ssh远程登录命令（Linux下定制SSH来简化远程访问教程）

本文目录

• Linux下定制SSH来简化远程访问教程
• SSH协议、openSSH远程口令及密钥登录配置
• 思科5508ASA开启SSH远程登录
• 了解关于SSH远程连接服务
• 使用sshpass和ssh实现无密码自动远程登录
• SSH 之远程登录
• Mac下使用SSH远程登录服务器
• 本地shell脚本中ssh到远程服务器并执行命令
• ssh命令远程连接linux服务器
• 【Linux】SSH 使用密码/公钥远程登录总结

Linux下定制SSH来简化远程访问教程

SSH 使用系统全局以及用户指定(用户自定义)的配置文件。在本文中，我们将介绍如何创建一个自定义的 ssh 配置文件，并且通过特定的选项来连接到远程主机。

   　　SSH (指 SSH 客户端)是一个用于访问远程主机的程序，它使得用户能够 在远程主机上执行命令。这是在登录远程主机中的最受推崇的方法之一，因为其设计目的就是在非安全网络环境上为两台非受信主机的通信提供安全加密。

SSH 使用系统全局以及用户指定(用户自定义)的配置文件。在本文中，我们将介绍如何创建一个自定义的 ssh 配置文件，并且通过特定的选项来连接到远程主机。

先决条件：

1.你必须 在你的桌面 Linux 上安装好 OpenSSH 客户端。

2.了解通过 ssh 进行远程连接的常用选项。

SSH 客户端配置文件

以下为 ssh 客户端配置文件：

1./etc/ssh/ssh_config 为默认的配置文件，属于系统全局配置文件，包含应用到所有用户的 ssh 客户端的设置。

2.~/.ssh/config 或者 $HOME/.ssh/config 为用户指定/自定义配置文件，这个文件中的配置只对指定的用户有效，因此，它会覆盖掉默认的系统全局配置文件中的设置。这也是我们要创建和使用的文件。

默认情况下，用户是通过在 ssh 中输入密码来获取验证的，你可以以一个简单的步骤来 使用 Keygen 来设置 ssh 无密码登录。

注：如果你的系统上不存在 ~/.ssh 目录，那就手动创建它，并设置如下权限：         

$ mkdir -p ~/.ssh

$ chmod 0700 ~/.ssh

以上的 chmod 命令表明，只有目录属主对该目录有读取、写入和执行权限，这也是 ssh 所要求的设置。

如何创建用户指定的 SSH 配置文件

该文件并不会被默认创建的，所以你需要使用具有读取/写入权限的用户来创建它。

$ touch ~/.ssh/config

$ chmod 0700 ~/.ssh/config

上述文件包含由特定主机定义的各个部分，并且每个部分只应用到主机定义中相匹配的部分。

~/.ssh/config 文件的常见格式如下，其中所有的空行和以 ‘#’ 开头的行为注释：

Host host1

ssh_option1=value1

ssh_option2=value1 value2

ssh_option3=value1

Host host2

ssh_option1=value1

ssh_option2=value1 value2

Host *

ssh_option1=value1

ssh_option2=value1 value2

如上格式详解：

1.Host host1 为关于 host1 的头部定义，主机相关的设置就从此处开始，直到下一个头部定义 Host host2 出现，这样形成一个完整的定义。

2.host1 和 host2 是在命令行中使用的主机别名，并非实际的远程主机名。

3.其中，如 sshoption1=value1、sshoption2=value1 value2 等配置选项将应用到相匹配的主机，可以缩进以看起来更整齐些。

4.对于 ssh_option2=value1 value2 这样的选项，ssh 执行时会按照顺序优先使用 value1 的值。

5.头部定义 Host * (其中 * 为匹配模式/通配符，匹配零个或多个字符) 会匹配零个或者多个主机。

仍旧以上述的格式为例，ssh 也是也这样的形式类读取配置文件的。如果你执行 ssh 命令来访问远程主机 host1，如下：

 $ ssh host1

以上 ssh 命令会进行一下动作：

1.匹配配置文件中主机别名 host1，并使用头部定义中的各个设置项。

2.继续匹配下一个主机定义，然后发现命令行中提供的主机名没有匹配的了，所以接下来的各个设置项会被略过。

3.最后执行到最后一个主机定义 Host *， 这会匹配所有的主机。这里，会将接下来的所有设置选项应用到所有的主机连接中。但是它不会覆写之前已经有主机定义的那些选项。

