当前位置: 首页 > news >正文

04 远程访问及控制

1、SSH远程管理

SSH是一种安全通道协议,主要用来实现字符界面的远程登录、远程复制等功能。

SSH协议对通信双方的数据传输进行了加密处理(包括用户登陆时输入得用户口令)。

终端:接收用户的指令

TTY终端不能远程,它是操作系统自带的终端

虚拟终端:借助了ssh协议

ssh的端口号22,加密

telnet端口号23,不加密

解释器:shell

注:与早期的Telnet(远程登录)、RSH(远程执行命令)、RCP(远程文件复制)等应用相比,SSH协议提供了更好地安全性。

OpenSSH是实现SSH协议的开源软件项目,适用于各种UNIX、Linux操作系统。

1.1 配置OpenSSH服务端

在Centos系统中,OpenSSH服务器由openssh、openssh-server等软件包提供。

注:执行systemctl start sshd命令可启动sshd服务,包括root用户在内的大部分用户(只要拥有合法的登录Shell)都可以远程登录系统。

sshd服务的默认配置文件是/etc/ssh/sshd_config,在这个配置文件里正确调整相关的配置项,可以进一步提高sshd远程登录的安全性。

(1)服务监听选项

在sshd服务中,使用的默认端口号为22,在必要时建议可修改端口号,并指定监听服务的具体IP地址,以提高在网络中的隐蔽性。

注:SSH协议的版本选用V2比V1的安全性要更好一些,禁用DNS反向解析可以提高服务器的响应速度。

(2)用户登录控制

sshd服务默认允许root用户登录,但这在Internet中使用时是非常不安全的。

注:普遍的做法是先以普通用户远程登录,进入安全Shell环境之后,再根据实际需要使用su命令切换为root用户。

关于对sshd服务的用户登录控制,通常应禁止root用户或密码为空的用户登录。另外,还可以限制登陆验证的时间及最大重试次数(若超过限制次数后仍未能登录,则断开连接)。

如果希望只允许或禁止某些用户登陆时,可以使用AllowUser或DenyUsers配置(两者的用法类似,但注意不要同时使用)。

例如,若只允许jerry、tsengyia和admin用户登录,且其中的admin用户能够从IP地址为61.23.24.25的主机远程登录,那就可以在/etc/ssh/sshd_config配置文件中添加如下图中的配置:

(3)登录验证方式

对于服务器的远程管理,除了用户账号的安全控制外,登陆验证的方式也非常重要。

sshd服务支持两种验证方式——密码验证、密钥对验证。

注:可以设置只使用其中的一种方式,也可以两种方式都启用。

  • 密码验证:对服务器中本地系统用户的登录名称、密码进行验证。

从客户端角度来看,正在连接的服务器有可能被假冒;

从服务器角度来看,当遭遇密码穷举(暴力破解)攻击时防御能力比较弱。

  • 密钥对验证:要求提供相匹配的密钥信息才能通过验证。

通常先在客户端中创建一对密钥文件(公钥、私钥),然后将公钥文件放到服务器中的指定位置。

远程登陆时,系统将使用公钥、私钥进行加密/解密关联验证,这大大增强了远程管理的安全性。

密钥对验证的这种方式不易被假冒,且可以免交互登录,在Shell中被广泛使用。

当密码验证、密钥对验证都启用时,服务器将优先使用密钥对验证。

补充:对于安全性要求比较高的服务器,建议将密码验证方式禁用,只允许启用密钥对验证方式;若没有特殊要求,则两种方式都可启用,如下图:

上图中的公钥库文件用来保存多个客户端上传的公钥文本,以便与客户端本地的私钥文件进行匹配。

1.2 使用SSH客户端程序

OpenSSH客户端由openssh-clients软件包提供(默认已安装)。

任何支持SSH协议的客户端程序都可以与OpenSSH服务器进行通信,如Windows中的Xshell、SecureCRT、Putty等图形工具。

(1)ssh——远程登录

通过ssh命令可以远程登录sshd服务,这为用户提供了一个安全的Shell环境,以便对服务器进行管理和维护。

注:使用ssh命令时,应该指定登录用户、目标主机地址作为参数。

例如,若要登录主机172.16.16.22,以对方服务器的tsengyia用户进行验证,可执行如下图中的命令:

