请教如何用ssh连接远程服务器

目前，远程连接服务器的类型有以下几种： 

① 文字接口的明文传输：Telnet、RSH为主，很少用到。 

② 文字接口的加密传输：以SSH为主，已经取代了上面的明文传输方式。 

③ 图形接口：XDMCP、VNC、XRDP等较为常见。 

这篇文章只为实战，不为普及概念性知识。所以我只讲解在工作中最常用到的技术SSH。关于SFTP技术和VNC技术，请查阅我的其他博客。 

好，先来看一下SSH的相关技术： 

SSH，英文全程是Secure Shell Protocol(安全的壳程序协议)。SSH是现在公司基本上都在使用的一种文字接口的加密传输技术，采用的是非对称秘钥系统。

对于SSH的原理，你们可以参考我的另外一篇博客，我把链接贴在这里： 

SSH原理

⑴来吧，我们先来查看一下sshd这个服务（这就是SSH的远程连接必须开启的服务，属于系统自带），注意，一般这个sshd服务是默认自动开启的。

如果想要重启怎么办呢？ 

好吧，请看：

上面两种重启动的方法都是可以滴！

⑵直接远程登录主机的命令： 

ssh -f -o 参数 -p 非标准端口 账号@IP 命令 

其中： 

-f : 需要配合后面的命令，不登录远程主机直接发送一个命令过去 

-o 参数 ： 主要的参数有： 

ConnectTimeout=秒数 ： 连接等待的秒数，减少等待的时间。 

StrictHostKeyChecking=yes|no|ask:默认是ask,若要让public key主动加入到known_hosts， 则可以设置为no即可。 

-p : 如果sshd服务启动在非标准端口下，需使用此参数。

举例说明吧： 

① 直接登录到对方主机： 

如果是以root用户登录到对方主机，有如下两种登录方式：

注意：如果是普通用户登录，必须使用第二种加@的方式。

② 实现登录对方主机，执行命令后就离开的方式。例如：从远程主机上执行cat /etc/passwd命令把文件显示在本地主机上。

③ 不登录对方主机，让对方主机自己运行该命令，你立刻回到本地机器继续工作：

④ 删除known_hosts后，重新使用root连接到本机，会自动加上公钥记录

你一定会说，大骗子玩漏了吧？怎么没有自动加上公钥记录呢？怎么记录信息提示手机选择yes/no了呢？别着急，我们的“-o”参数要横空出世了！有了-o,再也不用选择yes|no了，而是自动被选择了yes而加入到~/ssh/known_hosts中。

看到了，这次没有提示让选择yes|no吧！ 

⑤ SSHD服务器详细配置

Centos默认的SSHD服务其实已经算是很安全了，这里注意Centos 5X之后默认SSH协议版本都是V2也就是上图的Protocol 2，默认端口是 22，注意这些还不够，如果是真正工作中的服务器，建议取消root的登录权限：

把红框中的yes改为no就可以取消root用户的登录权限了。

下面来介绍一个很有用的技术，制作不用密码可立即登录的SSH用户。有人会说制作这个是用来干嘛的？你想一想，如果想要利用crontab来定时执行备份或者拷贝的任务，因为每次SSH连接都要输入对方主机密码，这是在crontab中无法执行的，那么怎么办？只有不需要输入密码才可以操作。 

方法如下： 

① 客户端建立两把钥匙 

我们在客户端创建一个用户user1操作，利用user1来远程服务器端的user2用户。下面我们以1921681118为客户端，以1921681121为服务端。 

首先在客户端建立两把秘钥 

命令如下：

需要注意： 

⑴ ~/ssh目录的权限必须是700 

⑵ id_rsa（私钥文件）的权限必须是-rw——-,且属主必须是当前登录用户，否则在未来秘钥比对的过程中，可能会被判断为危险而无法成功的以公私钥成对的机制来实现连接。 

以上两点一般情况下默认都是正确的。

② 将公钥文件数据上传至服务器端

③ 将公钥文件放置到服务器端的正确目录中，并保证文件名正确 

一定要把公钥文件内容附加到authorized_keys这个文件内，操作用户为服务器端用户

注意：切记authorized_keys这个文件的权限必须是644

从客户端来看，SSH提供两种级别的安全验证。

第一种级别（基于口令的安全验证），只要知道自己的帐号和口令，就可以登录到远程主机，并且所有传输的数据都会被加密。但是，这种验证方式不能保证你正在连接的服务器就是想连接的服务器。可能会有别的服务器在冒充真正的服务器，也就是受到中间人这种攻击方式的攻击。

第二种级别（基于密匙的安全验证），需要依靠密匙，也就是必须为自己创建一对密匙，并把公有密匙放在需要访问的服务器上。如果要连接到SSH服务器上，客户端软件就会向服务器发出请求，请求用密匙进行安全验证。

服务器收到请求之后，先在在该服务器的用户根目录下寻找你的公有密匙，然后把它和发送过来的公有密匙进行比较。如果两个密匙一致，服务器就用公有密匙加密质询（challenge）并把它发送给客户端软件。客户端软件收到质询之后就可以用私人密匙解密再把它发送给服务器。

扩展资料

SSH为较可靠，专为远程登录会话和其他网络服务提供安全性的协议。利用SSH协议可以有效防止远程管理过程中的信息泄露问题。SSH最初为UNIX系统上的一个程序，后来又迅速扩展到其他操作平台。

