項目6 配置網(wǎng)絡和使用ssh服務

Linux網(wǎng)絡操作系統(tǒng)項目教程

（RHEL7.4/CentOS7.4）（第3版）人民郵電出版社|

楊云主編項目6

配置網(wǎng)絡和使用ssh服務2項目導入掌握常見網(wǎng)絡服務的配置方法。掌握遠程控制服務。掌握不間斷會話服務。職業(yè)能力目標和要求

作為Linux系統(tǒng)的網(wǎng)絡管理員，學習Linux服務器的網(wǎng)絡配置是至關重要的，同時管理遠程主機也是管理員必須熟練掌握的。這些是后續(xù)網(wǎng)絡服務配置的基礎，必須要學好。

本項目講解了如何使用nmtui命令配置網(wǎng)絡參數(shù)，以及通過nmcli命令查看網(wǎng)絡信息并管理網(wǎng)絡會話服務，從而讓您能夠在不同工作場景中快速地切換網(wǎng)絡運行參數(shù)的方法；還講解了如何手工綁定mode6模式雙網(wǎng)卡，實現(xiàn)網(wǎng)絡的負載均衡的方法。本項目還深入介紹了SSH協(xié)議與sshd服務程序的理論知識、Linux系統(tǒng)的遠程管理方法以及在系統(tǒng)中配置服務程序的方法。項目6

配置網(wǎng)絡和使用ssh服務36.1配置網(wǎng)絡服務6.2創(chuàng)建網(wǎng)絡會話實例6.3綁定兩塊網(wǎng)卡6.4配置遠程控制服務6.5項目實錄46.1任務1配置網(wǎng)絡服務

Linux主機要與網(wǎng)絡中其他主機進行通信，首先要進行正確的網(wǎng)絡配置。網(wǎng)絡配置通常包括主機名、IP地址、子網(wǎng)掩碼、默認網(wǎng)關、DNS服務器等。6.1.1檢查并設置有線處于連接狀態(tài)單擊桌面右上角的“啟動”按鈕，單擊“Connect”按鈕，設置有線處于連接狀態(tài)，如圖6-1所示。圖6-1設置有線處于連接狀態(tài)設置完成后，右上角將出現(xiàn)有線連接的小圖標，如圖6-2所示。圖6-2有線處于連接狀態(tài)特別提示：必須首先使有線處于連接狀態(tài)，這是一切配置的基礎，切記。56.1.2設置主機名RHEL7有以下3種形式的主機名。靜態(tài)的（static）：“靜態(tài)”主機名也稱為內(nèi)核主機名，是系統(tǒng)在啟動時從/etc/hostname自動初始化的主機名。瞬態(tài)的（transient）：“瞬態(tài)”主機名是在系統(tǒng)運行時臨時分配的主機名，由內(nèi)核管理。例如，通過DHCP或DNS服務器分配的localhost就是這種形式的主機名。靈活的（pretty）：“靈活”主機名是UTF8格式的自由主機名，以展示給終端用戶。與之前版本不同，RHEL7中的主機名配置文件為/etc/hostname，可以在配置文件中直接更改主機名。61．使用nmtui修改主機名[root@RHEL7-1~]#nmtui圖6-3配置hostname圖6-4修改主機名為RHEL7-1在圖6-3、圖6-4所示的界面中進行配置。

使用NetworkManager的nmtui接口修改了靜態(tài)主機名后（/etc/hostname文件），不會通知hostnamectl。要想強制讓hostnamectl知道靜態(tài)主機名已經(jīng)被修改，需要重啟hostnamed服務。[root@RHEL7-1~]#systemctlrestartsystemd-hostnamed72．使用hostnamectl修改主機名（1）查看主機名[root@RHEL7-1~]#hostnamectlstatusStatichostname:RHEL7-1Prettyhostname:RHEL7-1

