項目6 配置網(wǎng)絡(luò)和使用ssh服務(wù)

Linux網(wǎng)絡(luò)操作系統(tǒng)項目教程

（RHEL7.4/CentOS7.4）（第3版）人民郵電出版社|

楊云主編項目6

配置網(wǎng)絡(luò)和使用ssh服務(wù)2項目導(dǎo)入掌握常見網(wǎng)絡(luò)服務(wù)的配置方法。掌握遠(yuǎn)程控制服務(wù)。掌握不間斷會話服務(wù)。職業(yè)能力目標(biāo)和要求

作為Linux系統(tǒng)的網(wǎng)絡(luò)管理員，學(xué)習(xí)Linux服務(wù)器的網(wǎng)絡(luò)配置是至關(guān)重要的，同時管理遠(yuǎn)程主機(jī)也是管理員必須熟練掌握的。這些是后續(xù)網(wǎng)絡(luò)服務(wù)配置的基礎(chǔ)，必須要學(xué)好。

本項目講解了如何使用nmtui命令配置網(wǎng)絡(luò)參數(shù)，以及通過nmcli命令查看網(wǎng)絡(luò)信息并管理網(wǎng)絡(luò)會話服務(wù)，從而讓您能夠在不同工作場景中快速地切換網(wǎng)絡(luò)運(yùn)行參數(shù)的方法；還講解了如何手工綁定mode6模式雙網(wǎng)卡，實現(xiàn)網(wǎng)絡(luò)的負(fù)載均衡的方法。本項目還深入介紹了SSH協(xié)議與sshd服務(wù)程序的理論知識、Linux系統(tǒng)的遠(yuǎn)程管理方法以及在系統(tǒng)中配置服務(wù)程序的方法。項目6

配置網(wǎng)絡(luò)和使用ssh服務(wù)36.1配置網(wǎng)絡(luò)服務(wù)6.2創(chuàng)建網(wǎng)絡(luò)會話實例6.3綁定兩塊網(wǎng)卡6.4配置遠(yuǎn)程控制服務(wù)6.5項目實錄46.1任務(wù)1配置網(wǎng)絡(luò)服務(wù)

Linux主機(jī)要與網(wǎng)絡(luò)中其他主機(jī)進(jìn)行通信，首先要進(jìn)行正確的網(wǎng)絡(luò)配置。網(wǎng)絡(luò)配置通常包括主機(jī)名、IP地址、子網(wǎng)掩碼、默認(rèn)網(wǎng)關(guān)、DNS服務(wù)器等。6.1.1檢查并設(shè)置有線處于連接狀態(tài)單擊桌面右上角的“啟動”按鈕，單擊“Connect”按鈕，設(shè)置有線處于連接狀態(tài)，如圖6-1所示。圖6-1設(shè)置有線處于連接狀態(tài)設(shè)置完成后，右上角將出現(xiàn)有線連接的小圖標(biāo)，如圖6-2所示。圖6-2有線處于連接狀態(tài)特別提示：必須首先使有線處于連接狀態(tài)，這是一切配置的基礎(chǔ)，切記。56.1.2設(shè)置主機(jī)名RHEL7有以下3種形式的主機(jī)名。靜態(tài)的（static）：“靜態(tài)”主機(jī)名也稱為內(nèi)核主機(jī)名，是系統(tǒng)在啟動時從/etc/hostname自動初始化的主機(jī)名。瞬態(tài)的（transient）：“瞬態(tài)”主機(jī)名是在系統(tǒng)運(yùn)行時臨時分配的主機(jī)名，由內(nèi)核管理。例如，通過DHCP或DNS服務(wù)器分配的localhost就是這種形式的主機(jī)名。靈活的（pretty）：“靈活”主機(jī)名是UTF8格式的自由主機(jī)名，以展示給終端用戶。與之前版本不同，RHEL7中的主機(jī)名配置文件為/etc/hostname，可以在配置文件中直接更改主機(jī)名。61．使用nmtui修改主機(jī)名[root@RHEL7-1~]#nmtui圖6-3配置hostname圖6-4修改主機(jī)名為RHEL7-1在圖6-3、圖6-4所示的界面中進(jìn)行配置。

