linux查看ssh端口,sshd配置文件
SSH远程访问和控制概要1、SSH远程管理1、SSH定义2、SSH好处3、SSH配置文件4、SSH客户端和服务端2、OpenSSH服务端1、sshd_config配置文件的一般配置文件密钥对验证3、密钥对验证过程配置在此步骤中，将公钥文件传递给服务器端，以便在客户端访问服务器端时进行验证4、让服务器端(虚拟机2 )查看主目录中的. ssh文件5，然后单击在客户端设定ssh代理功能，实现对话登录4、scp远程复制5、sftp安全FTP6、TCP Wrappers访问控制
前言
大多数企业服务器都通过远程登录进行管理
如果需要从一个工作站管理数百台服务器主机，远程维护方法将更有优势
以后，您将学习如何在Linux环境中使用安全的远程管理路径，以及如何使用TCP Wrappers机制为APP应用程序提供访问控制
另一方面，SSH远程管理1、SSH定义SSH (安全shell )是安全信道协议，其主要用于实现字符接口的远程登录、远程复制等功能。
SSH协议加密通信双方的数据传输，包括用户登录时输入的用户密码。 因此，SSH协议具有很好的安全性。
2、SSH的优点数据传输经过加密，可以防止信息泄露
数据传输是压缩的，可以提高传输速度
3、SSH配置文件sshd服务的默认配置文件是/etc/ssh/sshd_config
ssh_config和sshd_config都是ssh服务器的配置文件
不同之处在于，ssh_config是客户端配置文件，而sshd_config是服务器端配置文件。
4、SSH客户端和服务端SSH客户端： Putty、Xshell、CRT
SSH服务端： OpenSSH
OpenSSH是实现SSH协议的开源软件项目，适用于各种UNIX、Linux操作系统。
默认情况下，CentOS 7系统安装了与openssh相关的软件包，并将sshd服务添加为启动时自动启动。
二、配置OpenSSH服务端模拟实验时，我们使用两台虚拟机，一台作为服务端。 (IP地址是) 192.168.28.20 )。 一台作为客户端，更改配置文件是在服务器端进行更改，所以不要混淆
1、sshd_config配置文件的常规选项设置vim /etc/ssh/sshd_configPort 22 #监听端口为22ListenAddress 0.0.0.0 #任何监听地址OpenSSH服务器具体IPLoginGraceTime 2m #登录认证时间2分钟禁止超级用户登录permitrootloginno # maxauthtries6#最大重试次数6 permitemptypasswords否。禁止空密码用户登录到UseDNS no #禁用DNS反向分析，以加快服务器响应速度。只有张San、lisi和wangwu用户可以登录。 wangwu用户只能从IP地址为192.168.28.20的主机远程登录到allowuserszhangsanlisiwangwu @ 192.168.28.20 #。 部分用户禁止#登录，用空格分隔，用法与AllowUsers相似。 （
allow users……#只有特定用户可以登录deny users……#部分用户已被禁止登录。 使用方法与allowusers类似。 请注意不要同时使用。
2.sshd服务的两种认证方式1、密码认证是认证服务器中本地系统用户的登录名、密码。 虽然很简单，但有可能被暴力解读
以前使用了密码认证
2 .密钥只有为认证请求提供匹配的密钥信息才能通过认证。 通常，在客户端创建一对密钥文件(公钥、私钥)，并将公钥文件放在服务器中的指定位置。 远程登录时，系统使用公钥、私钥进行加密/解密相关的验证。 增强了安全性，不需要交互式登录。
vim /etc/ssh/sshd_config
启用密码验证
PubkeyAuthentication yes #启用密钥对验证
authorizedkeysfile.ssh/authorized _ keys #指定公钥库文件
3、密钥对验证步骤配置： 1、在客户端创建密钥对，使用ssh-keygen工具创建当前用户的密钥对文件。 可以使用的加密算法包括RSA、ECDSA或DSA。 使用ssh-keygen命令的-t选项指定算法的类型。 useraddchenweiecho ' 123123 '|passwd-- stdinchenweisu-chenwei ssh-keygen-tecdsageneratingpublic/privateecdsakeypair