SSH在正确使用时可弥补网络中的漏洞。客户端包含ssh程序以及像scp(远程拷贝)、slogin(远程登陆)、sftp(安全文件传输)等其他的应用程序。

使用OpenSSH工具将会增进你的系统安全性。 所有使用OpenSSH工具的通讯，包括口令，都会被加密。telnet和ftp使用纯文本口令，并被明文发送。

这些信息可能会被截取，口令可能会被检索，然后未经授权的人员可能会使用截取的口令登录进的系统而对系统造成危害。应该尽可能地使用OpenSSH的工具集合来避免这些安全问题。

-ssh

-Secure Shell

Windows下有很多SSH工具。在这里用的是Putty。如果安装了Git并配置使用Putty的话，就不需要另外在安装Putty了。使用SSH连接服务器的命令如下：ssh IP地址

一般来说为了安全性考虑，端口号等一些参数并不会使用默认值。这样的话命令就变成这样：

ssh 用户名@IP地址 -p 端口号

如果连接成功的话会提示你输入远程服务器的密码。全部成功之后SSH就会显示远程服务器的提示符，这时候就说明连接成功了。

每次登录SSH都需要输入密码很麻烦，而且可能不太安全。SSH还能使用另外一种登录方式，也就是使用密钥登录。这种登录方式需要客户端生成一堆公钥私钥对，然后将公钥添加到服务器中，这样下次就可以直接登录了。

首先生成SSH密钥，依照提示输入信息即可。默认生成在用户主目录中的ssh文件夹中。带pub的是公钥，接下来需要添加到服务器中。

ssh-keygen

然后将本地公钥添加到服务器中，需要使用另一个命令：

scp -P 端口号 本地文件路径 用户名@远程服务器地址:远程路径

然后登陆服务器，找到复制进去的公钥，将公钥名字改为authorized_keys并添加到对应的ssh文件夹中。然后退出SSH重新登陆试试，成功的话不需要输入密码就会直接进入远程服务器。

SSH（Secure Shell）协议为远程登录或其它网络服务（如：sftp、scp）提供安全保障的一种协议。它设计之初的主要目的是替代telnet远程登录协议，由于telnet协议以明文的方式在互联网上传递数据和服务器账户口令，别有用心的人很容易就可以截获得到这些数据和口令。以下是SSH详细的登录过程：

a、版本号协商阶段

服务器端启动ssh服务，并打开22号端口（也可以配置为其它端口），等待客户端链接。客户端向服务器端发起TCP连接。连接建立后，服务器端和客户端开始商议欲使用的协议版本号。如果协商成功，进入密钥和算法协商阶段，否则，断开TCP连接。

b、密钥和算法协商阶段

服务器端和客户端分别向对方发送算法协商报文，其中包括了自己支持的非对称加密算法列表、加密算法列表、消息验证码算法列表、压缩算法列表等。服务器端和客户端根据双方支持的算法得出最终使用的算法（如非对称加密算法是采用RSA，还是DSA）。协商完成后，服务器端将自己的公钥发送给客户端，客户端根据公钥指纹决定是否信任此主机。选择信任此主机后，客户端使用服务器端的公钥将自己生成的会话密钥加密，发送给服务器端。以后的会话内容和口令都通过此会话密钥加密发送。通常，每过一个小时，服务器端和客户端会重新商定会话密钥，以防止会话密钥被暴力破解。

c、认证阶段

基于口令的认证：

客户端采用在算法协商阶段产生的会话密钥加密帐号、认证方法、口令，并将其传送给服务器端。服务器端收到后将其解密后，基于本地账户密码对其判断是否正确。如果正确，成功建立登录连接，否则，向客户端返回认证失败报文，其中包含了可再次认证的方法列表。当登录请求次数达到可允许的尝试上限次数后，服务器端断开本次TCP连接，并限制此帐号连接请求。

基于密钥的认证：

客户端使用ssh-keygen工具在本地家目录的ssh/目录下生成一对密钥（如：公钥id_rsapub、私钥id_rsa）。并将公钥追加保存到将要登录的服务器上的那个帐号家目录的ssh/authorized_keys文件中。客户端使用算法协商阶段生成的会话密钥加密帐号、认证方法、公钥，并将其传送给服务器端。服务器端收到后将解密后的公钥与本地该帐号家目录下的authorized_keys中的公钥进行对比。如果内容不相同，认证失败，否则服务器端生成一段随机字符串，并先后用客户端公钥和会话密钥对其加密，发送给客户端。客户端收到后将解密后的随记字符串用会话密钥加密发送给服务器端。如果发回的字符串与服务器端起先生成的一样，则认证通过，否则，认证失败。

openssh便是SSH的一个开源实现。本文后续部分将简要介绍如何用openssh基于口令和密钥的远程登录。

示例：

# ssh root@17229166218

如果是第一次登录远端主机，系统会出现以下提示：

因为协议本身无法确认远端服务器的真实性，用户自行根据提供的经SHA256算法提取的公钥指纹判断其真实性。如果确认为真，则输入帐号密码以登录服务器端。

a、首先在客户端生成一对密钥

示例：

b、将客户端公钥保存到服务器端

示例：

另外，可以不使用ssh-copy-id命令，改用以下命令，可以更好的理解公钥的保存过程：

c、登录验证

如果仍然无法无口令登录，请检查sshd配置文件/etc/ssh/sshd_config，并将以下几行前面的注释符号取消。