使用NetworkManager的nmtui接口修改了靜態(tài)主機(jī)名后（/etc/hostname文件），不會通知hostnamectl。要想強(qiáng)制讓hostnamectl知道靜態(tài)主機(jī)名已經(jīng)被修改，需要重啟hostnamed服務(wù)。[root@RHEL7-1~]#systemctlrestartsystemd-hostnamed72．使用hostnamectl修改主機(jī)名（1）查看主機(jī)名[root@RHEL7-1~]#hostnamectlstatusStatichostname:RHEL7-1Prettyhostname:RHEL7-1

……（2）設(shè)置新的主機(jī)名[root@RHEL7-1~]#hostnamectlset-hostname（3）查看主機(jī)名[root@RHEL7-1~]#hostnamectlstatusStatichostname:

……83．使用NetworkManager的命令行接口nmcli修改主機(jī)名nmcli可以修改/etc/hostname中的靜態(tài)主機(jī)名。//查看主機(jī)名[root@RHEL7-1~]#nmcligeneralhostname//設(shè)置新主機(jī)名[root@RHEL7-1~]#nmcligeneralhostnameRHEL7-1[root@RHEL7-1~]#nmcligeneralhostnameRHEL7-1//重啟hostnamed服務(wù)讓hostnamectl知道靜態(tài)主機(jī)名已經(jīng)被修改[root@RHEL7-1~]#systemctlrestartsystemd-hostnamed96.1.3使用系統(tǒng)菜單配置網(wǎng)絡(luò)在Linux系統(tǒng)上配置服務(wù)之前，必須先保證主機(jī)之間能夠順暢地通信?？梢詥螕糇烂嬗疑辖堑木W(wǎng)絡(luò)連接圖標(biāo)，打開網(wǎng)絡(luò)配置界面，一步步完成網(wǎng)絡(luò)信息查詢和網(wǎng)絡(luò)配置。具體過程如圖6-5～圖6-8所示。圖6-5單擊有線連接設(shè)置（WiredSettings）

圖6-6網(wǎng)絡(luò)配置：ON激活連接、單擊齒輪進(jìn)行配置

圖6-7配置有線連接10

設(shè)置完成后，單擊“Apply”按鈕應(yīng)用配置回到圖6-9所示的界面。注意網(wǎng)絡(luò)連接應(yīng)該設(shè)置在“ON”狀態(tài)，如果在“OFF”狀態(tài)，請進(jìn)行修改。注意，有時需要重啟系統(tǒng)配置才能生效。圖6-9網(wǎng)絡(luò)配置界面建議：首選使用系統(tǒng)菜單配置網(wǎng)絡(luò)。因為從RHEL7開始，圖形界面已經(jīng)非常完善，所以在Linux系統(tǒng)桌面，依次單擊“Applications”→“SystemTools”→“Settings”→“Network”同樣可以打開網(wǎng)絡(luò)配置界面。圖6-8配置IPv4等信息116.1.4通過網(wǎng)卡配置文件配置網(wǎng)絡(luò)在RHEL7中，網(wǎng)卡配置文件的前綴則以ifcfg開始，如ifcfg-ens33。名稱為ifcfg-ens33的網(wǎng)卡設(shè)備，將其配置為開機(jī)自啟動，并且IP地址、子網(wǎng)、網(wǎng)關(guān)等信息由人工指定，其步驟如下。（1）切換到/etc/sysconfig/network-scripts目錄中（存放著網(wǎng)卡的配置文件）。（2）使用vim編輯器修改網(wǎng)卡文件ifcfg-ens33，逐項寫入下面的配置參數(shù)并保存退出。由于每臺設(shè)備的硬件及架構(gòu)是不一樣的，所以請讀者使用ifconfig命令自行確認(rèn)各自網(wǎng)卡的默認(rèn)名稱。設(shè)備類型：TYPE=Ethernet。地址分配模式：BOOTPROTO=static。網(wǎng)卡名稱：NAME=ens33。是否啟動：ONBOOT=yes。IP地址：IPADDR=。子網(wǎng)掩碼：NETMASK=。網(wǎng)關(guān)地址：GATEWAY=。DNS地址：DNS1=。12（3）重啟網(wǎng)絡(luò)服務(wù)并測試網(wǎng)絡(luò)是否聯(lián)通。進(jìn)入到網(wǎng)卡配置文件所在的目錄，然后編輯網(wǎng)卡配置文件，在其中填入下面的信息：[root@RHEL7-1~]#cd/etc/sysconfig/network-scripts/[root@RHEL7-1network-scripts]#vimifcfg-ens33TYPE=EthernetPROXY_METHOD=noneBROWSER_ONLY=noBOOTPROTO=staticNAME=ens33UUID=9d5c53ac-93b5-41bb-af37-4908cce6dc31DEVICE=ens33ONBOOT=yesIPADDR=NETMASK=GATEWAY=DNS1=13