补充:

  • 当用户第一次登录SSH服务器时,必须接受服务器发来的ECDSA密钥(根据提示输入yes)

后才能继续验证。接收到的密钥信息将保存到~/.ssh/known_hosts文件中。

密码验证成功之后,即可登录目标服务器的命令行环境中了,这就好像把客户端的显示器、键盘连接到服务器一样。

如果sshd服务器使用了非默认的端口号(如2345),则在登录时必须通过-p选项来指定端口号。

例如,执行以下操作将访问主机172.16.16.22的2345端口,并以对方服务器的jerry用户验证登录:

(2)scp——远程复制

通过scp命令可以利用SSH安全连接与远程主机相互复制文件。

注:使用scp命令时,除了必须指定复制源、目标之外,还应指定目标主机地址、登录用户。

例如,执行下图中的命令可将远程主机中的/etc/passwd文件复制到本机:

执行下图中的命令,可以将本机的/etc/vsftpd目录复制到远程主机:

(3)sftp——安全FTP

通过sftp命令,可以利用SSH安全连接与远程主机上传、下载文件。采用了与FTP类似的登录过程合交互式环境,便于目录资源管理。

如下图,分别演示了sftp登录、浏览、文件上传等过程:

2、图形工具XShell

图形工具XShell是Windows下一款功能非常强大的安全终端模拟软件,它支持Telnet、SSH、SFTP等协议,可以方便的对Linux主机进行远程管理。

安装并运行Xshell之后,在新建会话窗口中指定远程主机的IP地址、端口号等相关信息,然后点击连接按钮,根据提示接受密钥、验证密码后既可成功登录目标主机。如下图所示:

2.1 构建密钥对验证的SSH体系

密钥对的验证方式可以为远程登录提供更好的安全性,在Centos7服务器、客户端中构建密钥对验证SSH体系的基本过程如下图所示:

以RSA加密算法为例,整个过程包括4步。

首先在SSH客户端以用户zhangsan的身份创建密钥对,并且要将创建的公钥文件上传至SSH服务器端;

然后将公钥信息导入服务器端的目标用户lisi的公钥数据库,

最后以服务器端用户lisi的身份登录验证。

2.1.1 在客户端创建密钥对

例如,以zhangsan用户登录客户端,并生成基于ECDSA算法的SSH密钥对(公钥、私钥)文件,如下图所示:

补充:ssh-keygen命令的-t选项用于指定算法的类型。

上图操作过程中,提示指定私钥文件的存放位置时,一般直接按Enter键即可,最后生成的私钥、公钥文件默认存放在宿主目录中的隐藏文件夹.ssh下。

私钥短语——是用来对私钥文件进行保护的(当使用该私钥验证登录时必须正确提供此处所设置的短语)

尽管不设置私钥短语也是可行的(实现无口令登录),但在生产环境中不建议这样做。

上图中,新生成的密钥对文件中,id_ecdsa是私钥文件,权限默认为600(对于私钥文件必须妥善保管,不能泄露给他人)

id_ecdsa.pub是公钥文件,用来提供给SSH服务器。

2.1.2 将公钥文件上传至服务器

将上一步生成的公钥文件上传至服务器,并部署到服务器端用户的公钥数据库中。上传公钥文件时,可以选择SCP、FTP、Samba、HTTP甚至发送E-mail等任何方式。

例如,可以通过SCP的方式将文件上传至服务器的/tmp目录下:

2.1.3 在服务器中导入公钥文本

在服务器中,目标用户(指用来远程登录的账号lisi)的公钥数据库位于~/。ssh目录,默认的文件名是authorize_keys(如果目录不存在,需要手动创建)

当获得客户端发送过来的公钥文件以后,可以通过重定向将公钥文本内容追加到目标用户的公钥数据库:

上图中,在公钥库authorized_keys文件中,最关键的内容是ecdsa-sha2-nistp256加密字串部分。当导入非ssh-keygen工具创建的公钥文本时,应确保此部分信息完整,最后的zhangsan@localhost是注释信息。