4.ssh host2 与此类似。

如何使用用户指定的 shh 配置文件

在你理解了 ssh 客户端配置文件的工作方式之后，你可以通过如下方式来创建它。记得使用你的服务器环境中对应的选项、值 (主机别名、端口号、用户名等)。

通过你最喜欢的器来打开配置文件：

  $ vi ~/.ssh/config

并定义必要的部分：

Host fedora25

HostName 192.168.56.15

Port 22

ForwardX11 no

Host centos7

HostName 192.168.56.10

Port 22

ForwardX11 no

Host ubuntu

HostName 192.168.56.5

Port 2222

ForwardX11 yes

Host *

User tecmint

IdentityFile ~/.ssh/id_rsa

Protocol 2

Compression yes

ServerAliveInterval 60

ServerAliveCountMax 20

LogLevel INFO

以上 ssh 配置文件的详细解释：

1.HostName - 定义真正要登录的主机名，此外，你也可以使用数字 IP 地址，不管是在命令行或是 HostName 定义中都允许使用其中任一种。

2.User – 指定以哪一个用户来登录。

3.Port – 设置连接远程主机的端口，默认是 22 端口。但必须是远程主机的 sshd 配置文件中定义的端口号。

4.Protocol – 这个选项定义了优先使用 ssh 支持的协议版本。常用的值为 ‘1’ 和 ‘2’，同时使用两个协议版本则必须使用英文逗号隔开。

5.IdentityFile – 指定一个用于读取用户 DSA、Ed25519、ECDSA 等授权验证信息的文件。

6.ForwardX11 – 定义 X11 连接是否自动重定向到安全通道和 DISPLAY 设置。有两个可以设置的值，即 yes 或 no。

7.Compression – 默认值为 no，如果设置为 yes，则在连接远程主机过程中使用压缩进行传输。

8.ServerAliveInterval – 设置当没有收到服务器响应 (或者数据))时的超时时间，单位为秒，ssh 会通过加密信道发送信息，请求服务器响应。默认值为 0，这意味着 ssh 不会向服务器发送响应请求;如果定义了 BatchMode 选项，则默认是 300 秒。

9.ServerAliveCountMax – 设置服务器在没有接收到服务器的任何响应时，由服务器发送的活动信息数量。

10.LogLevel – 定义 ssh 登录信息的的日志冗余级别。允许的值为：QUIET、FATAL、ERROR、INFO、VERBOSE、DEBUG、DEBUG1、DEBUG2 和 DEBUG3，默认为 INFO。

连接任意远程主机的标准方法是在上述两个文件中定义第二个部分(我连接的是 CentOS 7)。一般情况下，我们这样输入命令：

 $ ssh -i ~/.ssh/id_rsa -p 22 tecmint@192.168.56.10

然而，使用了 ssh 客户端配置文件之后，我们还可以这样：

 $ ssh centos7                          

你也可以在 man 帮助页面寻找更多的设置选项和使用实例：

$man ssh_config

SSH协议、openSSH远程口令及密钥登录配置

SSH（Secure Shell）协议为远程登录或其它网络服务（如：sftp、scp）提供安全保障的一种协议。它设计之初的主要目的是替代telnet远程登录协议，由于telnet协议以明文的方式在互联网上传递数据和服务器账户口令，别有用心的人很容易就可以截获得到这些数据和口令。以下是SSH详细的登录过程：

a、版本号协商阶段

服务器端启动ssh服务，并打开22号端口（也可以配置为其它端口），等待客户端链接。客户端向服务器端发起TCP连接。连接建立后，服务器端和客户端开始商议欲使用的协议版本号。如果协商成功，进入密钥和算法协商阶段，否则，断开TCP连接。

