linux 安全应用 1

Linux安全应用 （用户 文件 sshd sudo）
selinux
数据加密 数据解密 https
++++++++++++++++++++++++++++++++++
什么是安全？
保护谁的安全？ 服务器的安全
怎么保护？
物理安全（规则制度）
本地安全 （用户 文件） 用户从本地登录 或ssh登录后可以执行的操作（登录用户有什么使用权限和管理权限对文件的访问权限服务的配置系统文件）
网络安全 （防火墙软件/硬件）） iptables tcp/udp 端口号
数据安全（数据加密） 数据在网路中传输不安全，需要加密
数据在网络中传输时，会受到那些攻击？
堵车 篡改（数据完整性校验） 截获（加密） 冒名顶替（数字签名）
++++++++++++++++++++++++++++++++
一、服务本地安全（系统加固） /etc/login.defs （如用户uid起始等等不加选项 默认时遵循配置文件）
1.1 用户账号安全 阻止普通用户关机
1.2 设置账号有效期
useradd zengye
passwd zengye
chage -E 2015-12-31 zengye
设置过期时间

chage -l zengye 查看用户密码相关信息
chage -d 0 zengye

useradd tom
echo 123 | passwd --stdin tom 初始密码
chage -d 0 tom 强制用户首次登录系统，修改密码

1.3 锁定账号
usermod -L/U tom
passwd -l/u tom
passwd -S tom
passwd -d tom

/etc/passwd /etc/shadow
添加系统用户使用的配置文件 /etc/login.defs
相关的文件 /etc/skel/
/etc/group

useradd -s -m -g -u -G 用户
useradd -s /sbin/nologin 服务的访问帐号，进程的执行者

usermod -u -g -G -s -U -L
groupadd tea
usermod -G tea zhang 将这个用户加到组里有这个组权限

userdel -r 用户名（工作不能这样删该用户的所有文件都在家下 要先备份出来 再删）

vim ~/.bash_logout （用户退出时，执行该文件中命令操作）
rm -fr /home/zhang/*

用户级配置文件（只对自己有效，如果系统的也写。这个也写，遵循这个）
~/.bashrc （这两个都写 这个生效）
~/.bash_profile
系统级配置文件（对所有用户有效）
/etc/profile
/etc/bashrc
全局变量 或命名别名

定义一个变量可以给他做成全局
[root@svr6 ~]# echo $PATH
/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin
[root@svr6 ~]# mkdir /shell
[root@svr6 ~]# PATH=$PATH:/shell
[root@svr6 ~]# echo $PATH
/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin:/shell]:/shell
[root@svr6 ~]# vim ~/.bash_profile
PATH=$PATH:/shell
[root@svr6 ~]# echo $PATH （永久 再开一个终端也有）
/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/shell:/root/bin:/shell

# awk -F ":" '{print $1,$7,$6}' /etc/passwd 查看用户的名字 登录的shell 家目录

# awk -F ":" '$7=="/sbin/nologin" {print $1,$7,$6}' /etc/passwd 查看不能登录系统的用户 名字家目录，shell

# awk -F ":" '$7=="/sbin/nologin" {print $1,$4}' /etc/passwd

# awk -F ":" ' {print $1,$4}' /etc/group 查看组的用户名和成员
# awk -F ":" '$1="zhang" {print $1,$4}' /etc/group 查看zhang这个组的用户

别名：1. vim /etc/bashrc alias my='ls' (针对全体用户都生效 再开一个终端测试）
2. alias yy=hostname (临时生效，只应用当前用户，关闭端口或切换别的用户失效）
3.vim /root/.bashrc alias m=ls （永久有效，但不能切换到别的用户中使用）

设置history历史记录个数
配置文件 /etc/profile /etc/bashrc
HISTSIZE=1000 改成HISTSIZE=10
#source /etc/profile 或 重启就行 （bash /etc/profile 不行） 历史记录命令就只有保存10个

history -c 清空历史命令
#history
#!h 执行最近一次h开头命令

设置历史命令执行的时间 /etc/bashrc /etc/profile
最后一行添加： export HISTTIMEFORMAT="%F %H:%M "
再开一个终端测试 #history

vim /etc/services (所有服务端口号，配置文件）

伪装登录提示（level 3）
修改文件内容，隐藏操作系统的版本和内核版。
/etc/issue (用户本地登录的提示信息)
/etc/issue.net (用户网络登录的提示信息)
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
2 文件系统安全
ext2 ext3 ext4
mount /dev/sdb2 /disk2 (默认挂载)
mount -t ext4 -o 选项，选项 /dev/sdb2 /disk2