注:sshd服务默认采用严格的权限检测模式,因此还需要注意公钥库文件authorized_keys的权限——要求除了登陆的目标拥护火root用户,同组或其他拥护对该文件不能有写入的权限,否则可能无法成功使用密钥对验证。

2.1.4 在客户端使用密钥对验证

当私钥文件(客户端)、公钥文件(服务器)均部署到位以后,就可以进行测试了。

首先确认客户端中的当前的用户为zhangsan,然后通过ssh命令以服务器端用户lisi的身份进行远程登录。

如果密钥对验证方式配置成功,则在客户端将会要求输入私钥短语,以便调用撕咬文件进行匹配(若未设置私钥短语,则直接登入目标服务器)

经过上述4个步骤,SSH密钥对验证体系已经构建完成。

3.TCP Wrapper访问控制

TCP Wrappers是一种防护机制,以作为应用服务与网络之间的一道特殊防线,提供额外的安全保障。

3.1 TCP Wrappers的访问策略

TCP Wrappers机制的保护对象为各种网络服务程序,针对访问服务的客户端地址进行访问控制。

TCP Wrappers对应的两个策略文件为/etc/hosts.allow和/etc/hosts.deny,分别用来设置允许和拒绝的策略。

3.1.1 策略的配置格式

两个策略文件的作用相反,但配置记录的格式相同,如下图所示:

注:服务程序列表、客户端地址列表之间以冒号分隔,在每个列表内的多个项之间以逗号分隔。

(1)服务程序列表

服务程序列表可以分为以下几类:

  • ALL:代表所有的服务
  • 单个服务程序:如vsftpd
  • 多个服务程序组成的列表:如vsftpd,sshd
(2)客户端地址列表

客户端地址列表可以分为:

  • ALL:代表任何客户端地址
  • LOCAL:代表本机地址
  • 单个IP地址:如192.168.4.4
  • 网络段地址:如192.168.4.0/255.255.255.0
  • 以.开始的域名:如.bdqn.com匹配bdqn.com域中的所有主机
  • 以.结束的网络地址:如192.168.4.匹配整个192.168.4.0/24的网段
  • 嵌入通配符*?:前者表示任意长度字符,后者仅表示一个字符。
  • 如10.0.8.2匹配以10.0.8.2开头的所有IP地址(不可与.开始或结束的模式混用)
  • 多个客户端组成的列表:如192.168.1.

3.2 访问控制的基本原则

关于TCP Wrappers机制的访问策略,应用时遵循以下顺序和原则:

首先检查/etc/hosts.allow文件,如果找到相匹配的策略,则允许访问;

否则继续检查/etc/hosts.deny文件,如果找到相匹配的策略,则拒绝访问;如果检查上述两个文件都找不到相匹配的策略,则允许访问。

例如,若只希望从IP地址为61.63.65.67的主机或者位于192.168.2.0/24网段的主机访问sshd服务,其他地址被拒绝,可执行下图中的操作:

相关文章:

04 远程访问及控制

1、SSH远程管理 SSH是一种安全通道协议,主要用来实现字符界面的远程登录、远程复制等功能。 SSH协议对通信双方的数据传输进行了加密处理(包括用户登陆时输入得用户口令)。 终端:接收用户的指令 TTY终端不能远程,它…...

[晕事]今天做了件晕事38 shell里的source 点号

今天碰到一个问题脚本里使用点号引入某个文件形式如下: . /tmp/abc但是脚本运行出现错误,一开始还以为是/tmp没有可执行权限(https://mzhan017.blog.csdn.net/article/details/112178736#t16),导致abc运行不了。 后来…...

java如何分割字符串

java要实现对字符串的分割,需要用到split语句 语法格式是 str.split(分隔符) 其中 str是字符串 示例代码如下 public class Stringsplit {public static void main(String[] args) {String a"蒸羊羔,蒸熊掌,蒸鹿尾,烧花…...