b、密钥和算法协商阶段

服务器端和客户端分别向对方发送算法协商报文，其中包括了自己支持的非对称加密算法列表、加密算法列表、消息验证码算法列表、压缩算法列表等。服务器端和客户端根据双方支持的算法得出最终使用的算法（如非对称加密算法是采用RSA，还是DSA）。协商完成后，服务器端将自己的公钥发送给客户端，客户端根据公钥指纹决定是否信任此主机。选择信任此主机后，客户端使用服务器端的公钥将自己生成的会话密钥加密，发送给服务器端。以后的会话内容和口令都通过此会话密钥加密发送。通常，每过一个小时，服务器端和客户端会重新商定会话密钥，以防止会话密钥被暴力破解。

c、认证阶段

基于口令的认证：

客户端采用在算法协商阶段产生的会话密钥加密帐号、认证方法、口令，并将其传送给服务器端。服务器端收到后将其解密后，基于本地账户密码对其判断是否正确。如果正确，成功建立登录连接，否则，向客户端返回认证失败报文，其中包含了可再次认证的方法列表。当登录请求次数达到可允许的尝试上限次数后，服务器端断开本次TCP连接，并限制此帐号连接请求。

基于密钥的认证：

客户端使用ssh-keygen工具在本地家目录的.ssh/目录下生成一对密钥（如：公钥id_rsa.pub、私钥id_rsa）。并将公钥追加保存到将要登录的服务器上的那个帐号家目录的.ssh/authorized_keys文件中。客户端使用算法协商阶段生成的会话密钥加密帐号、认证方法、公钥，并将其传送给服务器端。服务器端收到后将解密后的公钥与本地该帐号家目录下的authorized_keys中的公钥进行对比。如果内容不相同，认证失败，否则服务器端生成一段随机字符串，并先后用客户端公钥和会话密钥对其加密，发送给客户端。客户端收到后将解密后的随记字符串用会话密钥加密发送给服务器端。如果发回的字符串与服务器端起先生成的一样，则认证通过，否则，认证失败。

openssh便是SSH的一个开源实现。本文后续部分将简要介绍如何用openssh基于口令和密钥的远程登录。
示例：

# ssh root@172.29.166.218

如果是第一次登录远端主机，系统会出现以下提示：

因为协议本身无法确认远端服务器的真实性，用户自行根据提供的经SHA256算法提取的公钥指纹判断其真实性。如果确认为真，则输入帐号密码以登录服务器端。
a、首先在客户端生成一对密钥

示例：

b、将客户端公钥保存到服务器端

示例：

另外，可以不使用ssh-copy-id命令，改用以下命令，可以更好的理解公钥的保存过程：

c、登录验证

如果仍然无法无口令登录，请检查sshd配置文件/etc/ssh/sshd_config，并将以下几行前面的注释符号取消。

思科5508ASA开启SSH远程登录

1、产生密钥
ciscoasa(config)# crypto key generate rsa modulus 1024

2、允许ssh从inside接口登录
ciscoasa(config)# ssh 0.0.0.0 0.0.0.0 inside

3、设置ssh会话的超时时间
ciscoasa(config)# ssh timeout 60

4、设置本地用户用户名及密码
ciscoasa(config)# username root password root

5、ssh登录启用本地认证
ciscoasa(config)# aaa authentication ssh console LOCAL

6、确定ssh的版本
ciscoasa(config)# ssh version 2

其他ssh相关命令
sh ssh 查看ssh配置信息
sh crypto key mypubkey rsa 查看产生的rsa密钥值
crypto key zeroize 清空所有产生的密钥

secureCRT登录失败，提示：
Key exchange failed.
No compatible key exchange method. The server supports these methods: diffie-hellman

解决办法：
1.选择option-session options，进入会话选项
2.点击SSH2，然后勾选上key-exchange中的diffe-hallman,确认即可
***隐藏网址***

***隐藏网址***
***隐藏网址***

了解关于SSH远程连接服务

        1、什么是SSH

             SSH是专门为了远程登录会话和其他网络服务提供的安全性协议，使用SSH协议可以有效的防止远程连接会话的时候出现信息泄密，在数据传输的时候SSH会先对联机的数据包通过加密技术进行加密处理，加密后在进行数据的传输，确保了传输中的安全性,SSH服务主要提供两个服务功能：一个是远程联机的SSH服务，一个是借助SSH协议来传输数据的SFTP服务

        2、SSH原理阐述

              ① 服务端开启ssh服务监听22端口

　　　　② 客户端发送联机请求(携带IP和端口)