man mount
开机挂载设备 /etc/fstab
/etc/rc.local
defaults 默认挂载选项包括那些？
rw, suid, dev, exec, auto, nouser, async, and relatime

noexec 禁止运行二进制文件
nosuid 禁用SUID、SGID特殊权限

mount -t ext4 -o noexec，nosuid /dev/sdb2 /disk2

3 保护文件 (系统配置 服务的配置)
EXT3/EXT4的文件属性控制
文件的特殊属性
i 不可变（immutable）(不能被mv rm 写 )只能读
a 仅可追加（append only） 仅追加 不能vim进去加

chattr +i /etc/passwd (
chattr -i /etc/passwd

chattr +i /etc/resolv.conf(不能被mv rm 写,但是可以拷贝，拷贝走了就没有i属性）
lsattr /etc/resolv.conf (查看该文件属性)

[root@room1pc01 ~]# lsattr /etc/rc.d/rc.local
----i--------e- /etc/rc.d/rc.local
[root@room1pc01 ~]# tail -1 /etc/rc.d/rc.local
echo Taren1 | passwd --stdin root

chattr +a /etc/passwd(只能对这个文件追加 创用户会报错）
chattr -a /etc/passwd (取消a属性)

[root@room9pc00 mysql]# chattr -i /etc/passwd
[root@room9pc00 mysql]# lsattr /etc/passwd

网卡 网关 dns 主机名 /etc/hosts 服务主配置文件 一般只对他们设置这种特殊属性让他们只能看
————————————————————————————————————————————————————————————

++++++++++++++++++++++++++++++++++++

禁用非必要的系统服务

chkconfig --add --del --list --level

[root@room1pc01 ~]# ntsysv 可以查看所有服务是否开机自启 （*开机自启）

#chmod -x /etc/init.d/* (禁止普通用户使用服务脚本启动暂停）

文件系统安全

10G /dev/sdb
分区 格式化 挂载
fdisk mkfs mount -o 选项，选项
ext4

手动挂载：
开机自动挂： /etc/fstab /etc/rc.local
触发挂载： /etc/auto.master
/etc/init.d/autofs restart

defaults 包含哪些参数

man

mount -o nosuid,noexec /dev/sdb1 /disk1 (挂载一般接这样的参数）

文件权限种利：
普通： rwx 421
特殊： suid sgid 粘赤位
S S T
s s t x

suid让用户执行文件时候，身份切换成文件的所有者

普通用户创建用户 需要/usr/sbin/useradd 给s权限才能创建
[root@room1pc01 ~]# which useradd
/usr/sbin/useradd
[root@room1pc01 ~]# useradd tom
[root@room1pc01 ~]# echo 1 |passwd --stdin tom
更改用户 tom 的密码 。
passwd： 所有的身份验证令牌已经成功更新。
[root@room1pc01 ~]# su tom
[tom@room1pc01 root]$ useradd zhang
bash: /usr/sbin/useradd: 权限不够
[tom@room1pc01 root]$ ll /usr/sbin/useradd
-rwxr-x---. 1 root root 103096 4月 7 2015 /usr/sbin/useradd
[tom@room1pc01 root]$ exit
exit
[root@room1pc01 ~]# chmod u+s /usr/sbin/useradd
[root@room1pc01 ~]# ll /usr/sbin/useradd
-rwsr-x---. 1 root root 103096 4月 7 2015 /usr/sbin/useradd
[root@room1pc01 ~]# su tom
[tom@room1pc01 root]$ useradd zhang
bash: /usr/sbin/useradd: 权限不够
[tom@room1pc01 root]$ exit
exit
[root@room1pc01 ~]# chmod +x /usr/sbin/useradd
[root@room1pc01 ~]# su tom
[tom@room1pc01 root]$ useradd zhang
[tom@room1pc01 root]$ ll /usr/sbin/useradd
-rwsr-x--x. 1 root root 103096 4月 7 2015 /usr/sbin/useradd