胡说八道(24.6.12)——数字电子技术以及Modelsim

上回书说到数电中的最常用的表达式——逻辑表达式(由布尔代数组成)以及常用的两种图表——真值表(真值表表示的是所有的输入可能的线性组合以及输出)和卡诺图(卡诺图则是一种化简工具,排除冗余项,合并可合并项)。 今天,先来看看昨天说的基本逻…...

【Android面试八股文】AsyncTask中的任务是串行的还是并行的

文章目录 串行执行并行执行示例代码串行执行(默认)并行执行总结AsyncTask 的任务执行方式可以是串行的,也可以是并行的,这取决于使用的执行器 ( Executor)。 串行执行 默认情况下,AsyncTask 使用的是 SERIAL_EXECUTOR,即任务按顺序一个接一个地执行。这意味着下一个任务…...

无人机RTMP推流EasyDSS直播平台推流成功,不显示直播按钮是什么原因?

互联网视频云平台/视频点播直播/视频推拉流EasyDSS支持HTTP、HLS、RTMP等播出协议,并且兼容多终端,如Windows、Android、iOS、Mac等。为了便于用户集成与二次开发,我们也提供了API接口供用户调用和集成。在无人机场景上,可以通过E…...

经验分享,xps格式转成pdf格式

XPS 是一种电子文档格式、后台打印文件格式和页面描述语言。有时候微软默认打印机保存的是xps格式,我们如何转换为pdf格式呢,这里分享一个免费好用的网站,可以实现。 网站:https://xpstopdf.com/zh/ 截图:...

基于51单片机的音乐彩灯设计

基于51单片机的音乐彩灯设计 (程序+原理图+设计报告) 功能介绍 具体功能: 由STC单片机ADC0809模块LM386功放模块喇叭音频接口发光二极管电源构成 1.通过音频线输入可以播放电脑、手机、MP3里面的音乐。 2.AD对音频…...

API接口设计的艺术:如何提升用户体验和系统性能

在数字时代,API接口的设计对于用户体验和系统性能有着至关重要的影响。良好的设计可以显著提升应用程序的响应速度、可靠性和易用性。以下是几个关键点,帮助改善API接口的设计: 1. 理解并定义清晰的要求 用户研究:与最终用户进行…...

韩兴国/姜勇团队在《Trends in Plant Science》发表植物根系氮素再分配的观点文章!

氮素是陆地生态系统中的关键限制性营养元素,通过生物固氮和土壤氮供应通常远低高等植物的氮需求。当土壤氮素供应无法充分满足植物茎叶生长需求时,植物会通过自身营养器官(如根或根茎)再分配来实现氮的内部循环和再利用。尽管植物…...

52.Python-web框架-Django - 多语言编译-fuzzy错误

目录 1.起因 2.原因 3.解决方法 3.1手动移除fuzzy标记 3.2重新生成po文件,并检查是否还存在fuzzy标记 3.3重新编译生成mo文件 1.起因 在Django的国际化和本地化过程中,当你发现某些字段仅显示msgid,而不显示msgstr时,可能是…...

Linux自旋锁

面对没有获取锁的现场,通常有两种处理方式。 互斥锁:堵塞自己,等待重新调度请求自旋锁:循环等待该锁是否已经释放 本文主要讲述自旋锁 自旋锁其实是一种很乐观的锁,他认为只要再等一下下锁便能释放,避免…...

服务器----阿里云服务器重启或关机,远程连接进不去,个人博客无法打开

问题描述 在使用阿里云免费的新加坡服务器时,发现重启或者是关机在开服务器后,就会出现远程连接不上、个人博客访问不了等问题 解决方法 进入救援模式连接主机,用户名是root,密码是自己设置的 点击访问博客查看更多内容...

go 定时任务

在 Go 语言中&#xff0c;可以使用内置的 time 包来实现定时任务。以下是一个简单的示例&#xff1a; go package main import ( "fmt" "time" ) func main() { timer : time.NewTimer(2 * time.Second) <-timer.C fmt.Println(…...

Java Character 类

Java Character 类 Character 类用于对单个字符进行操作。 Character 类在对象中包装一个基本类型 char 的值 char ch a;// Unicode 字符表示形式char uniChar \u039A; // 字符数组char[] charArray { a, b, c, d, e };然而&#xff0c;在实际开发过程中&#xff0c;我们经…...