執(zhí)行重啟網(wǎng)卡設(shè)備的命令（在正常情況下不會有提示信息），然后通過ping命令測試網(wǎng)絡(luò)能否聯(lián)通。由于在Linux系統(tǒng)中ping命令不會自動終止，所以需要手動按下“Ctrl+C”組合鍵來強(qiáng)行結(jié)束進(jìn)程。注意：使用配置文件進(jìn)行網(wǎng)絡(luò)配置，需要啟動network服務(wù)，而從RHEL7以后，network服務(wù)已被NetworkManager服務(wù)替代，所以不建議使用配置文件配置網(wǎng)絡(luò)參數(shù)。[root@RHEL7-1network-scripts]#systemctlrestartnetwork[root@RHEL7-1network-scripts]#pingPING()56(84)bytesofdata.64bytesfrom:icmp_seq=1ttl=64time=0.095ms64bytesfrom:icmp_seq=2ttl=64time=0.048ms……146.1.5使用圖形界面配置網(wǎng)絡(luò)（1）上節(jié)我們使用網(wǎng)絡(luò)配置文件配置網(wǎng)絡(luò)服務(wù)，本節(jié)我們使用nmtui命令來配置網(wǎng)絡(luò)。[root@RHEL7-1

network-scripts]#

nmtui（2）顯示圖6-10所示的圖形配置界面。（3）配置過程如圖6-11、圖6-12所示。圖6-10選中“Editaconnection”

并按下“Enter鍵”圖6-11選中要編輯的網(wǎng)卡名稱，

然后按下“Edit”（編輯）按鈕圖6-12把網(wǎng)絡(luò)IPv4的配置方式改成Manual（手動）注意：本書中所有的服務(wù)器主機(jī)IP地址均為，而客戶端主機(jī)一般設(shè)為0及0。之所以這樣做，就是為了后面服務(wù)器配置的方便。15（4）按下“Show”（顯示）按鈕，顯示信息配置框，如圖6-13所示。在服務(wù)器主機(jī)的網(wǎng)絡(luò)配置信息中填寫IP地址/24等信息，單擊“OK”按鈕，如圖6-14所示。圖6-13填寫IP地址圖6-14單擊“OK”按鈕保存配置16（5）按“<back>”按鈕回到nmtui圖形界面初始狀態(tài)，選中“Activateaconnection”選項，激活剛才的連接“ens33”。前面有“*”號表示激活，如圖6-15、圖6-16所示。圖6-15選擇“Activateaconnection”選項圖6-16激活（Activate）連接或使連接失效（Deactivate）17（6）至此，在Linux系統(tǒng)中配置網(wǎng)絡(luò)的步驟就結(jié)束了。[root@RHEL7-1~]#ifconfigens33:flags=4163<UP,BROADCAST,RUNNING,MULTICAST>mtu1500inetnetmaskbroadcast55inet6fe80::c0ae:d7f4:8f5:e135prefixlen64scopeid0x20<link>ether00:0c:29:66:42:8dtxqueuelen1000(Ethernet)RXpackets151bytes16024(15.6KiB)RXerrors0dropped0overruns0frame0TXpackets186bytes18291(17.8KiB)TXerrors0dropped0overruns0carrier0collisions0……186.1.6使用nmcli命令配置網(wǎng)絡(luò)NetworkManager是管理和監(jiān)控網(wǎng)絡(luò)設(shè)置的守護(hù)進(jìn)程，設(shè)備即網(wǎng)絡(luò)接口，連接是對網(wǎng)絡(luò)接口的配置。一個網(wǎng)絡(luò)接口可以有多個連接配置，但同時只有一個連接配置生效。1．常用命令