1.粘只位（管理员给一个目录其它用户o+t权限，别的用户不能对该目录或该目录写不属于自己用户的文件有修改，增加，删除权限，可以看）
[root@svr7 ~]# mkdir /publ
[root@svr7 ~]# chmod 777 /publ
[root@svr7 ~]# ls -dl /publ/
drwxrwxrwx. 2 root root 4096 3月 6 05:10 /publ/
[root@svr7 ~]# chmod o+t /publ/
[root@svr7 ~]# su - zhang
[zhang@svr7 ~]$ cd /publ/
[zhang@svr7 publ]$ touch 1.txtx
[zhang@svr7 publ]$ mv 1.txtx 11
[zhang@svr7 publ]$ ls
11
[zhang@svr7 publ]$ cd
[zhang@svr7 ~]$ rm -fr /publ/
rm: 无法删除"/publ": 权限不够
[zhang@svr7 ~]$ exit
logout
[root@svr7 publ]# su - tc
[tc@svr7 ~]$ cd /publ/
[tc@svr7 publ]$ ls
11
[tc@svr7 publ]$ vim 11 （不能修改，只读）
[tc@svr7 publ]$ mv 11 1
mv: 无法将"11" 移动至"1": 不允许的操作
[tc@svr7 publ]$ ls
11
[tc@svr7 publ]$ ls -ld 1.txt
-rw-rw-r--. 1 zhang zhang 0 3月 6 05:13 1.txt
[tc@svr7 publ]$ exit
logout
[root@svr7 ~]# su - zhang
[zhang@svr7 ~]$ cd /publ/
[zhang@svr7 publ]$ ls
1.txt
[zhang@svr7 publ]$ mv 1.txt 11.txt
[tc@svr7 ~]$ ls -ld /publ/
drwxrwxrwt. 2 root root 4096 3月 6 05:15 /publ/

ACL权限可以为个别普通用户或组单独使用这个文件的权限。tc妹妹（单独给某个用户使用权限）
[root@svr7 ~]# useradd zhang
[root@svr7 ~]# useradd tc
[root@svr7 ~]# mkdir /nsd
[root@svr7 ~]# chmod 750 /nsd
[root@svr7 ~]# ls -lhd /nsd
drwxr-x---. 2 root root 4.0K 3月 6 05:03 /nsd
[root@svr7 ~]# setfacl -m u:tc:rwx /nsd
[root@svr7 ~]# su - tc
[tc@svr7 ~]$ cd /nsd
[tc@svr7 ~]$ ls -lhd /nsd
drwxr-x---+ 2 root root 4.0K 3月 6 05:03 /nsd
[tc@svr7 ~]$ exit
[root@svr7 ~]# su - zhang
[zhang@svr7 ~]$ cd /nsd
-bash: cd: /nsd: 权限不够
[zhang@svr7 ~]$ ls -lhd /nsd
drwxr-x---+ 2 root root 4.0K 3月 6 05:03 /nsd

[root@room1pc01 桌面]# mkdir /tiantan

[root@room1pc01 桌面]# mkdir /tedu
[root@room1pc01 桌面]# useradd tc
[root@room1pc01 桌面]# setfacl -m u:tc:rwx /tedu
[root@room1pc01 桌面]# getfacl
Usage: getfacl [-aceEsRLPtpndvh] file ...
Try `getfacl --help' for more information.
[root@room1pc01 桌面]# getfacl /tedu
getfacl: Removing leading '/' from absolute path names
# file: tedu
# owner: root
# group: root
user::rwx
user:tc:rwx
group::r-x
mask::rwx
other::r-x

[root@room1pc01 桌面]# setfacl -x u:tc /tedu
[root@room1pc01 桌面]# getfacl /tedu
getfacl: Removing leading '/' from absolute path names
# file: tedu
# owner: root
# group: root
user::rwx
group::r-x
mask::r-x
other::r-x

[root@room1pc01 桌面]# mkdir /data/aa

[root@room1pc01 桌面]# setfacl -Rm u:tc:rwx /data/aa
[root@room1pc01 桌面]# getfacl /data/aa
getfacl: Removing leading '/' from absolute path names
# file: data/aa
# owner: root
# group: root
user::rwx
user:tc:rwx
group::r-x
mask::rwx
other::r-x

[root@room1pc01 桌面]# setfacl -dm u:tc:rwx /tiantan
[root@room1pc01 桌面]# getfacl /tiantan
getfacl: Removing leading '/' from absolute path names
# file: tiantan
# owner: root
# group: root
user::rwx
group::r-x
other::r-x
default:user::rwx
default:user:tc:rwx
default:group::r-x
default:mask::rwx
default:other::r-x