MQTT协议应用场景

MQTT协议的应用场景非常丰富&#xff0c;特别是在物联网领域。以下是对MQTT协议应用场景的清晰归纳&#xff1a; 1.物联网设备控制和监控&#xff1a;MQTT被广泛应用于物联网设备之间的通信&#xff0c;如智能家居、智能城市和工业自动化等领域。设备可以发布自身状态到特定主题…...

3.4.马氏链-随机游走的常返性

随机游走的常返态 1. 随机游走常返性定义1.1. 随机游走常返值和可能集1.2. 随机游走常返性2. 简单随机游走: 维数与常返性的关系2.1. 简单随机游走2.2. 二维及以下简单随机游走常返, 三维及以上简单随机游走非常返3. 随机游走 ( d ≤ 2 ) (d\leq 2) (d≤2): 常返的充分条件4. 随…...

HOT100与剑指Offer

文章目录 前言一、41. 缺失的第一个正数&#xff08;HOT100&#xff09;二、6. 从尾到头打印链表&#xff08;剑指Offer&#xff09;总结 前言 一个本硕双非的小菜鸡&#xff0c;备战24年秋招&#xff0c;计划刷完hot100和剑指Offer的刷题计划&#xff0c;加油&#xff01; 根…...

【AI开发】CRAG、Self-RAG、Adaptive-RAG

先放一张基础RAG的流程图 https://blog.langchain.dev/agentic-rag-with-langgraph/ 再放一个CRAG和self-RAG的LangChain官方博客 Corrective RAG(CRAG) 首先需要知道的是CRAG的特色发生在retrieval阶段的最后开始&#xff0c;即当我们获得到了近似的document&#xff08;或者…...

FFmpeg中内存分配和释放相关的源码:av_malloc函数、av_mallocz函数、av_free函数和av_freep函数分析

一、av_malloc函数分析 &#xff08;一&#xff09;av_malloc函数的声明 av_malloc函数的声明放在在FFmpeg源码&#xff08;本文演示用的FFmpeg源码版本为5.0.3&#xff0c;该ffmpeg在CentOS 7.5上通过10.2.1版本的gcc编译&#xff09;的头文件libavutil/mem.h中&#xff1a;…...

七天进阶elasticsearch[Four]

依赖: <dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-data-elasticsearch</artifactId>...

数据库-数据定义和操纵-DDL语言的使用

创建一个数据库&#xff1a; create database 数据库名; 选择数据库&#xff1a; use 数据库名; 创建表 create table 表名( ); 添加字段&#xff1b; ALTER TABLE 表名 ADD 新字段名 数据类型 [约束条件] [FIRST|AFTER 已存在字段名] ; 删除字段&#xff1a; ALTER TABLE 表…...

黄金价格与美元的关系变了?

在一些传统的定价框架中&#xff0c;现货黄金的价格走势取&#xff0c;决于美元的实际利率水平——实际利率越高&#xff0c;黄金价格越低&#xff0c;反之亦然。在大多数的时候&#xff0c;美元的实际利率决定了美元指数的高低所以人们通常认为&#xff0c;现货金价与美元呈反…...

VB.net与C# 调用InitializeComponent的区别

VB.NET与C# 调用InitializeComponent的区别 在VB.NET和C#中&#xff0c;InitializeComponent 方法的调用方式有所不同。 C#: 在C#中&#xff0c;InitializeComponent 方法通常是在构造函数中显式调用的。它用于初始化窗体和控件的属性。代码示例如下&#xff1a; public pa…...

【数据结构与算法 刷题系列】求带环链表的入环节点(图文详解)

&#x1f493; 博客主页&#xff1a;倔强的石头的CSDN主页 &#x1f4dd;Gitee主页&#xff1a;倔强的石头的gitee主页 ⏩ 文章专栏&#xff1a;《数据结构与算法 经典例题》C语言 期待您的关注 ​ 目录 一、问题描述 二、解题思路 方法一&#xff1a;数学公式推导法 方法…...