nmcliconnectionshow：顯示所有連接。nmcliconnectionshow--active：顯示所有活動的連接狀態(tài)。nmcliconnectionshow"ens33"：顯示網(wǎng)絡(luò)連接配置。nmclidevicestatus：顯示設(shè)備狀態(tài)。nmclideviceshowens33：顯示網(wǎng)絡(luò)接口屬性。nmcliconnectionaddhelp：查看幫助。nmcliconnectionreload：重新加載配置。nmcliconnectiondowntest2：禁用test2的配置，注意一個網(wǎng)卡可以有多個配置。nmcliconnectionuptest2：啟用test2的配置。nmclidevicedisconnectens33：禁用ens33網(wǎng)卡，物理網(wǎng)卡。nmclideviceconnectens33：啟用ens33網(wǎng)卡。192．創(chuàng)建新連接配置（1）創(chuàng)建新連接配置default，IP通過DHCP自動獲取[root@RHEL7-1~]#nmcliconnectionshowNAMEUUIDTYPEDEVICEens339d5c53ac-93b5-41bb-af37-4908cce6dc31806-3-ethernetens33virbr0f30a1db5-d30b-47e6-a8b1-b57c614385aabridgevirbr0[root@RHEL7-1~]#nmcliconnectionaddcon-namedefaulttypeEthernetifnameens33Connection'default'(ffe127b6-ece7-40ed-b649-7082e86c0775)successfullyadded.202．創(chuàng)建新連接配置（2）刪除連接

[root@RHEL7-1~]#nmcliconnectiondeletedefaultConnection'default'(ffe127b6-ece7-40ed-b649-7082e86c0775)successfullydeleted.21（3）創(chuàng)建新的連接配置test2，指定靜態(tài)IP，不自動連接[root@RHEL7-1~]#nmcliconnectionaddcon-nametest2ipv4.methodmanualifnameens33autoconnectnotypeEthernetipv4.addresses00/24gw4Connection'test2'(7b0ae806-1bb7-41a3-92ad-5a1587eb367f)successfullyadded.（4）參數(shù)說明con-name：指定連接名字，沒有特殊要求。ipv4.methmod：指定獲取IP地址的方式。ifname：指定網(wǎng)卡設(shè)備名，也就是次配置所生效的網(wǎng)卡。autoconnect：指定是否自動啟動。ipv4.addresses：指定IPv4地址。gw4：指定網(wǎng)關(guān)。223．查看/etc/sysconfig/network-scripts/目錄[root@RHEL7-1~]#ls/etc/sysconfig/network-scripts/ifcfg-*/etc/sysconfig/network-scripts/ifcfg-ens33/etc/sysconfig/network-scripts/ifcfg-test2/etc/sysconfig/network-scripts/ifcfg-lo多出一個文件/etc/sysconfig/network-scripts/ifcfg-test2，說明添加確實生效了。234．啟用test2連接配置[root@RHEL7-1~]#nmcliconnectionuptest2Connectionsuccessfullyactivated(D-Busactivepath:/org/freedesktop/NetworkManager/ActiveConnection/6)[root@RHEL7-1~]#nmcliconnectionshowNAMEUUIDTYPEDEVICEtest27b0ae806-1bb7-41a3-92ad-5a1587eb367f806-3-ethernetens33virbr0f30a1db5-d30b-47e6-a8b1-b57c614385aabridgevirbr0ens339d5c53ac-93b5-41bb-af37-4908cce6dc31806-3-ethernet--245．查看是否生效[root@RHEL7-1~]#nmclideviceshowens33GENERAL.DEVICE:ens33……基本的IP地址配置成功。256．修改連接設(shè)置（1）修改test2為自動啟動[root@RHEL7-1~]#nmcliconnectionmodifytest2connection.autoconnectyes（2）修改DNS為

[root@RHEL7-1~]#nmcliconnectionmodifytest2ipv4.dns（3）添加DNS14[root@RHEL7-1~]#nmcliconnectionmodifytest2+ipv4.dns1426（4）看下是否成功[root@RHEL7-1~]#cat/etc/sysconfig/network-scripts/ifcfg-test2TYPE=EthernetPROXY_METHOD=noneBROWSER_ONLY=noBOOTPROTO=noneIPADDR=00PREFIX=24GATEWAY=DEFROUTE=yesIPV4_FAILURE_FATAL=noIPV6INIT=yesIPV6_AUTOCONF=yesIPV6_DEFROUTE=yesIPV6_FAILURE_FATAL=noIPV6_ADDR_GEN_MODE=stable-privacyNAME=test2UUID=7b0ae806-1bb7-41a3-92ad-5a1587eb367fDEVICE=ens33ONBOOT=yesDNS1=DNS2=1427（5）刪除DNS[root@RHEL7-1~]#nmcliconnectionmodifytest2-ipv4.dns（6）修改IP地址和默認(rèn)網(wǎng)關(guān)[root@RHEL7-1~]#nmcliconnectionmodifytest2ipv4.addresses00/24gw454