　　　　③ 客户端服务端进行联机加密认证

　　　　④ 认证通过联机成功

        3、SSH的两种认证方式

              ① 基于密码口令的认证

　　　　② 基于秘钥的安全认证

        4、SSH认证类型阐述

              基于密码口令的方式：

　　　　　　基于密码的安全认证就是我们一直在用的，只要知道服务器的SSH连接账号和密码(当然也要知道服务器的IP和端口(默认22))，就可以通过客户端远程登录到主机了，所以的传输过程都是加密的

　　　　基于秘钥的安全认证：

　　　　　　① 运行SSH服务，生成密钥对

　　　　　　② 客户端发送公钥到服务端(通过ssh-copy-id或者其他的方式)

　　　　　　③ 客户端发送连接请求

                      ④ 服务端进行对密钥的验证

　　　　　　⑤ 验证成功服务端将用公钥加密质询，发送给客户端

　　　　　　⑥ 客户端用自己的私钥解密质询

　　　　　　⑦ 客户端将解密后的质询发送给服务端

　　　　　　⑧ 服务端验证质询

　　　　　　⑨ 验证通过，建立连接

        5、SSH联机加密过程原理阐述

补充：SSH2版本中为了修补SSH1中不验证整合秘钥对的漏洞，加入了一个确认联机正确性的Diffie-Hellman机制(每次联机都会进行秘钥对的校验)

          1、expect

          2、sshpass

          3、pssh

         ① SSH是安全加密协议，用于远程连接linux服务器

　　  ② SSH默认端口是22，安全协议版本是SSH2，除了SSH2还有SSH1，但是1有漏洞

　　  ③ SSH服务端只要包含两个服务，一个是SSH一个是SFTP

　　  ④ Linux SSH 客户端包含ssh远程连接命令，以及远程scp命令等

　　  ⑤ SSH配置文件的优化很重要，可以提高服务器的安全性，也可以提高远程连接的速度

使用sshpass和ssh实现无密码自动远程登录

linux对linux进行登录可以使用ssh工具，但是在使用ssh的时候经常需要输入密码，因此需要安装sshpass工具，实现自动登录。

使用命令登录远程服务器：

为了解决每次登录都需要输入密码，ip地址等信息，可以自定义一个shell命令。首先打开bash配置文件：

在最后添加一下代码：

推出文件之后，重载bashrc文件:

在终端输入sshww即可远程登录服务器。

一台电脑安装了linux系统和windows系统，时间会不同步。

SSH 之远程登录

从客户端来看，SSH提供两种级别的安全验证。

对于第二种级别，你必须知道自己密匙的口令。但是，与第一种级别相比，第二种级别不需要在网络上传送口令。第二种级别不仅加密所有传送的数据，而且“中间人”这种攻击方式也是不可能的（因为他没有用户的私人密匙）。但是整个登录的过程可能需要10秒。

将本地用户生成的公钥推送至远程服务器后，远程主机将用户的公钥，保存在登录后的用户主目录的$HOME/.ssh/authorized_keys文件中。公钥就是一段字符串，只要把它追加在authorized_keys文件的末尾就行了。
这里不使用ssh-copy-id命令，改用下面的命令，来解释公钥的保存过程：

输入命令 ssh user@host ，然后根据提示输入远程服务器的登录密码

也可在配置文件/etc/ssh/ssh_config 中设置user和host(ip), 来简化命令, 配置如下：

配置后, 登录请求时只需输入如下命令：

使用密码登录，每次都必须输入密码，非常麻烦。好在SSH还提供了公钥登录，可以省去输入密码的步骤。
公钥登录原理 ：就是用户将自己的公钥储存在远程主机上。登录的时候，远程主机会向用户发送一段随机字符串，用户用自己的私钥加密后，再发回来。远程主机用事先储存的公钥进行解密，如果解密验证成功，就证明用户是可信的，直接允许登录shell，不再要求密码。