……（2）設置新的主機名[root@RHEL7-1~]#hostnamectlset-hostname（3）查看主機名[root@RHEL7-1~]#hostnamectlstatusStatichostname:

……83．使用NetworkManager的命令行接口nmcli修改主機名nmcli可以修改/etc/hostname中的靜態(tài)主機名。//查看主機名[root@RHEL7-1~]#nmcligeneralhostname//設置新主機名[root@RHEL7-1~]#nmcligeneralhostnameRHEL7-1[root@RHEL7-1~]#nmcligeneralhostnameRHEL7-1//重啟hostnamed服務讓hostnamectl知道靜態(tài)主機名已經(jīng)被修改[root@RHEL7-1~]#systemctlrestartsystemd-hostnamed96.1.3使用系統(tǒng)菜單配置網(wǎng)絡在Linux系統(tǒng)上配置服務之前，必須先保證主機之間能夠順暢地通信。可以單擊桌面右上角的網(wǎng)絡連接圖標，打開網(wǎng)絡配置界面，一步步完成網(wǎng)絡信息查詢和網(wǎng)絡配置。具體過程如圖6-5～圖6-8所示。圖6-5單擊有線連接設置（WiredSettings）

圖6-6網(wǎng)絡配置：ON激活連接、單擊齒輪進行配置

圖6-7配置有線連接10

設置完成后，單擊“Apply”按鈕應用配置回到圖6-9所示的界面。注意網(wǎng)絡連接應該設置在“ON”狀態(tài)，如果在“OFF”狀態(tài)，請進行修改。注意，有時需要重啟系統(tǒng)配置才能生效。圖6-9網(wǎng)絡配置界面建議：首選使用系統(tǒng)菜單配置網(wǎng)絡。因為從RHEL7開始，圖形界面已經(jīng)非常完善，所以在Linux系統(tǒng)桌面，依次單擊“Applications”→“SystemTools”→“Settings”→“Network”同樣可以打開網(wǎng)絡配置界面。圖6-8配置IPv4等信息116.1.4通過網(wǎng)卡配置文件配置網(wǎng)絡在RHEL7中，網(wǎng)卡配置文件的前綴則以ifcfg開始，如ifcfg-ens33。名稱為ifcfg-ens33的網(wǎng)卡設備，將其配置為開機自啟動，并且IP地址、子網(wǎng)、網(wǎng)關等信息由人工指定，其步驟如下。（1）切換到/etc/sysconfig/network-scripts目錄中（存放著網(wǎng)卡的配置文件）。（2）使用vim編輯器修改網(wǎng)卡文件ifcfg-ens33，逐項寫入下面的配置參數(shù)并保存退出。由于每臺設備的硬件及架構是不一樣的，所以請讀者使用ifconfig命令自行確認各自網(wǎng)卡的默認名稱。設備類型：TYPE=Ethernet。地址分配模式：BOOTPROTO=static。網(wǎng)卡名稱：NAME=ens33。是否啟動：ONBOOT=yes。IP地址：IPADDR=。子網(wǎng)掩碼：NETMASK=。網(wǎng)關地址：GATEWAY=。DNS地址：DNS1=。12（3）重啟網(wǎng)絡服務并測試網(wǎng)絡是否聯(lián)通。進入到網(wǎng)卡配置文件所在的目錄，然后編輯網(wǎng)卡配置文件，在其中填入下面的信息：[root@RHEL7-1~]#cd/etc/sysconfig/network-scripts/[root@RHEL7-1network-scripts]#vimifcfg-ens33TYPE=EthernetPROXY_METHOD=noneBROWSER_ONLY=noBOOTPROTO=staticNAME=ens33UUID=9d5c53ac-93b5-41bb-af37-4908cce6dc31DEVICE=ens33ONBOOT=yesIPADDR=NETMASK=GATEWAY=DNS1=13