（7）還可以添加多個IP[root@RHEL7-1~]#nmcliconnectionmodifytest2+ipv4.addresses50/24[root@RHEL7-1~]#nmcliconnectionshow"test2"[root@RHEL7-1~]#nmcliconnectionmodifytest2-ipv4.dns14287．nmcli命令和/etc/sysconfig/network-scripts/ifcfg-*文件的對應(yīng)關(guān)系nmcli命令/etc/sysconfig/network-scripts/ifcfg-*文件ipv4.methodmanualBOOTPROTO=noneipv4.methodautoBOOTPROTO=dhcpipv4.addresses/24IPADDR=PREFIX=24gw454GATEWAY=54ipv4.dnsDNS0=ipv4.dns-searchDOMAIN=ipv4.ignore-auto-dnstruePEERDNS=noconnection.autoconnectyesONBOOT=yesconnection.ideth0NAME=eth0erface-nameeth0DEVICE=eth0806-3-ethernet.mac-address...HWADDR=...296.2創(chuàng)建網(wǎng)絡(luò)會話實例

RHEL和CentOS系統(tǒng)默認(rèn)使用NetworkManager來提供網(wǎng)絡(luò)服務(wù)，這是一種動態(tài)管理網(wǎng)絡(luò)配置的守護(hù)進(jìn)程，能夠讓網(wǎng)絡(luò)設(shè)備保持連接狀態(tài)。

nmcli是一款基于命令行的網(wǎng)絡(luò)配置工具，功能豐富，參數(shù)眾多。它可以輕松地查看網(wǎng)絡(luò)信息或網(wǎng)絡(luò)狀態(tài)：[root@RHEL7-1~]#nmcliconnectionshowNAMEUUIDTYPEDEVICEens339d5c53ac-93b5-41bb-af37-4908cce6dc31806-3-ethernet--

