ssh免密连接那点事

文章更新记录

  1. 20160623-初次成文
  2. 20170214-情人节更新限定

为什么会有这篇文章

因为懒呗,觉得ssh这种方式是在是太方便了。所以就把自己在几台主要开发机上都配置成了这种方式,顺便也熟悉了一下MACOS、树莓派、OPENWRT以及CENTOS几种linux系统下对ssh免密配置的稍微不同。

先来看一个配置文件(.ssh目录下的config文件)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
Host github1
HostName github.com
PreferredAuthentications publickey
IdentityFile ~/.ssh/github1
Host github2
HostName github.com
PreferredAuthentications publickey
IdentityFile ~/.ssh/github2
Host codingnet1
HostName git.coding.net
PreferredAuthentications publickey
IdentityFile ~/.ssh/coding
Host aliyunroot
HostName www.aliyun.com
PreferredAuthentications publickey
IdentityFile ~/.ssh/aliyun_root
User root
Host aliyungit1
HostName www.aliyun.com
PreferredAuthentications publickey
IdentityFile ~/.ssh/aliyun_git1
User git1
Host oproot
HostName www.wodeshumeipai.com
Port 22
CheckHostIP no
PreferredAuthentications publickey
IdentityFile ~/.ssh/op_root
User root
Host pipi
HostName www.wodeshumeipai.com
Port 22
CheckHostIP no
PreferredAuthentications publickey
IdentityFile ~/.ssh/raspberry_pi
User pi

这个文件是告诉本机ssh连接应该去哪里找密钥的,比较重要的几个参数:

  1. Host oproot #这个默认的名字,通过这个简称,可以使用 ssh oproot 甚至ssh -vT git@github的方式直接连接。
  2. HostName www.wodeshumeipai.com #这个是要连接的服务器地址
  3. Port 22 #端口号
  4. CheckHostIP no #这个参数,比较特殊,适用于反向解析的情况,可以让服务器忽略反向IP的检查。
  5. PreferredAuthentications publickey #默认就用这个publickey就可以,其他还没有研究。
  6. IdentityFile ~/.ssh/raspberry_pi #告诉ssh去哪里找密钥文件。
  7. User pi #要使用哪个用户名去连接服务器,这个用户名所对应的服务器主目录下,应该有authorized_keys。

有了上面这个文件,只是ssh免密的第一步,然后,需要生成一下ssh的rsa key,使用命令

1
ssh-keygen -t rsa -C "you@youremail.com"

然后,把pub的内容填写到github.com或者coding.net的设置里去,然后使用命令ssh -vT git@git.coding.net以及ssh -vT git@github.com来测试连接是否正确。如果不正确,先修改RSAkey的文件权限,给600最好。

1
2
chmod 600 id_rsa
chmod 600 id_rsa.pub

如果还不行,那就使用~/.ssh/config文件中规定的Host名来替换相应的git repo的域名,比如,按照上面的设置,不要使用ssh -vT git@git.coding.net,而要使用ssh -vT git@codingnet1来测试。

经过这样的修改,应该可以基本解决ssh的免密了,如果还不行,可以参考我的另外一个帖子,本来是讨论Hexo在deploy时候卡住的问题,但是其实卡住的原因就是git的权限问题,所以值得参考,入口在这里

Windows下GIT的免密

先确认生成了ssh秘钥文件,并且把公钥(.pub)放到GITHUB中,如果你还有其他需要,比如我将HEXO的source文件放到了coding.net,同时我还有第二个github账号用来存放hueman的theme文件。所以,这三个地方我都放好了相应pub文件内容。

然后测试一下连接github和coding.net是否正确ssh -T git@github.com ssh -T git@git.coding.net

正确的,下一步,修改hexo/.git目录下的config文件,这是修改之前的内容

1
2
3
4
5
6
7
8
9
10
11
12
13
14
[core]
repositoryformatversion = 0
filemode = false
bare = false
logallrefupdates = true
ignorecase = true
[submodule "themes/hueman"]
url = https://github.com/tinyvane2/hexo-theme-hueman.git
[remote "origin"]
url = https://git.coding.net/tinyvane/hexo.git
fetch = +refs/heads/*:refs/remotes/origin/*
[branch "master"]
remote = origin
merge = refs/heads/master

需要修改的就是其中使用了https方式存取git的几行,分别将他们从https方式,修改为git方式。

1
2
3
4
5
6
7
8
[submodule "themes/hueman"]
...
url = git@github.com:tinyvane2/hexo-theme-hueman.git
...
[remote "origin"]
...
url = git@git.coding.net:tinyvane/hexo.git
...

