前言
读者可能不能一下弄懂原理，可以跟着实践步骤做一遍，然后再看一下实践原理图。
另外读者可能需要有一台可访问的服务器，供自己实践。
背景
作为IT从业人员，我们要防范一切黑客可以攻击服务器的潜在危险点，这不仅是为自己也是为别人负责。
使用密码连接远程Linux服务器(不在本文讨论范围)，使黑客有一定几率撞对密码而达到登陆服务器的目的，更糟糕的情况是被黑的user可能还有sudo权限。
解决这个问题的办法就是使用SSH连接远程Linux服务器，并且禁止使用密码连接服务器。
SSH介绍
SSH全称Secure Shell，也称Socket Socket Shell，是一种网络协议，他给管理员提供一种安全的方式访问远程计算机，是一种公钥加密方式。在ssh protocol version 2中提供5种类型密钥，分别是：
- RSA
- RSA1
- DSA
- ECDSA
- ED25519
我们使用的
ssh-keygen
命令默认生成为RSA密钥对。
因本文偏实践，读者可以看完本文再了解SSH具体介绍。
实践原理：
读者一定很好奇SSH认证的流程，这里给出一张粗陋的图简单解释一下：
如果我们事先在服务器中存储了USER1的公钥(后面会讲解如何做)，则USER1发起SSH连接服务器的流程如下：
- 1.USER1发起SSH请求
- 2.服务器生成随机数R1发给USER1，USER1用私钥加密生成R2。
- 3.USER1把R2回发给服务器，服务器用公钥解密并对比R1，相同则成功连接。
其实很简单，但是如果还不懂，没有关系，可以先做一遍，再会过头来看，让我们开始吧。
实践步骤1：生成密钥对
读者可能有两个疑惑：
第一，生成的密钥对应当放在何处？
因为密钥一定要牢牢把握在自己手中，不能让别人知道。所以我们一定要在自己的物理机上生成密钥对，千万不能在远程计算机上生成，否则就不符合密钥的定义了。
第二，如何生成密钥对？
-
在本机终端运行
ssh-keygen命令, 即可生成一对默认的RSA密钥。管理员可以通过ssh-keygen -t命令自定义上述的5种密钥类型，具体可以通过man ssh-keygen查看。这里我们用默认的RSA密钥即可。 -
然后自己输入保存的路径，推荐保存到home目录的.ssh文件夹下。
-
输入管理密码(不建议为空，并且需记住)。注意，这里的密码是防止别人用你的电脑SSH无密码登陆远程服务器，可以理解成开机密码，可防止别人乱动你的电脑。
前三步操作完结果如下：
存储路径如下：
实践步骤2：把公钥内容复制到服务器的认证列表中
这里读者可能又有三个问题。
第一，什么是服务器认证列表？
服务器认证列表是一个文件，可以理解为<存储用户SSH公钥的地方>，因为SSH是一个验证过程，所以服务器需要事先保存对方的公钥，这样管理员就可以指定哪些用户(准确说是密钥对)可以登录了。
第二，认证列表的路径是什么？
在服务器的配置文件/etc/ssh/sshd_config中记录的着认证列表的目录。
首先, 我们可以先进入服务器(若没有设置SSH登陆只能用密码登陆)，然后进入此路径查看，如下：
即~/.ssh/authorized_keys(注意，此文件不一定存在)
第三，如何把公钥复制进认证列表？
首先，认证列表文件不一定存在，所以我们要先在远程服务器上执行创建命令, 并设置权限：
mkdir .ssh //创建文件夹
touch .ssh/authorized_keys // 创建文件
chmod 700 .ssh //设置权限
chmod 644 .ssh/auauthorized_keys //设置权限
然后用nano编辑器打开:
nano ~/.ssh/authorized_keys
如果没设置过SSH的公钥，里面内容是为空的。如果设置过SSH公钥，则空行添加公钥。
最后把实践步骤1中生成的公钥内容复制粘贴到里面。可以采用文本打开复制，也可以用nano编辑器复制。这里演示方式为nano打开复制：
nano ~/.ssh/MyLinux.pub
运行后复制粘贴到远程服务器的认证列表中退出保存即可：
这样我们就可以用SSH登陆了。
实践步骤3：SSH远程连接Linux服务器
一切设置都已完成，我们如何连接到远程服务器呢？
命令格式如下：
ssh student@127.0.0.1 -p 2222 -i ~/.ssh/MyLinux
- 1表示ssh连接
- 2表示连接服务器的用户名
- 3表示远程主机的host IP(这里是本机)
- 4表示远程主机端口(默认22，vagrant采用2222, 本文不讨论)
- 5表示用户私钥
然后输入该密钥对的管理密码即可连接服务器, 如下：
实践步骤4：设置只许SSH登录不可密码登陆
最终我们的目的是消除密码登陆这一留给黑客的安全隐患，而只采用用SSH登陆，故我们在服务器配置文件/etc/ssh/sshd_config里小小的设置一下即可。
nano /etc/ssh/sshd_config
把其中的PasswordAuthentication中的yes改成no就不可再用密码登陆了。
网友评论