執(zhí)行重啟網(wǎng)卡設備的命令（在正常情況下不會有提示信息），然后通過ping命令測試網(wǎng)絡能否聯(lián)通。由于在Linux系統(tǒng)中ping命令不會自動終止，所以需要手動按下“Ctrl+C”組合鍵來強行結束進程。注意：使用配置文件進行網(wǎng)絡配置，需要啟動network服務，而從RHEL7以后，network服務已被NetworkManager服務替代，所以不建議使用配置文件配置網(wǎng)絡參數(shù)。[root@RHEL7-1network-scripts]#systemctlrestartnetwork[root@RHEL7-1network-scripts]#pingPING()56(84)bytesofdata.64bytesfrom:icmp_seq=1ttl=64time=0.095ms64bytesfrom:icmp_seq=2ttl=64time=0.048ms……146.1.5使用圖形界面配置網(wǎng)絡（1）上節(jié)我們使用網(wǎng)絡配置文件配置網(wǎng)絡服務，本節(jié)我們使用nmtui命令來配置網(wǎng)絡。[root@RHEL7-1

network-scripts]#

nmtui（2）顯示圖6-10所示的圖形配置界面。（3）配置過程如圖6-11、圖6-12所示。圖6-10選中“Editaconnection”

并按下“Enter鍵”圖6-11選中要編輯的網(wǎng)卡名稱，

然后按下“Edit”（編輯）按鈕圖6-12把網(wǎng)絡IPv4的配置方式改成Manual（手動）注意：本書中所有的服務器主機IP地址均為，而客戶端主機一般設為0及0。之所以這樣做，就是為了后面服務器配置的方便。15（4）按下“Show”（顯示）按鈕，顯示信息配置框，如圖6-13所示。在服務器主機的網(wǎng)絡配置信息中填寫IP地址/24等信息，單擊“OK”按鈕，如圖6-14所示。圖6-13填寫IP地址圖6-14單擊“OK”按鈕保存配置16（5）按“<back>”按鈕回到nmtui圖形界面初始狀態(tài)，選中“Activateaconnection”選項，激活剛才的連接“ens33”。前面有“*”號表示激活，如圖6-15、圖6-16所示。圖6-15選擇“Activateaconnection”選項圖6-16激活（Activate）連接或使連接失效（Deactivate）17（6）至此，在Linux系統(tǒng)中配置網(wǎng)絡的步驟就結束了。[root@RHEL7-1~]#ifconfigens33:flags=4163<UP,BROADCAST,RUNNING,MULTICAST>mtu1500inetnetmaskbroadcast55inet6fe80::c0ae:d7f4:8f5:e135prefixlen64scopeid0x20<link>ether00:0c:29:66:42:8dtxqueuelen1000(Ethernet)RXpackets151bytes16024(15.6KiB)RXerrors0dropped0overruns0frame0TXpackets186bytes18291(17.8KiB)TXerrors0dropped0overruns0carrier0collisions0……186.1.6使用nmcli命令配置網(wǎng)絡NetworkManager是管理和監(jiān)控網(wǎng)絡設置的守護進程，設備即網(wǎng)絡接口，連接是對網(wǎng)絡接口的配置。一個網(wǎng)絡接口可以有多個連接配置，但同時只有一個連接配置生效。1．常用命令

