TELNET、SSH和VNC服務的配置與實現(xiàn)(共44頁).ppt

1、2022年3月3日內容提要內容提要對服務器的管理和維護是Linux管理員的一項重要工作，管理員常常通過遠程管理的方式對服務器進行操作。在Windows Server 2003平臺下，一般采用終端服務或遠程桌面的方式實現(xiàn)遠程控制。而在Linux平臺下，最常用的是采用文本界面的SSH、TELNET或圖形界面下的VNC服務實現(xiàn)遠程控制。本章將介紹這三種遠程管理服務的配置和使用。 TELNET服務的實現(xiàn)（傳統(tǒng)） SSH服務的實現(xiàn)（安全連接） VNC服務的實現(xiàn)（圖形界面）1. 1. 架設架設TelnetTelnet服務器服務器Telnet是TCP/IP協(xié)議族中應用最廣泛的應用層協(xié)議之一，提供一個以聯(lián)機方

2、式訪問網(wǎng)上資源的通用工具。它允許用戶與一個遠程機器上的服務器進行通信，通過一個協(xié)商過程來支持不同的物理終端，從而提供了極大的靈活性。Telnet協(xié)議可以在任何主機（任何操作系統(tǒng)）或任何終端之間工作。各種操作系統(tǒng)都內置了Telnet協(xié)議的客戶端軟件，不需要安裝，使用方便。1.1 1.1 遠程管理遠程管理v遠程管理是指通過網(wǎng)絡由一臺終端或電腦去控制另一臺電腦的技術，只要網(wǎng)絡是相通的，這兩臺電腦的距離可以很遠。遠程管理可以支持多種網(wǎng)絡連接方式，包括LAN、WAN、撥號方式、互聯(lián)網(wǎng)等， v1遠程辦公v2遠程技術支持v3遠程教學v4遠程維護和管理1.2 Telnet1.2 Telnet簡介簡介v TEL

3、NET是一個簡單的遠程終端協(xié)議，是進行遠程登錄的標準協(xié)議，它是當今Internet上應用最廣泛的協(xié)議之一。用戶用TELNET就可以在其所在地通過TCP連接注冊（即登錄）到遠地的另一臺主機上（使用主機名或IP地址）。TELNET能將用戶的鍵盤輸入傳到遠程主機，同時也能將遠程主機的輸出通過TCP連接返回到用戶屏幕。這種服務是透明的，因為用戶感覺到好像鍵盤和顯示器是直接連接在遠地主機上。v TELNET使用客戶/服務器方式運行。在本地系統(tǒng)上運行TELNET客戶進程，而在遠程主機上則運行TELNET服務器進程。和FTP等服務類似，服務器中的主進程等待新的請求，并產生從屬進程來處理每一個連接。1.2 T

4、elnet1.2 Telnet簡介（續(xù)）簡介（續(xù)）v TELNET能夠適應許多計算機和操作系統(tǒng)的差異。例如，對于文本中一行的結束，有的系統(tǒng)使用ASCII碼的回車（CR），有的系統(tǒng)使用換行（LF），還有的系統(tǒng)使用兩個字符，回車-換行（CR-LF）。為了適應這種差異，TELNET定義了數(shù)據(jù)和命令應怎樣通過互聯(lián)網(wǎng)。這些定義就是所謂的網(wǎng)絡虛擬終端NVT（Network Virtual Terminal）。也就是客戶端軟件把用戶的鍵盤輸入和命令轉換成NVT格式，并送交服務器。服務器軟件把收到的數(shù)據(jù)和命令，從NVT格式轉換成遠程系統(tǒng)所需要的格式。向用戶返回數(shù)據(jù)時，服務器把遠程系統(tǒng)的格式轉換為NVT格式，本

5、地客戶再從NVT格式轉換到本地系統(tǒng)所需的格式。v TELNET已經(jīng)成為網(wǎng)絡管理員最常用的工具之一，幾乎所有的網(wǎng)絡設備，如路由器、交換機和防火墻等都可以通過TELNET方式進行管理，而且操作系統(tǒng)都內置了TELNET的客戶端軟件，不需要再進行安裝，使用起來非常方便。1.3 1.3 安裝安裝TelnetTelnet服務服務v查詢系統(tǒng)是否安裝了TELNET服務器： #rpm qa telnet-serverv 安裝Samba軟件包# mount t iso9660 /dev/sr0 /mnt# rpm -vih /mnt/Packages/telnet-server.v需要注意的是，telnet服務器