独立游戏之路:Tap篇 -- Unity 集成 TapTap 广告详细步骤

Unity 集成 TapADN 广告详细步骤 前言一、TapTap 广告介绍二、集成 TapTap 广告的步骤2.1 进入广告后台2.2 创建广告计划2.3 选择广告类型三、代码集成3.1 下载SDK3.2 工程配置3.3 源码分享四、常见问题4.1 有展现量没有预估收益 /eCPM 波动大?4.2 新建正式媒体找不到预约游戏…...

设计灵感源泉!7个令人赞叹的网页界面设计展示

网页的界面设计主要是指视觉设计和风格设计。高质量的界面更容易吸引用户的注意力&#xff0c;从而更准确地向用户传达信息。对于设计师来说&#xff0c;他们需要从高质量的作品中获得稳定的灵感&#xff0c;以帮助他们更高效地实现设计目标。在本文中&#xff0c;梳理了7个高质…...

vivado PIN

描述 引脚是基元或层次单元上的逻辑连接点。引脚允许 要抽象掉单元格的内容&#xff0c;并简化逻辑以便于使用。引脚可以 是标量的&#xff0c;包含单个连接&#xff0c;或者可以定义为对多个进行分组的总线引脚 信号在一起。 相关对象 引脚连接到一个单元&#xff0c;并且可以…...

docker部署mysql+nginx+redis

部署mysql 1、拉去镜像 docker search mysql docker pull mysql:5.7 2、运行镜像 docker run -p 3306:3306 --name mysql \ -v /home/mysql/log:/var/log/mysql \ -v /home/mysql/data:/var/lib/mysql \ -v /home/mysql/conf:/etc/mysql/conf.d \ -v /home/mysql/mysql-files…...

python文件操作、文件操作、读写文件、写模式

with读取文件数据内容 with open(filepath,mode,encoding) as file:#具体操作,例如&#xff1a;print(file.read())#查看文件所有的内容。 with&#xff1a;Python中的一个上下文管理器&#xff0c;用于简化资源的管理和释放。它可以用于任意需要进行资源分配和释放的情境…...

腾云建站靠谱吗/武汉网站建设推广公司

亦正亦邪&#xff01;...

不用vip的免费追剧软件/防城港网站seo

每次使用etcdctl&#xff0c;都要长长的一大串&#xff0c;太麻烦了&#xff0c;直接把变量写入文件中&#xff0c;就方便很多了 vi ~/.bashrc 行尾添加 export ETCDCTL_ENDPOINTShttps://127.0.0.1:2379export ETCDCTL_CACERT/etc/kubernetes/pki/etcd/ca.crtexport ETCDCTL_C…...

石河子做网站的公司/免费职业技能培训网站

网络验证主要分为两种架构 C/S B/S [AppleScript] 纯文本查看 复制代码?010203C/S又称Client/Server或客户/服务器模式。服务器通常采用高性能的PC、工作站或小型机&#xff0c;并采用大型数据库系统&#xff0c;如Oracle、Sybase、Informix或 SQL Server。客户端需要安装专用…...

下载教学设计的网站/百度校招

如何优化动画 GIF 的大小 GIF 动画文件的大小是很容易变大的。检查你的 GIF 是否经过了优化是一个好的习惯&#xff0c;这样你的访问(读)者就不会一直等着看你的动画。它也将解救服务器带宽不被淹没&#x1f642; 这里有一些提示来优化你的 GIF 动画&#xff0c;这里是你在上…...

wordpress dream chaser/企业培训公司有哪些

在实际开发过程中&#xff0c;服务与服务之间通信经常会使用到消息中间件&#xff0c;而以往使用了哪个中间件比如RabbitMQ&#xff0c;那么该中间件和系统的耦合性就会非常高&#xff0c;如果我们要替换为Kafka那么变动会比较大&#xff0c;这时我们可以使用SpringCloudStream…...

网站不能访问的原因/seo专业培训课程

if(file_exists($log)){//判断$log是否存在&#xff0c;如果不存在则创建$logtouch($log);//touch是快速创建一个文件return $log; } 转载于:https://www.cnblogs.com/forphp/p/3504438.html...