RHEL7系統(tǒng)支持網(wǎng)絡(luò)會話功能，允許用戶在多個配置文件中快速切換（非常類似于firewalld防火墻服務(wù)中的區(qū)域技術(shù)）。30[root@RHEL7-1~]#nmcliconnectionaddcon-namecompanyifnameens33autoconnectnotypeethernetip4/24gw4Connection'company'(69bf7a9e-1295-456d-873b-505f0e89eba2)successfullyadded.可以使用nmcli命令并按照“connectionaddcon-nametypeifname”的格式來創(chuàng)建網(wǎng)絡(luò)會話。假設(shè)將公司網(wǎng)絡(luò)中的網(wǎng)絡(luò)會話稱之為company，將家庭網(wǎng)絡(luò)中的網(wǎng)絡(luò)會話稱之為home，依次創(chuàng)建各自的網(wǎng)絡(luò)會話。（1）使用con-name參數(shù)指定公司所使用的網(wǎng)絡(luò)會話名稱company，然后依次用ifname參數(shù)指定本機(jī)的網(wǎng)卡名稱。用autoconnectno參數(shù)設(shè)置該網(wǎng)絡(luò)會話默認(rèn)不被自動激活，以及用ip4及gw4參數(shù)手動指定網(wǎng)絡(luò)的IP地址：31（2）使用con-name參數(shù)指定家庭所使用的網(wǎng)絡(luò)會話名稱home。我們想從外部DHCP服務(wù)器自動獲得IP地址，因此這里不需要進(jìn)行手動指定。[root@RHEL7-1~]#nmcliconnectionaddcon-namehometypeethernetifnameens33Connection'home'(7a9f15fe-2f9c-47c6-a236-fc310e1af2c9)successfullyadded.32（3）在成功創(chuàng)建網(wǎng)絡(luò)會話后，可以使用nmcli命令查看創(chuàng)建的所有網(wǎng)絡(luò)會話：[root@RHEL7-1~]#nmcliconnectionshowNAMEUUIDTYPEDEVICEens339d5c53ac-93b5-41bb-af37-4908cce6dc31806-3-ethernetens33virbr0a3d2d523-5356-4ea9-974d-049fb7fd1c6ebridgevirbr0company70823d95-a119-471b-a495-9f7364e3b452806-3-ethernet--homecc749b8d-31c6-492f-8e7a-81e95eacc733806-3-ethernet--33（4）使用nmcli命令配置過的網(wǎng)絡(luò)會話是永久生效的，這樣當(dāng)我們下班回家后，順手啟用home網(wǎng)絡(luò)會話，網(wǎng)卡就能自動通過DHCP獲取到IP地址了。[root@RHEL7-1~]#nmcliconnectionuphomeConnectionsuccessfullyactivated(D-Busactivepath:/org/freedesktop/NetworkManager/ActiveConnection/6)[root@RHEL7-1~]#ifconfigens33:flags=4163<UP,BROADCAST,RUNNING,MULTICAST>mtu1500inet4netmaskbroadcast55inet6fe80::c70:8b8f:3261:6f18prefixlen64scopeid0x20<link>ether00:0c:29:66:42:8dtxqueuelen1000(Ethernet)RXpackets457bytes41358(40.3KiB)RXerrors0dropped0overruns0frame0TXpackets131bytes17349(16.9KiB)TXerrors0dropped0overruns0carrier0collisions0……34（5）如果大家使用的是虛擬機(jī)，請把虛擬機(jī)系統(tǒng)的網(wǎng)卡（網(wǎng)絡(luò)適配器）切換成橋接模式，如圖6-17所示，然后重啟虛擬機(jī)系統(tǒng)即可。圖6-17設(shè)置虛擬機(jī)網(wǎng)卡的模式35（6）如果回到公司，可以停止home會話，啟動company會話（連接）。[root@RHEL7-1~]#nmcliconnectiondownhomeConnection'home'successfullydeactivated(D-Busactivepath:/org/freedesktop/NetworkManager/ActiveConnection/4)[root@RHEL7-1~]#nmcliconnectionupcompanyConnectionsuccessfullyactivated(D-Busactivepath:/org/freedesktop/NetworkManager/ActiveConnection/6)[root@RHEL7-1~]#ifconfigens33:flags=4163<UP,BROADCAST,RUNNING,MULTICAST>mtu1500inetnetmaskbroadcast55inet6fe80::7ce7:c434:4c95:7ddbprefixlen64scopeid0x20<link>ether00:0c:29:66:42:8dtxqueuelen1000(Ethernet)RXpackets304bytes41920(40.9KiB)RXerrors0dropped0overruns0frame0TXpackets429bytes47058(45.9KiB)TXerrors0dropped0overruns0carrier0collisions0……36（7）如果要刪除會話連接，請執(zhí)行nmcli命令，執(zhí)行“Editaconnection”命令，然后選中要刪除的會話，按“Delete”按鈕即可，如圖6-18所示。圖6-18刪除網(wǎng)絡(luò)會話連接376.3任務(wù)3綁定兩塊網(wǎng)卡

一般來講，生產(chǎn)環(huán)境必須提供7×24小時的網(wǎng)絡(luò)傳輸服務(wù)。借助于網(wǎng)卡綁定技術(shù)，不僅可以提高網(wǎng)絡(luò)傳輸速度，更重要的是，還可以確保在其中一塊網(wǎng)卡出現(xiàn)故障時，依然可以正常提供網(wǎng)絡(luò)服務(wù)。假設(shè)我們對兩塊網(wǎng)卡實施了綁定技術(shù)，這樣在正常工作中它們會共同傳輸數(shù)據(jù)，使得網(wǎng)絡(luò)傳輸?shù)乃俣茸兊酶欤欢壹词褂幸粔K網(wǎng)卡突然出現(xiàn)了故障，另外一塊網(wǎng)卡便會立即自動頂替上去，保證數(shù)據(jù)傳輸不會中斷。14．綁定兩塊網(wǎng)卡386.4任務(wù)4

配置遠(yuǎn)程控制任務(wù)1.配置sshd服務(wù)

SSH（Secureshell）是一種能夠以安全的方式提供遠(yuǎn)程登錄的協(xié)議，也是目前遠(yuǎn)程管理Linux系統(tǒng)的首選方式。