执行上述命令首先会让你输入生成密钥的文件名： myPemKey (自定义)，之后一路回车。

配置后，登录远程服务器时只需输入一下命令，便可直接登录成功：

修改后重启ssh服务

则远程连接时指定端口

(1) 通过iptables设置ssh端口的白名单,如下设置只允许192.168.1.0/24网段的客户机可以远程连接本机

(2) 通过/etc/hosts.allow里面进行限制(如下)，/etc/hosts.deny文件不要任何内容，保持默认！

例如：

修改远程服务器ssh服务配置文件/etc/ssh/sshd_config

修改远程服务器配置文件/etc/ssh/sshd_config， 如下：

如果本机系统有些账号没有设置密码，而ssh配置文件里又没做限制，那么远程通过这个空密码账号就可以登陆了，这是及其不安全的，所以一定要禁止空密码登陆。
修改远程服务器配置文件/etc/ssh/sshd_config，如下：

参考：

Mac下使用SSH远程登录服务器

MAC 是自带SSH的，可以使用whereis查看是否存在，在终端执行下面的命令：

执行完后会打印存在路径

之后查看现有进程，执行下列命令：

执行完后会打印现有进程，但是你会发现找不到ssh对应的进程
下列为我的终端执行命令后的结果

这时候如果直接使用SSH命令连接本地主机或者远程主机会遇到下列错误：

解决方法：打开系统偏好设置，在共享中，打开远程登录，如下图：

之后使用ssh localhost来测试一下，如果提示输入密码来认证就没问题了。
之后再grep一下进程就可以看到ssh进程在运行了：

可以通过ssh命令连接其他主机，例如：
ssh username@192.168.100.100

也可以通过ssh命令连接其他服务器，例如：ssh -p 端口 用户名@服务器ip地址

本地shell脚本中ssh到远程服务器并执行命令

        在实际运用中在当前服务器执行命令后，需要在另一台服务器继续执行某些命令，分开去到另一台服务器执行也是比较麻烦的，因此整理下集中执行的方式

1、首先配置ssh免密操作

***隐藏网址***

2、简单命令

ssh root@192.168.1.1 "cd /var/lib; ls; cd "

2.1 使用时注意，双引号必须有。若没加双引号，第二条及之后的命令会在本地执行

2.2 分号是将两条语句间隔开

2.3 单双引的区别：单引号不会解析值，是什么就传什么；双引号会解析值，将解析结果传过去

3、多条命令

     ssh root@192.168.1.1《《 reallssh

      cd /var/lib/test

      tar -zxvf api.com.tar.gz

      ......

      exit

      reallssh

3.1 命令写在 《《 reallssh(开始) 至 reallssh(结束) 之间

3.2 reallssh可自己定义为其他形式

3.3 在结束前加上exit退出远程

4、可能遇到的问题

问题：远程登录主机时出现Pseudo-terminal will not be allocated because stdin is not a terminal. 错误

解决方案：字面意思是伪终端将无法分配，因为标准输入不是终端。

所以需要增加-t -t参数来强制伪终端分配，即使标准输入不是终端。

to force pseudo-tty allocation even if stdin isn’t a terminal.

参考样例如下:

ssh -t -t user1@192.168.1.1 -p 22
--------------------------------------------------------------------------------

***隐藏网址***

ssh命令远程连接linux服务器

默认端口号为22，sshroot@ip地址。若改变了端口号，则为：ssh登录名@IP地址-p端口号。
SSH为SecureShell的缩写，由IETF的网络小组（NetworkWorkingGroup）所制定；SSH为建立在应用层基础上的安全协议。SSH是目前较可靠的安全协议，专为远程登录会话和其他网络服务提供安全服务。利用SSH协议可以有效防止远程管理过程中的信息泄露问题。
SSH最初是UNIX系统上的一个程序，后来又迅速扩展到其他操作平台。SSH在正确使用时可弥补网络中的漏洞。SSH客户端适用于多种平台。几乎所有UNIX平台—包括HP-UX、Linux、AIX、Solaris、DigitalUNIX、Irix，以及其他相关平台，都可运行SSH。

【Linux】SSH 使用密码/公钥远程登录总结

本文是笔者查阅网上资料做的总结，关于SSH原理，什么是对称加密和非对称加密，本文不过多介绍。这里介绍一下SHH的工作过程、配制方法，可能出现的问题及解决方法。
说明：本文中涉及的例子，SSH客户端为：本地主机A，SSH服务器为：服务器B