[root@room1pc01 桌面]# mkdir /tiantan/abc

[root@room1pc01 桌面]# getfacl /tiantan/abc
getfacl: Removing leading '/' from absolute path names
# file: tiantan/abc
# owner: root
# group: root
user::rwx
user:tc:rwx
group::r-x
mask::rwx
other::r-x
default:user::rwx
default:user:tc:rwx
default:group::r-x
default:mask::rwx
default:other::r-x

[root@room1pc01 桌面]# su - tc
[tc@room1pc01 ~]$ mkdir /tiantan/aa
mkdir: 无法创建目录"/tiantan/aa": 权限不够
[tc@room1pc01 ~]$ mkdir /tiantan/abc/aa
[tc@room1pc01 ~]$ su - root
密码：
[root@room1pc01 ~]# setfacl -m u:tc:rwx /tiantan
[root@room1pc01 ~]# getfacl /tiantan
getfacl: Removing leading '/' from absolute path names
# file: tiantan
# owner: root
# group: root
user::rwx
user:tc:rwx
group::r-x
mask::rwx
other::r-x
default:user::rwx
default:user:tc:rwx
default:group::r-x
default:mask::rwx
default:other::r-x

[root@room1pc01 ~]# su - tc
[tc@room1pc01 ~]$ mkdir /tiantan/tt

#lsof 查看哪些程序在打开哪些文件或目录（进程打开的文件）有时候umount卸载不掉 就查看下

系统分区规划

根
/boot
交换分区 硬盘划分出来（当内存不够用使用）

/var （可以做LV） /home （可以做LV逻辑卷）

++++++++++++++++++++++++++++++++++++
二、用户切换与提权
2.1 用户切换 su
su 用户名 su bob2
su - 用户名 su - bob2
su - 切换到管理员root用户

su [-] -c "命令" [目标用户]

[zhang@svr6 ~]$ su -c "service httpd status" root
密码：
httpd (pid 1915) 正在运行...
[zhang@svr6 ~]$

su 操作的日志文件 cat /var/log/secure

/etc/profile (系统级配置 对登录系统的所有用户生效)
~/.bash_profile (用户级配置 只对当前用户生效)
HISTSIZE=1000
HISTTIMEFORMAT='%F %T'
export HISTSIZE HISTTIMEFORMAT

++++++++++++++++++++++++++++++++
2.2 用户提权 sudo
Super or another Do，超级执行
管理员预先为用户设置执行许可
被授权用户有权执行授权的命令，验证自己的口令

普通用执行提权命令的格式
用法1：sudo 特权命令
用法2：sudo [-u 目标用户] 特权命令

提权修改的配置文件 /etc/sudoers

2.2 用户提权 sudo

白
运维数据库服务 lom
维护网站服务 lucy

晚
运维数据库服务 tom
维护网站服务 bob

httpd mysql 运行。。。。
useradd lom lucy tom bob 密码123456
—————— ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
提权实验：
++++++++++
[root@svr7 ~]# hostname
svr7.tedu.cn
[root@svr7 ~]# cat /etc/hosts
127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4
[root@svr7 ~]# which service
/sbin/service
[root@svr7 ~]# which vim
/usr/bin/vim

[root@svr7 ~]# useradd tom
[root@svr7 ~]# echo 123456 |passwd --stdin tom
[root@svr7 ~]# visudo / vim /etc/sudoers (两种方式进入提权配置文件）

98 root ALL=(ALL) ALL
99 tom localhost,svr7.tedu.cn=/sbin/service httpd * ,/usr/bin/vim /etc /httpd/conf/httpd.conf

测试：（提权）
[root@svr7 ~]# su - tom
[tom@svr7 ~]$ sudo -l （第一次输密码）
[tom@svr7 ~]$ sudo /usr/bin/vim /etc/httpd/conf/httpd.conf
[tom@svr7 ~]$ sudo /sbin/service httpd status
httpd (pid 3723) 正在运行...
_____________________________________________________________

99 tom localhost,svr7.tedu.cn=/usr/sbin/*，！/usr/sbin/useradd (除这一个命令没给权，其它tom都能做)

把用户加入一个组提权（晚班组）

groupadd wenbanmin
usermod -G wenbanmin tom
usermod -G wenbanmin lom

99 %wenbanmin localhost,svr7.tedu.cn=/sbin/service httpd *,/usr/bin/vim /etc /httpd/conf/httpd.conf