6、服務需要xinetd的支持，如果沒有安裝xinetd，在安裝TELNET服務器之前應該先安裝xinetd服務，該服務的軟件包也可以在以上網(wǎng)站搜索并下載。1.4 Telnet1.4 Telnet服務的啟動服務的啟動vTELNET服務不能象其它網(wǎng)絡服務（如DNS、HTTP等）一樣作為獨立的守護進程運行，它使用xinetd（eXtended InterNET services Daemon，擴展Internet守護進程）程序管理，這樣不但能提高安全性，而且還能使用xinted對TELNET服務器進行配置管理。1.4 Telnet1.4 Telnet服務的啟動（續(xù)）服務的啟動（續(xù)）vTELNET服務安

7、裝后默認情況下不會被xinetd啟動，而還需要修改配置文件將其啟用。是xinetd程序配置文件的一部分，可以通過它來配置TELNET服務器的運行參數(shù)。通過編輯該文件，找到語句“disableyes”并將其改為“disableno”，如下所示。vservice telnetvv flags = REUSEv socket_type = streamv wait = nov user = rootvlog_on_failure += USERIDv disables = nov 1.4 Telnet1.4 Telnet服務的啟動（續(xù)）服務的啟動（續(xù)）v修改后需要重新啟動xinetd服務，使用如下命

8、令重新啟動該服務。 1.5 Telnet1.5 Telnet服務的配置服務的配置v一般來說，TELNET服務做如上設置就可以使用了，但若希望TELNET服務工作得更好，還應該對TELNET服務器做進一步的配置。v設置最大連接數(shù):通過編輯文件，并在文件中添加語句“instances10”，這里的“10”表示允許客戶端同時最多10個連接。如下所示。vservice telnetvv flags = REUSEv socket_type = streamv wait = nov user = rootvlog_on_failure += USERIDv disables = nov instance

9、s = 10v 1.5 Telnet1.5 Telnet服務的配置（續(xù)）服務的配置（續(xù)）vTELNET服務端口TELNET服務器默認使用TCP的23號端口提供客戶端的連接，這樣的默認配置很不安全，入侵者可以很輕松地監(jiān)聽主機上的23號端口。出于安全考慮，可以更改服務器的監(jiān)聽端口。v修改方法是找到/etc/services文件，將TELNET服務相關的端口改為其它端口，如“2323”。如： #grep telnet /etc/servicestelnet 23/tcptelnet 23/udp#vi /etc/servicestelnet 2323/tcptelnet 2323/tcptelnet

10、 2323/udptelnet 2323/udp1.6 Telnet1.6 Telnet客戶端的使用客戶端的使用vWindows平臺在Windows平臺下連接到TELNET服務器非常簡單，步驟如下： 可以通過選擇“開始”菜單里的“運行”選項; 在出現(xiàn)的“運行”對話框中輸入“telnet 服務器的IP地址或主機名”，在這里假設TELNET服務器的主機的地址為，應該輸入“telnet 01”。1.7 1.7 Linux平臺平臺TelnetTelnet客戶端的使用客戶端的使用v Linux平臺v 命令檢查系統(tǒng)是否已經(jīng)安裝了TELNEt客戶端程序： #rpm -q telnetv

11、 如果系統(tǒng)中未安裝TELNET客戶端程序，可以將安裝光盤DVD放入光驅，加載光驅后在光盤Packages目錄下找到TELNET客戶端程序的RPM安裝包文件，然后使用如下命令安裝TELNET客戶端程序。 #rpm ivh /mnt/Packages/ telnet-1.7 1.7 Linux平臺平臺TelnetTelnet客戶端的使用（續(xù)）客戶端的使用（續(xù)）v安裝好TELNET客戶端程序后，可以直接使用telnet命令登錄到TELNET服務器。如下圖所示。Linux平臺下平臺下TELNET的使用的使用2.1 SSH2.1 SSH服務概述服務概述v 談到網(wǎng)絡安全訪問，目前用得最多的就是安全Shel

12、l，也就是Secure ShellSecure Shell，簡稱為SSH。SSH是一個在應用程序中提供安全通信的協(xié)議，通過SSH可以安全地訪問服務器，因為SSH基于成熟的公鑰密碼體系，把所有的傳輸?shù)臄?shù)據(jù)進行加密，保證數(shù)據(jù)在傳輸時不被惡意破壞、泄露和篡改。SSH還使用了多種加密和認證方式，解決了傳輸中數(shù)據(jù)加密和身份認證的問題，能有效防止網(wǎng)絡嗅探和IP地址欺騙等攻擊。使用SSH，還有一個額外的好處就是數(shù)據(jù)的傳輸是經(jīng)過壓縮的，所以可以加快傳輸?shù)乃俣?。SSH有很多功能，它既可以替代TELNET，又可以為FTP和PPP提供一個安全的“通道”。v 目前SSH協(xié)議已經(jīng)經(jīng)歷了SSH1SSH1和SSH2SSH2