然后,hexo d以及git push就应该不再需要输入密码了。

PS: 关于一个客户端设置多个github账号的设置,请参见这篇文章一个客户端设置多个github账号

重点就是

1
2
ssh-add ~/.ssh/id_rsa
ssh-add ~/.ssh/id_rsa_two

将你的两个不同账号的ssh密钥添加到ssh-agent内,如果遇到ssh-agent不能启动的错误,先用命令eval 'ssh-agent -s'启动一下。

centos系统ssh免密

需要注意的是,这些linux系统下,要登录ssh的用户,首先在服务器端,一是要要设置密码,二是需要允许ssh登录,通过在服务器上使用passwd命令查看对应的登录用户名,其登录方式不能是/sbin/nologin,否则其他设置都是扯淡。

但是,这里反过来讲,如果设置了/sbin/nologin;/sbin/false,就能禁止ssh登录了么?那可不一定,这里有一篇文章,详细的谈了这个问题。解决办法,也不是很麻烦,就是需要改变/etc/ssh/sshd_config中的几个设置。

1
2
3
AllowAgentForwarding no
AllowTcpForwarding no
X11Forwarding no

这个地方,可以以后再详细讨论,这个涉及服务器安全领域了,是个需要系统总结的话题。

另外一个需要修改的文件是 /etc/ssh/sshd_config

1
2
3
4
5
6
7
#PermitRootLogin without-password    #找到这里,把它注释,这个项目,需要重点说一说
PermitRootLogin yes #改为yes
StrictModes yes

RSAAuthentication yes
PubkeyAuthentication yes
UsePAM yes

参数PermitRootLogin可以有4个参数,分别是 yes, without-password, forced-commands-only, 以及 no。 默认yes

如果这个参数设置为without-password,则root用户无法使用密码授权登录服务器。如果设置为forced-commands-only,则root用户允许使用public key授权登录,但是只有当命令行指定登录的时候才可以,这种设置在需要远程备份服务器的时候很有用,因为远程服务器可能已经禁止了root登录。

如果参数设置为no,root用户则根本不允许登录。

通过命令重启ssh以及sshd

1
2
service ssh restart
service sshd restart

这里注意,使用 /etc/init.d/ssh restart 的方式重启是不成功的,具体为什么?我现在也不知道。

然后,还需要给服务器端的.ssh目录适当的权限,可以参考下面来设置。

1
2
3
4
5
6
mkdir /home/sshloginusername/.ssh
chown -R sshloginusername:sshloginusername /home/sshloginusername
chmod 700 /home/sshloginusername
chmod 700 /home/sshloginusername/.ssh
chmod 644 /home/sshloginusername/.ssh/authorized_keys #公钥文件的所有权限
chmod 600 /home/sshloginusername/.ssh/id_rsa

是不是发现上面这些设置很乱?这里介绍一个命令ssh-copy-id

ssh-copy-id 命令可以把本地主机的公钥复制到远程主机的 authorized_keys 文件上,ssh-copy-id 命令也会给远程主机的用户主目录(home)和 ~/.ssh, 和 ~/.ssh/authorized_keys设置合适的权限,就不用设置上面那么多记不清的数字了。

一句话介绍

1
ssh-copy-id [-i ~/.ssh/id_rsa.pub] user@server

树莓派ssh免密

树莓派基本和centos很像,唯一的问题是我在添加公钥到authorized_keys之后,本以为可以正常登陆,没想到非常费劲,检查了几乎所有地方,也找不到什么,后来才发现,是屏幕直接复制的公钥,在黏贴到auth文件里的时候,最前面少了一个字母s。导致ssh变成了sh,太坑了。

怎么发现的?因为在搜索的过程中,网上有人说ubuntu的authorized_keys文件格式和其他系统有点区别,但是没想到自己挖的坑这么2B。

我使用了

1
2
3
scp -P 22 ~/.ssh/id_rsa.pub user@server:/home/pi/.ssh/temp.pub
ssh -p 22 user@server
cat /home/pi/.ssh/temp.pub >> /home/pi/.ssh/authorized_keys

为什么特意还把这些无聊的命令要写一遍呢,因为scp -P 22是个大写的,而ssh -p22后面的p是小写的,并且直接跟着22。又是一个坑。

同时,在检查登录错误的时候,可以通过tail -10 /etc/log/auth.log看登录日志。

需要重点说的是,在我ssh家中的树莓派的时候,遇到了一个警告。

1
Reverse Mapping Checking – Possible Break-in Attempt Error with SSH

在网上搜索的时候,注意到了这个帖子,其中有一段关于这个问题的解释。

当使用SSH或SFTP连接某个host时,会有一系列的检查以保证你能够连接到你想连接的机器。其中一项是 “reverse lookup on the IP address”检查机器名称和你要连接的机器名称一致。否则,你会得到这样一个错误信息:”reverse mapping checking getaddrinfo for … POSSIBLE BREAK-IN ATTEMPT!”.