SSH协议采用C-S（客户端-服务器端）架构进行双方的身份验证以及数据的加密。
服务器端组件监听指定的端口，负责安全连接的建立、对连接方的身份认证、以及为通过身份认证的用户建立正确的环境。
客户端负责发起最初的TCP握手、安全连接的建立、验证服务器的身份与之前记录中的一致、并将自己的验证信息提供给服务器。
一个SSH会话的建立过程分为两个阶段。第一阶段，双方沟通并同意建立一个加密连接通道以供后续信息传输用。第二阶段，对请求接入的用户进行身份验证以确定服务器端是否要给该用户开放访问权限。

当客户端发起TCP连接时，服务器端返回信息说明自己支持的协议版本，如果客户端上支持的协议与之匹配，则连接继续。服务器会提供自己的公共主机密钥（public host key）以让客户端确认自己访问的是正确的机器。

然后，双方采用一种Diffie-Hellman算法共同为该会话建立密钥。每一方的一部分私有数据，加上来自对方的一部分公共数据，通过这种算法计算，能够得出完全相同的密钥用于本次会话。

整个会话的通讯内容都使用该密钥进行加密。这个阶段使用的公钥/私钥对与用户验证身份用的SSH密钥是完全无关的。

经典Diffie-Hellman算法的计算步骤如下：

这个共享密钥的加密方式被称为二进制数据包协议（binary packet protocol）。该过程能够让双方平等的参与密钥生成的过程，而不是由单方掌握。这种共享密钥生成的过程是安全的，双方没有交换过任何未经加密的信息。

生成的密钥是对称式密钥，一方用于加密信息的密钥等同于另一方用于解密信息的密钥，而任何第三方由于不持有该密钥，是无法解密双方传递的内容的。

会话加密通道建立后，SSH开始进入用户认证阶段。

下一步，服务器验证用户身份以决定是否准许其访问。验证有不同的方式，选择的验证方式取决于服务器的支持。

最简单的验证是密码验证：服务器要求客户端输入密码，客户端输入的密码经过上述的通道加密传输给服务器。

虽然密码是加密过的，然而该方法仍然不被推荐，因为用户经常为了省事而使用过于简单的密码，而这类密码很容易就能够被自动化脚本破解。

最流行的验证方式是SSH密钥对，这也是当前最推荐的方式。SSH密钥对是非对称密钥，私钥和公钥分别用于不同的功能。

公钥用于加密，而私钥用于解密。公钥可以随意上传、共享，因为公钥的流通并不会危及到私钥的保密性。

SSH密钥对的验证过程起始于上一部分加密通道建立之后，其具体执行步骤如下：

简单来说，服务器端用公钥加密信息，客户端用私钥解密信息以证明自己持有私钥。该过程同时使用了对称加密和非对称加密，两种方式各有自己的功用。

命令如下：

用户名：为要登录的服务器B中已存在的用户账户名
IP地址：为服务器B的IP地址
-p 端口号：用来指定端口号，默认为22

第一次登录时，会提示如下提示：

大概意思是说，你正在访问的主机不能验证它的真实性，它的RSA key（当前访问主机的公钥）指纹是怎样的，你确定要继续连接吗？
输入yes继续，会提示，已永久把当前访问主机的RSA key添加到了已知主机文件（用户目录下，.ssh 文件夹中的knwon_hosts文件）中。之后再次 SSH 登录就不再有该提示了。
接着，输入登录账户的密码即可。

SSH 密码登录，需要服务器开启密码验证权限，服务器SSH配置命令如下：

在 sshd_config 文件中，Protocol 2 下面 #PasswordAuthentication yes，将前面的#号去掉，保存退出。

公钥登录，即免密码登录。避免的每次登录都要输入的麻烦，也防止了中间人攻击。是SSH远程登录最常用的登录方式。

提示输入密钥对名称，直接回车，使用默认名称即可；
提示输入密码（使用私钥时，要输入密码），直接回车，不使用密码即可。

首先，登录服务器B，在进行下面的操作。

找到 #PubkeyAuthentication yes，删除 #号，保存退出。

重启 ssh 服务

也可指定验证私钥：

本地主机A，生成密钥对后：

sudo vim /etc/selinux/config