13、兩個版本，它們使用了不同的協(xié)議來實現(xiàn)，二者互不兼容。SSH2不管在安全、功能上還是性能上都比SSH1有優(yōu)勢，所以目前被廣泛使用的是SSH2。2.1 SSH2.1 SSH服務概述服務概述vSSH的運行不象其它的TCP/IP應用，SSH被設計為工作在自己的基礎之上，而不是利用Wrappers或通過擴展Internet守護進程（Xinetd）。vSSH的應用比較廣泛。首先，用它來取代傳統(tǒng)的TELNET和FTP等網(wǎng)絡應用程序，通過SSH登錄到遠方機器執(zhí)行命令或做相關的工作。它提供了很強的身份驗證機制（Authentication）與非常安全的通信環(huán)境。SSH的開發(fā)者的本意就是設計用來取代原UNIX系統(tǒng)

14、上的rcp、rlogin和rsh等命令的。但經(jīng)過改進后，發(fā)現(xiàn)它功能上完全可以取代傳統(tǒng)的TELNET和FTP等應用程序。2.2 SSH2.2 SSH的安裝的安裝v OpenSSH軟件包由兩部分組成，一部分是服務器軟件包openssh-server，另一部分是客戶端軟件包openssh-clients。它們分別在兩個不同的RPM安裝包中。OpenSSH的安裝包在安裝光盤DVD的/Packages目錄下，如果不確定系統(tǒng)是否已經(jīng)安裝了openssh，可以使用如下命令查看。 #rpm qa openssh-server v 若沒有輸出，表明openssh尚未安裝，那么從安裝光盤或openssh網(wǎng)站上準備

15、好RPM安裝包，然后輸入如下指令，系統(tǒng)即會自動完成安裝openssh服務器和客戶端程序的任務： #rpm ivh /mnt/Pachages/openssh-server- #rpm ivh /mnt/Pachages/openssh-clients-2.3 SSH2.3 SSH的啟動的啟動v安裝好OpenSSH后，可以使用缺省配置啟動SSH服務。v啟動SSH服務的命令為：#service sshd startv要停止SSH服務，執(zhí)行的命令為：#service sshd stopv要重新啟動SSH服務，執(zhí)行的命令如下：#service sshd restartv也可以使用/etc/init.d

16、/sshd start|stop|restart 命令完成以上操作。2.4 SSH2.4 SSH服務的配置服務的配置v配置SSH服務的運行參數(shù)，是通過修改配置文件/etc/ssh/sshd_config來實現(xiàn)的。/etc/ssh/sshd_config文件的配置選項非常多，但文中大部分的選項都使用了“#”符號注釋掉了，這是因為SSH服務使用默認配置已經(jīng)能比較好地工作。2.4 SSH2.4 SSH服務的常用選項服務的常用選項v設置SSH服務器的監(jiān)聽端口vPort選項定義了SSH服務的監(jiān)聽端口。SSH服務默認使用的端口是22。v Port=22v設置使用SSH協(xié)議的順序vProtocol選項定義了

17、SSH服務器使用SSH協(xié)議的順序。默認先使用SSH2協(xié)議，如果不成功則使用SSH1協(xié)議。為了安全起見，可以設置只使用SSH2協(xié)議。v Protocol=2,1v設置SSH服務綁定的IP地址vListenAddress選項定義了SSH服務器綁定的IP地址，默認綁定服務器所有可用的IP地址。2.4 SSH2.4 SSH服務的常用選項（續(xù)）服務的常用選項（續(xù)）v 設置是否允許root管理員登錄v PermitRootLogin選項定義了是否允許root管理員登錄。默認允許管理員登錄。 PermitRootLogin yesv 設置是否允許空密碼用戶登錄v PermitEmptyPasswords選項

18、定義了是否允許空密碼的用戶登錄。為了保證系統(tǒng)的安全，應該禁止這些用戶登錄系統(tǒng)，默認是禁止空密碼用戶登錄的。 PermitEmptyPasswords nov 設置是否使用口令認證方式v PasswordAuthentication選項定義了是否使用口令認證方式。如果準備使用公鑰認證方式，可以將其設置為no。 PasswordAuthentication yesv 每次修改完配置文件/etc/ssh/sshd_config后，都需要重新啟動SSH服務才能使新的配置生效。2.5 SSH2.5 SSH客戶端的使用客戶端的使用vPuTTY簡介vPuTTY是一款免費而小巧的Win32平臺下的SSH/TE