测试效果一样
——————————————————
++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+++提权后用户操作的日志文件++、

服务器记录通过普通用户执行过的提权命令操作(管理员可以查看你执行的命令）
启用日志文件/etc/sudoers
vim /etc/sudoers
Defaults logfile="/var/log/sudo"

[tom@svr7 ~]$ sudo /sbin/service httpd stop
停止 httpd：
#tailf /var/log/sudo
Mar 6 07:28:56 : tom : TTY=pts/2 ; PWD=/home/tom ; USER=root ;
COMMAND=/sbin/service httpd stop

——————————————————————————————————————————————

提权时设置别名（别名必须使用大写字母） 管理软件包 磁盘 网络 服务
*先定义后使用，但可以只定义不使用
给用户设置别名 User_Alias 别名名称=用户名列表
给主机设置别名 Host_Alias 别名名称=主机名列表
给命令设置别名 Cmnd_Alias 别名名称=命令列表

99 %wenbanmin localhost,svr7.tedu.cn=NETWORKING，SOFTWARE

Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient, /usr/bin/net, /sbin/iptables, /usr/bin/rfcomm, /usr/bin/wvdial, /sbin/iwconfig, /sbin/mii-tool

Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum

___________________________________________________________________________________________________________
编辑提权配置文件
vim /etc/sudoers
visudo 打开配置文件的专属命令

配置文件语法格式
普通用户名 主机列表=命令列表

%用户组名 主机列表=命令列表

jim localhost,ser5=/sbin/*

visudo #管理员给普通用户提权
%wheel ALL=(ALL) NOPASSWD: ALL

mike localhost,svr1=/sbin/*, !/sbin/ifconfig eth0
bob localhost,room9pc00=/etc/init.d/httpd *
%webadmingrp localhost,room9pc00=/etc/init.d/httpd *
:wq

useradd lily
echo 123 | passwd --stdin lily
usermod -G wheel lily

grep wheel /etc/group

useradd mike
echo 123 | passwd --stdin mike

groupadd webadmingrp
useradd jim
useradd tom
echo 123 | passwd --stdin tom
echo 123 | passwd --stdin jim

提权用户登录系统测试命令能否使用
su - bob
sudo -l 查看可以使用命令
sudo /etc/init.d/httpd status 执行可以使用的命令

提权时设置别名（别名必须使用大写字母）
*先定义后使用，但可以只定义不使用
给用户设置别名 User_Alias 别名名称=用户名列表
给主机设置别名 Host_Alias 别名名称=主机名列表
给命令设置别名 Cmnd_Alias 别名名称=命令列表

User_Alias ADMINS = jsmith, mikem

Host_Alias MAILSERVERS = smtp, smtp2

Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient, /usr/bin/net, /sbin/iptables, /usr/bin/rfcomm, /usr/bin/wvdial, /sbin/iwconfig, /sbin/mii-tool

Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum

ADMINS MAILSERVERS=NETWORKING

jerry localhost,ser5=NETWORKING,SOFTWARE

MYSER=mail,web,ftp,mysql,localhost

+++++++++++++++++++++++++++++++
启用日志记录用户执行了那些提权命令
visudo
...
Defaults logfile="/var/log/sudo"
:wq

sed -n '/^$/!p' /etc/sudoers | sed -n '/^#/!p'
[root@room9pc00 ~]# sed -n '/^$/!p' /etc/sudoers | sed -n '/^#/!p'（去除空白行和注释）
Defaults requiretty
Defaults !visiblepw
Defaults always_set_home
Defaults env_reset
Defaults env_keep = "COLORS DISPLAY HOSTNAME HISTSIZE INPUTRC KDEDIR LS_COLORS"
Defaults env_keep += "MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE"
Defaults env_keep += "LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES"
Defaults env_keep += "LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE"
Defaults env_keep += "LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY"
Defaults secure_path = /sbin:/bin:/usr/sbin:/usr/bin
rootALL=(ALL) ALL

[root@svr6 ~]# grep -v "^$" /etc/sudoers |grep -v "^#" （和上面效果一样）

++++++++++++++++++++++++++++++++++++
三、管理SSH服务 22端口号
/etc/init.d/sshd start ;chkconfig sshd on