想要使用SSH協(xié)議來遠(yuǎn)程管理Linux系統(tǒng)，則需要部署配置sshd服務(wù)程序。sshd是基于SSH協(xié)議開發(fā)的一款遠(yuǎn)程管理服務(wù)程序，不僅使用起來方便快捷，而且能夠提供了以下兩種安全驗證的方法?；诳诹畹尿炞C—用賬戶和密碼來驗證登錄?；诿荑€的驗證—需要在本地生成密鑰對，然后把密鑰對中的公鑰上傳至服務(wù)器，并與服務(wù)器中的公鑰進(jìn)行比較；該方式相較來說更安全。39參

數(shù)作

用Port22默認(rèn)的sshd服務(wù)端口ListenAddress設(shè)定sshd服務(wù)器監(jiān)聽的IP地址Protocol2SSH協(xié)議的版本號HostKey/etc/ssh/ssh_host_keySSH協(xié)議版本為1時，DES私鑰存放的位置HostKey/etc/ssh/ssh_host_rsa_keySSH協(xié)議版本為2時，RSA私鑰存放的位置HostKey/etc/ssh/ssh_host_dsa_keySSH協(xié)議版本為2時，DSA私鑰存放的位置PermitRootLoginyes設(shè)定是否允許root管理員直接登錄StrictModesyes當(dāng)遠(yuǎn)程用戶的私鑰改變時直接拒絕連接MaxAuthTries6最大密碼嘗試次數(shù)MaxSessions10最大終端數(shù)PasswordAuthenticationyes是否允許密碼驗證PermitEmptyPasswordsno是否允許空密碼登錄（很不安全）sshd服務(wù)配置文件中包含的重要參數(shù)如表6-1所示?，F(xiàn)有計算機(jī)的情況如下。計算機(jī)名為RHEL7-1，角色為RHEL7服務(wù)器，IP為/24。計算機(jī)名為RHEL7-2，角色為RHEL7客戶機(jī)，IP為0/24。需特別注意兩臺虛擬機(jī)的網(wǎng)絡(luò)配置方式一定要一致，本例中都改為：橋接模式。40[root@RHEL7-2~]#sshTheauthenticityofhost'()'can'tbeestablished.ECDSAkeyfingerprintisSHA256:f7b2rHzLTyuvW4WHLjl3SRMIwkiUN+cN9y1yDb9wUbM.ECDSAkeyfingerprintisMD5:d1:69:a4:4f:a3:68:7c:f1:bd:4c:a8:b3:84:5c:50:19.Areyousureyouwanttocontinueconnecting(yes/no)?yesWarning:Permanentlyadded''(ECDSA)tothelistofknownhosts.root@'spassword:此處輸入遠(yuǎn)程主機(jī)root管理員的密碼Lastlogin:WedMay3005:36:532018from192.168.10.[root@RHEL7-1~]#[root@RHEL7-1~]#exitlogoutConnectiontoclosed.在RHEL7系統(tǒng)中，已經(jīng)默認(rèn)安裝并啟用了sshd服務(wù)程序。接下來使用ssh命令在RHEL7-2上遠(yuǎn)程連接RHEL7-1，其格式為“ssh[參數(shù)]主機(jī)IP地址”。要退出登錄則執(zhí)行exit命令。在RHEL7-2上操作。41如果禁止以root管理員的身份遠(yuǎn)程登錄到服務(wù)器，則可以大大降低被黑客暴力破解密碼的概率。下面進(jìn)行相應(yīng)配置。（1）在RHEL7-1SSH服務(wù)器上。首先使用vim文本編輯器打開sshd服務(wù)的主配置文件，然后把第38行#PermitRootLoginyes參數(shù)前的井號（#）去掉，并把參數(shù)值yes改成no，這樣就不再允許root管理員遠(yuǎn)程登錄了。記得最后保存文件并退出。[root@RHEL7-1~]#vim/etc/ssh/sshd_config……3637#LoginGraceTime2m38PermitRootLoginno39#StrictModesyes

……42（2）一般的服務(wù)程序并不會在配置文件修改之后立即獲得最新的參數(shù)。如果想讓新配置文件生效，則需要手動重啟相應(yīng)的服務(wù)程序。最好也將這個服務(wù)程序加入到開機(jī)啟動項中，這樣系統(tǒng)在下一次啟動時，該服務(wù)程序便會自動運(yùn)行，繼續(xù)為用戶提供服務(wù)。[root@RHEL7-1