19、LNET客戶端軟件，它可以連接到支持SSH或TELNET聯(lián)機的系統(tǒng)，并且自動取得對方的系統(tǒng)指紋碼（Fingerprint）。建立連接以后，所有的通信內容都是以加密的方式傳輸，因此用戶再也不用擔心使用SSH在lnternet或公司的內部網(wǎng)絡傳輸資料時被第三者獲知內容。PuTTY的主程序只有幾百KB，但功能絲毫不遜色于商業(yè)級的SecureCRT。使用使用PuTTYPuTTYv運行下載的文件，在PuTTY程序主界面的“主機名稱（或IP地址）”文本框中輸入服務器的IP地址或主機名，在“端口”文本框中輸入要連接的端口，這里使用默認的22號端口即可，在“連接類型”中選擇“SSH”選項，如圖14-7所示。圖

20、圖14-7 PuTTY程序運行界面程序運行界面2.6 Linux2.6 Linux下下SSHSSH客戶端的使用客戶端的使用v在Linux平臺下可以使用OpenSSH的客戶端程序openssh-clients來連接SSH服務器。默認已經(jīng)安裝了SSH客戶端程序。v安裝好openssh-clients程序后，可以直接使用ssh命令登錄到SSH服務器。命令的格式為：ssh -l 用戶名 服務器的IP地址或主機名v例如，想要登錄到IP地址為的SSH服務器上，可以使用命令： 2.6 Linux2.6 Linux下下SSHSSH客戶端的使用客戶端的使用v使用scp在本地主機與遠程主機之間復制文件：vscp

21、用戶名主機地址：文件全路徑名 目標文件vscp root01:/tmp/aaa.txt /rootv使用sftp在本地主機與遠程主機之間傳輸文件vsftp 用戶名服務器名稱或地址v注意運行本地命令前加上l或L,例如：v lpwd2.7 SSH 2.7 SSH 公鑰認證公鑰認證v公鑰加密體系結構v公鑰認證的原理v在服務器啟用公鑰認證 v在openssh-clients程序使用公鑰認證2.7.1 2.7.1 公鑰加密體系結構公鑰加密體系結構公鑰加密體系結構理論基礎是基于非對稱性算法的，非對稱性算法使用一對密鑰（即公開密鑰Public Key和私有密鑰Private Key）進

22、行加密和解密。雖然加密密鑰和解密密鑰不相同，但這對密鑰是互補的，也就是說使用公鑰加密的信息只有私鑰才能解密，使用私鑰加密的信息只有公鑰才能解密 ，公鑰可以向外公開，任何人都可以得到公鑰；私鑰不能向外公開，由用戶自己小心保管。 公鑰加密體系結構公鑰加密體系結構用戶A要發(fā)送數(shù)據(jù)給用戶B，主要經(jīng)過以下步驟進行加密： 用戶B通過各種方式（如網(wǎng)絡）向外界公開他的公鑰PUB_B； 用戶A得到用戶B的公鑰PUB_B，并使用PUB_B對信息加密并發(fā)送給用戶B； 用戶B在收到密文后，使用其私鑰PRI_B就能完成解密。 2.7.2 2.7.2 公鑰認證的原理公鑰認證的原理 首先由用戶生成一對密鑰，然后將公鑰保存在

23、SSH服務器用戶主目錄下.ssh子目錄中的authorized_keys文件里（如/root/.ssh/authorized_keys），私鑰保存在本地計算機中。當用戶登錄時，服務器檢查authorized_keys文件的公鑰是否與用戶的私鑰對應。如果相符則允許用戶登錄，否則拒絕用戶的登錄請求。 2.7.3 2.7.3 在服務器啟用公鑰認證在服務器啟用公鑰認證 編輯文件/etc/ssh/sshd_config，找到語句“PasswordAuthentication yes”，并將語句改為“PasswordAuthentication no” 。2.7.4 2.7.4 在在LinuxLinux客

24、戶端使用公鑰認證客戶端使用公鑰認證 1產生密鑰可以使用openssh軟件包自帶的ssh-keygen程序產生密鑰，如執(zhí)行以下命令：#ssh-keygen -t rsa2傳輸公鑰文件到SSH服務器為了讓SSH服務器能讀取公鑰文件，還要將產生的公鑰文件傳輸?shù)絊SH服務器的用戶主目錄下的.ssh子目錄中，并改名為authorized_keys。 #ssh-copy-id I /root/.ssh/id_rsa.pub student35 3連接SSH服務器#ll#exit3.1 VNC3.1 VNC簡介簡介vVNC（Virtual Network Computing，虛擬網(wǎng)