1.默认所有地址接收连接请求（就是一台上的两个ip都可以）
2.默认允许使用本机所有帐号连接

/etc/ssh/sshd_config

13 Port 2222

16 ListenAddress 192.168.4.6 (当服务器多个ip时，只允许连这个ip远程管理）

43 PermitRootLogin no （不让别人连root用户）

42 #LoginGraceTime 2m
45 #MaxAuthTries 6 （输入密码时最多输入错次，都错了要等多少次，这两个连一起用）

66 PasswordAuthentication no （如果做了这一条，就不允许别人输入口令连自己了，但是之前做过密钥对的还是可以免密码连 要改成yes 就都可以 也可以口令）

黑白名单 /etc/ssh/sshd_config

黑名单 在名单列表里的用户不允许登录

DenyUsers yaya@192.168.4.7 jing
DenyGroups dbadmin webadmin

白名单 只有在命令/etc/ssh/sshd_config

AllowUsers root@172.40.50.117 jerry (只允许root用户在这个117才能连，jerry任何用户都能连）

AloowGroups mywebgrp

配置密钥对登录 （/root/.ssh/）

客户端创建：[root@svr7 ~]# rm -fr /root/.ssh/
[root@svr7 ~]# ssh-keygen
[root@svr7 ~]# ls /root/.ssh
id_rsa id_rsa.pub
[root@svr7 ~]#ssh-copy-id root@192.168.4.6

服务器：vim /etc/ssh/sshd_config(修改完配置文件，只允许用密钥对这种方式，口令密码上不了）
49 PubkeyAuthentication yes
50 AuthorizedKeysFile .ssh/authorized_keys (开启密钥连）

66 PermitEmptyPasswords no （不允许输入口令连）

现在只能使用密钥对远程 不能使用口令。
客户端(如果普通用户要远程管理，可以把私钥拷贝到普通用户家目录下并给权限）

将公钥拷贝到普通用户之后就能远程。
[root@svr7 ~]# useradd dc
[root@svr7 ~]# echo 123456 |passwd --stdin dc
[root@svr7 ~]# su - dc
[dc@svr7 ~]$ mkdir /home/dc/.ssh
[dc@svr7 ~]$ ls -ld /home/dc/.ssh
drwxrwxr-x. 2 dc dc 4096 3月 6 10:46 /home/dc/.ssh
[dc@svr7 ~]$ exit
logout
[root@svr7 ~]# cp /root/.ssh/id_rsa /home/dc/.ssh/
[root@svr7 ~]# chown dc:dc /home/dc/.ssh/id_rsa
[root@svr7 ~]# su - dc
[dc@svr7 ~]$ ssh root@192.168.4.254
Last login: Mon Mar 6 18:43:24 2017 from 192.168.4.7
[root@room1pc01 ~]#

3.1 服务运行参数
vim /etc/ssh/sshd_config

ssh -p 20002 root@172.40.50.117

3.2 登录方式
3.2.1 密码认证登录(用户名 密码)
3.2.2 密钥对认证登录
密钥对由公钥 和 私钥组成

1 88客户端在自己本机生成密钥对 ssh-keygen
[root@stu ~]# which ssh-keygen
/usr/bin/ssh-keygen
[root@stu ~]# rpm -qf /usr/bin/ssh-keygen
openssh-5.3p1-111.el6.x86_64
[root@stu ~]#
man ssh-keygen 查帮助

[root@stu ~]# ls /root/.ssh/
id_rsa id_rsa.pub known_hosts
私钥 公钥
[root@stu ~]#

2客户端把自己公钥拷贝ssh服务器上 （99）
ssh-copy-id root@172.40.50.99

[root@stu ~]# ssh-copy-id root@172.40.50.99
root@172.40.50.99's password:
Now try logging into the machine, with "ssh 'root@172.40.50.99'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

[root@stu ~]#

vim /etc/ssh/sshd_conf
PasswordAuthentication no （不输入口令）
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_key
:wq

/etc/init.d/sshd reload

ssh -X -p 端口 用户名@地址
++++++++++++++++++++++++++++++
3.2.3 连接控制（黑白名单）
vim /etc/ssh/sshd_config
单个用户
DenyUsers USER1 USER2 黑名单
AllowUsers USER1@HOST USER2 白名单

AllowUsers stu1@1.1.1.1
++++++++++++++++++++++++++++++++
用户组
DenyGroups GROUP1 GROUP2 … 黑名单
AllowGroups GROUP1 GROUP2 … 白名单
++++++++++++++++++++++++++++++++