~]#

systemctl

restart

sshd[root@RHEL7-1

~]#

systemctl

enable

sshd（3）當(dāng)root管理員再來嘗試訪問sshd服務(wù)程序時，系統(tǒng)會提示不可訪問的錯誤信息。仍然在RHEL7-2上測試。[root@RHEL7-2

~]#

ssh

root@0's

password:此處輸入遠(yuǎn)程主機(jī)root管理員的密碼Permission

denied,

please

try

again.注意：為了不影響下面的實訓(xùn)，請將/etc/ssh/sshd_config配置文件的更改恢復(fù)到初始狀態(tài)。

436.4.2安全密鑰驗證

加密是對信息進(jìn)行編碼和解碼的技術(shù)，在傳輸數(shù)據(jù)時，如果擔(dān)心被他人監(jiān)聽或截獲，就可以在傳輸前先使用公鑰對數(shù)據(jù)加密處理，然后再行傳送。這樣，只有掌握私鑰的用戶才能解密這段數(shù)據(jù)，除此之外的其他人即便截獲了數(shù)據(jù)，一般也很難將其破譯為明文信息。

在生產(chǎn)環(huán)境中使用密碼進(jìn)行口令驗證存在著被暴力破解或嗅探截獲的風(fēng)險。如果正確配置了密鑰驗證方式，那么sshd服務(wù)程序?qū)⒏影踩Ｏ旅媸褂妹荑€驗證方式，以用戶student身份登錄SSH服務(wù)器，具體配置如下。[root@RHEL7-1~]#useraddstudent[root@RHEL7-1~]#passwdstudent44（2）在客戶端主機(jī)RHEL7-2中生成“密鑰對”。查看公鑰id_rsa.pub和私鑰id_rsa。[root@RHEL7-2~]#ssh-keygenGeneratingpublic/privatersakeypair.Enterfileinwhichtosavethekey(/root/.ssh/id_rsa)://按回車鍵或設(shè)置密鑰的存儲路徑Enterpassphrase(emptyfornopassphrase)://直接按回車鍵或設(shè)置密鑰的密碼Entersamepassphraseagain://再次按回車鍵或設(shè)置密鑰的密碼Youridentificationhasbeensavedin/root/.ssh/id_rsa.Yourpublickeyhasbeensavedin/root/.ssh/id_rsa.pub.Thekeyfingerprintis:SHA256:jSb1Z223Gp2j9HlDNMvXKwptRXR5A8vMnjCtCYPCTHsroot@RHEL7-1Thekey'srandomartimageis:+---[RSA2048]----+|.o...||+..*oo.||=E.ooBo||o.+oB..o||.Sooo+==||o.o...==||.oo.=o||o..=o+||..o.oo|+----[SHA256]-----+[root@RHEL7-2~]#cat/root/.ssh/id_rsa.pubssh-rsaAAAAB3NzaC1yc2EAAAADAQABAAABAQCurhcVb9GHKP4taKQMuJRdLLKTAVnC4f9Y9H2Or4rLx3YCqsBVYUUn4gSzi8LAcKPcPdBZ817Y4a2OuOVmNW+hpTR9vfwwuGOiU1Fu4Sf5/14qgkd5EreUjE/KIPlZVNX904blbIJ90yu6J3CVz6opAdzdrxckstWrMSlp68SIhi517OVqQxzA+2G7uCkplh3pbtLCKlz6ck6x0zXd7MBgR9S7nwm1DjHl5NWQ+542Z++MA8QJ9CpXyHDA54oEVrQoLitdWEYItcJIEqowIHM99L86vSCtKzhfD4VWvfLnMiO1UtostQfpLazjXoU/XVp1fkfYtc7FFl+uSAxIO1nJroot@RHEL7-2[root@RHEL7-2~]#cat/root/.ssh/id_rsa45（3）把客戶端主機(jī)RHEL7-2中生成的公鑰文件傳送至遠(yuǎn)程主機(jī)：[root@RHEL7-2

~]#

ssh-copy-id

student@/usr/bin/ssh-copy-id:INFO:attemptingtologinwiththenewkey(s),tofilteroutanythatarealreadyinstalled/usr/bin/ssh-copy-id:INFO:1key(s)remaintobeinstalled--ifyouareprom