nmcliconnectionshow：顯示所有連接。nmcliconnectionshow--active：顯示所有活動的連接狀態(tài)。nmcliconnectionshow"ens33"：顯示網(wǎng)絡連接配置。nmclidevicestatus：顯示設備狀態(tài)。nmclideviceshowens33：顯示網(wǎng)絡接口屬性。nmcliconnectionaddhelp：查看幫助。nmcliconnectionreload：重新加載配置。nmcliconnectiondowntest2：禁用test2的配置，注意一個網(wǎng)卡可以有多個配置。nmcliconnectionuptest2：啟用test2的配置。nmclidevicedisconnectens33：禁用ens33網(wǎng)卡，物理網(wǎng)卡。nmclideviceconnectens33：啟用ens33網(wǎng)卡。192．創(chuàng)建新連接配置（1）創(chuàng)建新連接配置default，IP通過DHCP自動獲取[root@RHEL7-1~]#nmcliconnectionshowNAMEUUIDTYPEDEVICEens339d5c53ac-93b5-41bb-af37-4908cce6dc31806-3-ethernetens33virbr0f30a1db5-d30b-47e6-a8b1-b57c614385aabridgevirbr0[root@RHEL7-1~]#nmcliconnectionaddcon-namedefaulttypeEthernetifnameens33Connection'default'(ffe127b6-ece7-40ed-b649-7082e86c0775)successfullyadded.202．創(chuàng)建新連接配置（2）刪除連接

[root@RHEL7-1~]#nmcliconnectiondeletedefaultConnection'default'(ffe127b6-ece7-40ed-b649-7082e86c0775)successfullydeleted.21（3）創(chuàng)建新的連接配置test2，指定靜態(tài)IP，不自動連接[root@RHEL7-1~]#nmcliconnectionaddcon-nametest2ipv4.methodmanualifnameens33autoconnectnotypeEthernetipv4.addresses00/24gw4Connection'test2'(7b0ae806-1bb7-41a3-92ad-5a1587eb367f)successfullyadded.（4）參數(shù)說明con-name：指定連接名字，沒有特殊要求。ipv4.methmod：指定獲取IP地址的方式。ifname：指定網(wǎng)卡設備名，也就是次配置所生效的網(wǎng)卡。autoconnect：指定是否自動啟動。ipv4.addresses：指定IPv4地址。gw4：指定網(wǎng)關。223．查看/etc/sysconfig/network-scripts/目錄[root@RHEL7-1~]#ls/etc/sysconfig/network-scripts/ifcfg-*/etc/sysconfig/network-scripts/ifcfg-ens33/etc/sysconfig/network-scripts/ifcfg-test2/etc/sysconfig/network-scripts/ifcfg-lo多出一個文件/etc/sysconfig/network-scripts/ifcfg-test2，說明添加確實生效了。234．啟用test2連接配置[root@RHEL7-1~]#nmcliconnectionuptest2Connectionsuccessfullyactivated(D-Busactivepath:/org/freedesktop/NetworkManager/ActiveConnection/6)[root@RHEL7-1~]#nmcliconnectionshowNAMEUUIDTYPEDEVICEtest27b0ae806-1bb7-41a3-92ad-5a1587eb367f806-3-ethernetens33virbr0f30a1db5-d30b-47e6-a8b1-b57c614385aabridgevirbr0ens339d5c53ac-93b5-41bb-af37-4908cce6dc31806-3-ethernet--245．查看是否生效[root@RHEL7-1~]#nmclideviceshowens33GENERAL.DEVICE:ens33……基本的IP地址配置成功。256．修改連接設置（1）修改test2為自動啟動[root@RHEL7-1~]#nmcliconnectionmodifytest2connection.autoconnectyes（2）修改DNS為

[root@RHEL7-1~]#nmcliconnectionmodifytest2ipv4.dns（3）添加DNS14[root@RHEL7-1~]#nmcliconnectionmodifytest2+ipv4.dns1426（4）看下是否成功[root@RHEL7-1~]#cat/etc/sysconfig/network-scripts/ifcfg-test2TYPE=EthernetPROXY_METHOD=noneBROWSER_ONLY=noBOOTPROTO=noneIPADDR=00PREFIX=24GATEWAY=DEFROUTE=yesIPV4_FAILURE_FATAL=noIPV6INIT=yesIPV6_AUTOCONF=yesIPV6_DEFROUTE=yesIPV6_FAILURE_FATAL=noIPV6_ADDR_GEN_MODE=stable-privacyNAME=test2UUID=7b0ae806-1bb7-41a3-92ad-5a1587eb367fDEVICE=ens33ONBOOT=yesDNS1=DNS2=1427（5）刪除DNS[root@RHEL7-1~]#nmcliconnectionmodifytest2-ipv4.dns（6）修改IP地址和默認網(wǎng)關[root@RHEL7-1~]#nmcliconnectionmodifytest2ipv4.addresses00/24gw454