/.ssh/id_ecdsa): #指定私钥位置，直接回车使用默认位置Created directory '/home/admin/.ssh'. #生成的私钥、公钥文件默认存放在宿主目录中的隐藏目录.ssh/下Enter passphrase (empty for no passphrase): #设置私钥的密码Enter same passphrase again: #确认输入#### 2、设置好了以后就可以看到.ssh下面会有一个私钥的文件和一个公钥的文件id_ecdsa是私钥文件，权限默认为600；id_ecdsa.pub是公钥文件，用来提供给 SSH 服务器 3、这一步就要将公钥文件传给服务端，用于客户端访问服务端的时候进行验证 scp ~/.ssh/id_ecdsa.pub root@192.168.126.20:/optmkdir /home/zhangsan/.ssh/cat /opt/id_ecdsa.pub >> /home/zhangsan/.ssh/authorized_keyscat /home/zhangsan/.ssh/authorized_keys或者：#此方法可直接在服务器的/home/zhangsan/.ssh/目录中导入公钥文本cd ~/.ssh/ssh-copy-id -i id_ecdsa.pub zhangsan@192.168.126.20 4、到服务端（虚拟机2）看一下家目录中的.ssh文件 5、在客户端使用密钥对验证 6、在客户机设置ssh代理功能，实现免交互登录 ssh-agent bashssh-addEnter passphrase for /home/admin/.ssh/id_ecdsa: #输入私钥的密码ssh zhangsan@192.168.126.20 4、scp 远程复制 1、下行复制（客户端向服务端下载数据）scp root@192.168.28.20:/etc/passwd /root/passwd2.txt #将远程主机中的/etc/passwd文件复制到本机 2、上行复制（将客户端文件上传到服务端）scp -r /etc/ssh/ root@192.168.28.20:/opt #将本机的/etc/ssh 目录复制到远程主机/opt下面 5、sftp 安全 FTP
由于使用了加密/解密技术，所以传输效率比普通的FTP要低，但安全性更高。操作语法sftp与ftp几乎一样
sftp zhangsan@192.168.28.20Connecting to 192.168.28.20tsengyia@172.16.16.22's password: #输入密码sftp> lssftp> get 文件名 #下载文件到ftp目录sftp> put 文件名 #上传文件到ftp目录sftp> quit #退出
6、TCP Wrappers 访问控制
TCP Wrappers 将TCP服务程序“包裹”起来，代为监听TCP服务程序的端口，增加了一个安全检测过程，外来的连接请求必须先通过这层安全检测，获得许可后才能访问真正的服务程序。
大多数 Linux 发行版，TCP Wrappers 是默认提供的功能。rpm -q tcp_wrappers
TCP Wrapper 保护机制的两种实现方式
1.直接使用 tcpd 程序对其他服务程序进行保护，需要运行 tcpd程序。
2.由其他网络服务程序调用 libwrap.so.*链接库，不需要运行 tcpd 程序。此方式的应用更加广泛，也更有效率。
使用 ldd 命令可以查看程序的 libwrap.so.*链接库
ldd $(which ssh vsftpd)
TCP Wrappers 的访问策略
TCP Wrappers 机制的保护对象为各种网络服务程序，针对访问服务的客户端地址进行访问控制。
对应的两个策略文件为/etc/hosts.allow 和/etc/hosts.deny，分别用来设置允许和拒绝的策略。
格式:
<服务程序列表>:<客户端地址列表>
（1）服务程序列表
ALL：代表所有的服务。
单个服务程序：如“vsftpd”。
多个服务程序组成的列表：如“vsftpd,sshd”。
（2）客户端地址列表
ALL：代表任何客户端地址。
LOCAL：代表本机地址。
多个地址以逗号分隔
允许使用通配符 “?” 和 “*” ，前者代表任意长度字符，后者仅代表一个字符
网段地址，如 192.168.126. 或者 192.168.126.0/255.255.255.0
区域地址，如 “.benet.com”匹配 bdqn.com 域中的所有主机。
TCP Wrappers 机制的基本原则：
首先检查/etc/hosts.allow文件，如果找到相匹配的策略，则允许访问；
否则继续检查/etc/hosts.deny文件，如果找到相匹配的策略，则拒绝访问；
如果检查上述两个文件都找不到相匹配的策略，则允许访问。
“允许所有，拒绝个别”
只需在/etc/hosts.deny文件中添加相应的拒绝策略
“允许个别，拒绝所有”
除了在/etc/hosts.allow中添加允许策略之外，还需要在/etc/hosts.deny文件中设置“ALL:ALL”的拒绝策略。
实例：
若只希望从IP地址为12.0.0.1的主机或者位于192.168.126.0/24网段的主机访问sshd服务，其他地址被拒绝。
vi /etc/hosts.allow
sshd:12.0.0.1,192.168.126.*
vim /etc/hosts.deny
sshd:ALL
，拒绝所有”
除了在/etc/hosts.allow中添加允许策略之外，还需要在/etc/hosts.deny文件中设置“ALL:ALL”的拒绝策略。
实例：
若只希望从IP地址为12.0.0.1的主机或者位于192.168.126.0/24网段的主机访问sshd服务，其他地址被拒绝。
vim /etc/hosts.allow
sshd:12.0.0.1,192.168.126.*
vim /etc/hosts.deny
sshd:ALL