25、絡計算）是一種圖形桌面共享系統(tǒng)，它使用RFB協(xié)議遠程控制另外一臺計算機。VNC通過網(wǎng)絡把控制端的鍵盤和鼠標事件傳輸給被控端，并把被控端的屏幕顯示回傳給控制端，使在控制端的操作者感覺猶如坐在被控端電腦面前操作一樣。vVNC由客戶端、服務器和通訊協(xié)議三部分組成。3.1 VNC概述概述vVNC(Virtual Network Computing,虛擬網(wǎng)絡計算機)是由英國劍橋大學的At&T實驗室于2002年開發(fā)的，它是一種可操控遠程計算機的軟件，也就是說它能夠將完整的窗口畫面通過網(wǎng)絡傳輸?shù)搅硪慌_計算機的屏幕上，如同Windows Server 2003的終端服務。它在Mac平臺上稱為MacVN

26、C,在Windows平臺上稱為WinVNC。vVNC遠程管理軟件包括服務器VNC Server和客戶端VNC Viewer。用戶需要先將VNC Server安裝在服務器端的計算機上，才能在主控端的計算機上用VNC Viewer遠程管理被控端，類似Windows的終端服務，它可以遠程控制X-Window桌面。VNC還可以實現(xiàn)基于Java的客戶端訪問遠程的VNC服務器。換句話說，只要通過支持Java的瀏覽器即可進行遠程控制，而無需安裝任何軟件。3.1 VNC3.1 VNC的特點的特點v客戶端活動如掉線等不會影響到服務端，再次連接就可正常使用。v客戶端無需安裝專門軟件，甚至用IE等瀏覽器就可控制服務

27、端。v最大的優(yōu)點就是真正跨平臺使用。它支持的平臺有：Mac、Windows、Solaris、FreeBSD、HPUX、SCO OpenServer、等。3.2 VNC3.2 VNC的安裝與啟動的安裝與啟動v 檢查系統(tǒng)是否已經(jīng)安裝了VNC服務或查看已經(jīng)安裝了何種版本。#rpm #rpm q |grep vncq |grep vncv 安裝命令如下所示。 # rpm # rpm ivh /mnt/Packages/tigervnc-server-ivh /mnt/Packages/tigervnc-server-啟動停止啟動停止VNCVNC服務服務v可以使用vncserver命令來啟動VNC服務，

28、命令的格式為“vncserver：桌面號”，其中“桌面號”用數(shù)字方式表示，每個用戶連接需要占用1個桌面。例如，要啟動編號為1的桌面可以執(zhí)行命令： #vncserver:1#vncserver:1v由于這是第一次運行該命令，因此系統(tǒng)提示用戶輸入訪問口令，口令會被加密保存在用戶主目錄下.vnc子目錄中的passwd文件中（如/root/.vnc/passwd）。同時系統(tǒng)還會在用戶主目錄下的.vnc子目錄中為用戶自動建立xstartup配置文件，以后每次啟動VNC服務時，都會讀取該文件中的配置選項。v停止VNC服務 #vncserver -kill :1#vncserver -kill :13.3

29、Linux3.3 Linux平臺平臺VNCVNC客戶端的配置客戶端的配置v 檢查系統(tǒng)是否已經(jīng)安裝了VNC Viewer#rpm qa|grep vnc#rpm qa|grep vncv 要使用VNC Viewervncviewer 服務器地址：桌面號# vncviewer # vncviewer 35:1 3.4 3.4 配置配置VNCVNC服務服務v為了能使用功能強大的KDE或GNOME圖形桌面環(huán)境（前提是Linux系統(tǒng)已經(jīng)安裝了GNOME或KDE桌面環(huán)境），還要編輯用戶主目錄下.vnc子目錄下的xstartup文件，例如，root的xstartup文件為/root/.vnc/xstartup。如果要使用GNOME桌面環(huán)境，則將最后一行的“twm”改為“gnome-session”；若要使用KDE桌面環(huán)境，則將“twm”改為“startkde”。配置配置VNC服務（續(xù)）服務（續(xù)）v 修改完xstartup文件后，還要執(zhí)行以下命令關閉桌面號，并重新啟動桌面號：#vncserver #vncserver kill :1kill :1#vncserver