（7）還可以添加多個IP[root@RHEL7-1~]#nmcliconnectionmodifytest2+ipv4.addresses50/24[root@RHEL7-1~]#nmcliconnectionshow"test2"[root@RHEL7-1~]#nmcliconnectionmodifytest2-ipv4.dns14287．nmcli命令和/etc/sysconfig/network-scripts/ifcfg-*文件的對應關系nmcli命令/etc/sysconfig/network-scripts/ifcfg-*文件ipv4.methodmanualBOOTPROTO=noneipv4.methodautoBOOTPROTO=dhcpipv4.addresses/24IPADDR=PREFIX=24gw454GATEWAY=54ipv4.dnsDNS0=ipv4.dns-searchDOMAIN=ipv4.ignore-auto-dnstruePEERDNS=noconnection.autoconnectyesONBOOT=yesconnection.ideth0NAME=eth0erface-nameeth0DEVICE=eth0806-3-ethernet.mac-address...HWADDR=...296.2創(chuàng)建網(wǎng)絡會話實例

RHEL和CentOS系統(tǒng)默認使用NetworkManager來提供網(wǎng)絡服務，這是一種動態(tài)管理網(wǎng)絡配置的守護進程，能夠讓網(wǎng)絡設備保持連接狀態(tài)。

nmcli是一款基于命令行的網(wǎng)絡配置工具，功能豐富，參數(shù)眾多。它可以輕松地查看網(wǎng)絡信息或網(wǎng)絡狀態(tài)：[root@RHEL7-1~]#nmcliconnectionshowNAMEUUIDTYPEDEVICEens339d5c53ac-93b5-41bb-af37-4908cce6dc31806-3-ethernet--