这是告诉我们,尽管我们在连接my.example.com ,但是实际上该server的IP 地址对应到192-168-1-243.foo.bar.net 。但这个发生的时候,就是因为server 上的reverse DNS 没有设置好。

举例说,应该是把192.168.1.243 映射到 my.example.com 。

因为我知道这个反向解析可以接受,所以我可以在本机hosts文件上添加一行(在Linux系统下,一般位于/etc/hosts),来让这个警告消失。

但是,还有另外一个解决办法,就是修改本机/etc/ssh/ssh_config,将其中的 GSSAPIAuthentication 设置为 no,或者,修改服务器上的/etc/ssh/sshd_config文件。注意到区别了么?本地的话,是ssh_config,服务器端是 sshd_config,注意不要搞混乱了。

openwrt系统ssh免密

openwrt使用的嵌入式的linux系统,目录和命令和其他系统不是很一样,但是也不是很麻烦。

主要需要注意的是,authorized_keys 文件,并不是存在/root或者/home/username这样的目录的.ssh目录下,而是位于/etc/dropbear/.ssh目录下。

并且遇到一个错误,Exit before auth (user 'root', 0 fails): Exited normally,当时觉得这个错误很神奇,因为解释是还没认证就退出了,想找错误无所适从,后来证明,问题和树莓派上的错误一模一样的。

并且,openwrt没有auth.log文件,想看登录日志,直接输入logread。

sshd_config文件说明

网上搜索那个反向警告信息的时候,发现的,很详细,仔细看看也有很大的帮助。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
# 1. 关于 SSH Server 的整体设定,包含使用的 port 啦,以及使用的密码演算方式

Port 22           # SSH 预设使用 22 这个 port,您也可以使用多的 port !
              # 亦即重复使用 port 这个设定项目即可!
Protocol 2,1        # 选择的 SSH 协议版本,可以是 1 也可以是 2
              # 如果要同时支持两者,就必须要使用 2,1 这个分隔了!
#ListenAddress 0.0.0.0   # 监听的主机适配卡!举个例子来说,如果您有两个 IP,
              # 分别是 192.168.0.100192.168.2.20 ,那么只想要
              # 开放 192.168.0.100 时,就可以写如同下面的样式:
ListenAddress 192.168.0.100 # 只监听来自 192.168.0.100 这个 IP 的SSH联机。
# 如果不使用设定的话,则预设所有接口均接受 SSH
PidFile /var/run/sshd.pid # 可以放置 SSHD 这个 PID 的档案!左列为默认值
LoginGraceTime 600     # 当使用者连上 SSH server 之后,会出现输入密码的画面,
              # 在该画面中,在多久时间内没有成功连上 SSH server ,
              # 就断线!时间为秒!
Compression yes       # 是否可以使用压缩指令?当然可以?!
 
# 2. 说明主机的 Private Key 放置的档案,预设使用下面的档案即可!

HostKey /etc/ssh/ssh_host_key     # SSH version 1 使用的私钥
HostKey /etc/ssh/ssh_host_rsa_key   # SSH version 2 使用的 RSA 私钥
HostKey /etc/ssh/ssh_host_dsa_key   # SSH version 2 使用的 DSA 私钥

# 2.1 关于 version 1 的一些设定!

KeyRegenerationInterval 3600 # 由前面联机的说明可以知道, version 1 会使用
                   # server 的 Public Key ,那么如果这个 Public
                   # Key 被偷的话,岂不完蛋?所以需要每隔一段时间
                   # 来重新建立一次!这里的时间为秒!
ServerKeyBits 768           # 没错!这个就是 Server key 的长度!

