 2 dc dc 4096 3月   6 10:46 /home/dc/.ssh

[dc@svr7 ~]$ exit

logout

[root@svr7 ~]# cp /root/.ssh/id_rsa /home/dc/.ssh/

[root@svr7 ~]# chown dc:dc /home/dc/.ssh/id_rsa 

[root@svr7 ~]# su - dc

[dc@svr7 ~]$ ssh  root@192.168.4.254

Last login: Mon Mar  6 18:43:24 2017 from 192.168.4.7

[root@room1pc01 ~]# 

3.1   服务运行参数

vim /etc/ssh/sshd_config

ssh  -p  20002 root@172.40.50.117

3.2   登录方式

3.2.1  密码认证登录(用户名  密码)

3.2.2  密钥对认证登录

           密钥对由公钥 和 私钥组成 

1   88客户端在自己本机生成密钥对 ssh-keygen

[root@stu ~]# which ssh-keygen

/usr/bin/ssh-keygen

[root@stu ~]# rpm  -qf  /usr/bin/ssh-keygen 

openssh-5.3p1-111.el6.x86_64

[root@stu ~]#

man   ssh-keygen  查帮助

[root@stu ~]# ls /root/.ssh/

id_rsa  id_rsa.pub  known_hosts

私钥     公钥

[root@stu ~]# 

2客户端把自己公钥拷贝ssh服务器上 （99）   

ssh-copy-id   root@172.40.50.99

[root@stu ~]# ssh-copy-id  root@172.40.50.99

root@172.40.50.99's password: 

Now try logging into the machine, with "ssh 'root@172.40.50.99'", and check in:

  .ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

[root@stu ~]#

vim /etc/ssh/sshd_conf

PasswordAuthentication no （不输入口令）

PubkeyAuthentication yes

AuthorizedKeysFile      .ssh/authorized_key

:wq

/etc/init.d/sshd  reload

ssh   -X   -p  端口     用户名@地址

++++++++++++++++++++++++++++++

3.2.3  连接控制（黑白名单）

vim  /etc/ssh/sshd_config

单个用户

DenyUsers    USER1  USER2    黑名单

AllowUsers   USER1@HOST   USER2    白名单

AllowUsers   stu1@1.1.1.1  

++++++++++++++++++++++++++++++++

用户组

DenyGroups  GROUP1 GROUP2 …   黑名单

AllowGroups  GROUP1 GROUP2 …  白名单

++++++++++++++++++++++++++++++++