# 3. 关于登录文件的讯息数据放置与 daemon 的名称!

SyslogFacility AUTH       # 当有人使用 SSH 登入系统的时候,SSH会记录资
                   # 讯,这个信息要记录在什么 daemon name 底下?
                   # 预设是以 AUTH 来设定的,即是 /var/log/secure
                   # 里面!什么?忘记了!回到 Linux 基础去翻一下
                   # 其它可用的 daemon name 为:DAEMON,USER,AUTH,
                   # LOCAL0,LOCAL1,LOCAL2,LOCAL3,LOCAL4,LOCAL5,
LogLevel INFO           # 登录记录的等级!嘿嘿!任何讯息!
                   # 同样的,忘记了就回去参考!

# 4. 安全设定项目!极重要!

# 4.1 登入设定部分

PermitRootLogin no   # 是否允许 root 登入!预设是允许的,但是建议设定成 no!
UserLogin no        # 在 SSH 底下本来就不接受 login 这个程序的登入!
StrictModes yes       # 当使用者的 host key 改变之后,Server 就不接受联机,
              # 可以抵挡部分的木马程序!
#RSAAuthentication yes   # 是否使用纯的 RSA 认证!?仅针对 version 1
PubkeyAuthentication yes  # 是否允许 Public Key ?当然允许啦!只有 version 2
AuthorizedKeysFile .ssh/authorized_keys
              # 上面这个在设定若要使用不需要密码登入的账号时,那么那个
              # 账号的存放档案所在档名!

# 4.2 认证部分

RhostsAuthentication no # 本机系统不止使用 .rhosts ,因为仅使用 .rhosts 太
              # 不安全了,所以这里一定要设定为 no !
IgnoreRhosts yes      # 是否取消使用 ~/.ssh/.rhosts 来做为认证!当然是!
RhostsRSAAuthentication no # 这个选项是专门给 version 1 用的,使用 rhosts 档案在
              # /etc/hosts.equiv配合 RSA 演算方式来进行认证!不要使用
HostbasedAuthentication no # 这个项目与上面的项目类似,不过是给 version 2 使用的!
IgnoreUserKnownHosts no # 是否忽略家目录内的 ~/.ssh/known_hosts 这个档案所记录
              # 的主机内容?当然不要忽略,所以这里就是 no 啦!
PasswordAuthentication yes # 密码验证当然是需要的!所以这里写 yes ?!
PermitEmptyPasswords no # 若上面那一项如果设定为 yes 的话,这一项就最好设定
              # 为 no ,这个项目在是否允许以空的密码登入!当然不许!
ChallengeResponseAuthentication yes # 挑战任何的密码认证!所以,任何 login.conf
                   # 规定的认证方式,均可适用!
#PAMAuthenticationViaKbdInt yes # 是否启用其它的 PAM 模块!启用这个模块将会
                   # 导致 PasswordAuthentication 设定失效!
 
# 4.3 与 Kerberos 有关的参数设定!因为我们没有 Kerberos 主机,所以底下不用设定!

#KerberosAuthentication no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosTgtPassing no
 
# 4.4 底下是有关在 X-Window 底下使用的相关设定!

X11Forwarding yes
#X11DisplayOffset 10
#X11UseLocalhost yes

# 4.5 登入后的项目:

PrintMotd no # 登入后是否显示出一些信息呢?例如上次登入的时间、地点等
            # 等,预设是 yes ,但是,如果为了安全,可以考虑改为 no !
PrintLastLog yes     # 显示上次登入的信息!可以啊!预设也是 yes !
KeepAlive yes    # 一般而言,如果设定这项目的话,那么 SSH Server 会传送
             # KeepAlive 的讯息给 Client 端,以确保两者的联机正常!
             # 在这个情况下,任何一端死掉后, SSH 可以立刻知道!而不会
             # 有僵尸程序的发生!
UsePrivilegeSeparation yes # 使用者的权限设定项目!就设定为 yes 吧!
MaxStartups 10      # 同时允许几个尚未登入的联机画面?当我们连上 SSH ,
             # 但是尚未输入密码时,这个时候就是我们所谓的联机画面啦!
             # 在这个联机画面中,为了保护主机,所以需要设定最大值,
             # 预设最多十个联机画面,而已经建立联机的不计算在这十个当中

# 4.6 关于使用者抵挡的设定项目:

DenyUsers *        # 设定受抵挡的使用者名称,如果是全部的使用者,那就是全部
               # 挡吧!若是部分使用者,可以将该账号填入!例如下列!
DenyUsers test
DenyGroups test      # 与 DenyUsers 相同!仅抵挡几个群组而已!

# 5. 关于 SFTP 服务的设定项目!

Subsystem sftp /usr/lib/ssh/sftp-server
分享到