RHEL7系統(tǒng)支持網(wǎng)絡會話功能，允許用戶在多個配置文件中快速切換（非常類似于firewalld防火墻服務中的區(qū)域技術）。30[root@RHEL7-1~]#nmcliconnectionaddcon-namecompanyifnameens33autoconnectnotypeethernetip4/24gw4Connection'company'(69bf7a9e-1295-456d-873b-505f0e89eba2)successfullyadded.可以使用nmcli命令并按照“connectionaddcon-nametypeifname”的格式來創(chuàng)建網(wǎng)絡會話。假設將公司網(wǎng)絡中的網(wǎng)絡會話稱之為company，將家庭網(wǎng)絡中的網(wǎng)絡會話稱之為home，依次創(chuàng)建各自的網(wǎng)絡會話。（1）使用con-name參數(shù)指定公司所使用的網(wǎng)絡會話名稱company，然后依次用ifname參數(shù)指定本機的網(wǎng)卡名稱。用autoconnectno參數(shù)設置該網(wǎng)絡會話默認不被自動激活，以及用ip4及gw4參數(shù)手動指定網(wǎng)絡的IP地址：31（2）使用con-name參數(shù)指定家庭所使用的網(wǎng)絡會話名稱home。我們想從外部DHCP服務器自動獲得IP地址，因此這里不需要進行手動指定。[root@RHEL7-1~]#nmcliconnectionaddcon-namehometypeethernetifnameens33Connection'home'(7a9f15fe-2f9c-47c6-a236-fc310e1af2c9)successfullyadded.32（3）在成功創(chuàng)建網(wǎng)絡會話后，可以使用nmcli命令查看創(chuàng)建的所有網(wǎng)絡會話：[root@RHEL7-1~]#nmcliconnectionshowNAMEUUIDTYPEDEVICEens339d5c53ac-93b5-41bb-af37-4908cce6dc31806-3-ethernetens33virbr0a3d2d523-5356-4ea9-974d-049fb7fd1c6ebridgevirbr0company70823d95-a119-471b-a495-9f7364e3b452806-3-ethernet--homecc749b8d-31c6-492f-8e7a-81e95eacc733806-3-ethernet--33（4）使用nmcli命令配置過的網(wǎng)絡會話是永久生效的，這樣當我們下班回家后，順手啟用home網(wǎng)絡會話，網(wǎng)卡就能自動通過DHCP獲取到IP地址了。[root@RHEL7-1~]#nmcliconnectionuphomeConnectionsuccessfullyactivated(D-Busactivepath:/org/freedesktop/NetworkManager/ActiveConnection/6)[root@RHEL7-1~]#ifconfigens33:flags=4163<UP,BROADCAST,RUNNING,MULTICAST>mtu1500inet4netmaskbroadcast55inet6fe80::c70:8b8f:3261:6f18prefixlen64scopeid0x20<link>ether00:0c:29:66:42:8dtxqueuelen1000(Ethernet)RXpackets457bytes41358(40.3KiB)RXerrors0dropped0overruns0frame0TXpackets131bytes17349(16.9KiB)TXerrors0dropped0overruns0carrier0collisions0……34（5）如果大家使用的是虛擬機，請把虛擬機系統(tǒng)的網(wǎng)卡（網(wǎng)絡適配器）切換成橋接模式，如圖6-17所示，然后重啟虛擬機系統(tǒng)即可。圖6-17設置虛擬機網(wǎng)卡的模式35（6）如果回到公司，可以停止home會話，啟動company會話（連接）。[root@RHEL7-1~]#nmcliconnectiondownhomeConnection'home'successfullydeactivated(D-Busactivepath:/org/freedesktop/NetworkManager/ActiveConnection/4)[root@RHEL7-1~]#nmcliconnectionupcompanyConnectionsuccessfullyactivated(D-Busactivepath:/org/freedesktop/NetworkManager/ActiveConnection/6)[root@RHEL7-1~]#ifconfigens33:flags=4163<UP,BROADCAST,RUNNING,MULTICAST>mtu1500inetnetmaskbroadcast55inet6fe80::7ce7:c434:4c95:7ddbprefixlen64scopeid0x20<link>ether00:0c:29:66:42:8dtxqueuelen1000(Ethernet)RXpackets304bytes41920(40.9KiB)RXerrors0dropped0overruns0frame0TXpackets429bytes47058(45.9KiB)TXerrors0dropped0overruns0carrier0collisions0……36（7）如果要刪除會話連接，請執(zhí)行nmcli命令，執(zhí)行“Editaconnection”命令，然后選中要刪除的會話，按“Delete”按鈕即可，如圖6-18所示。圖6-18刪除網(wǎng)絡會話連接376.3任務3綁定兩塊網(wǎng)卡

一般來講，生產(chǎn)環(huán)境必須提供7×24小時的網(wǎng)絡傳輸服務。借助于網(wǎng)卡綁定技術，不僅可以提高網(wǎng)絡傳輸速度，更重要的是，還可以確保在其中一塊網(wǎng)卡出現(xiàn)故障時，依然可以正常提供網(wǎng)絡服務。假設我們對兩塊網(wǎng)卡實施了綁定技術，這樣在正常工作中它們會共同傳輸數(shù)據(jù)，使得網(wǎng)絡傳輸?shù)乃俣茸兊酶?；而且即使有一塊網(wǎng)卡突然出現(xiàn)了故障，另外一塊網(wǎng)卡便會立即自動頂替上去，保證數(shù)據(jù)傳輸不會中斷。14．綁定兩塊網(wǎng)卡386.4任務4

配置遠程控制任務1.配置sshd服務

SSH（Secureshell）是一種能夠以安全的方式提供遠程登錄的協(xié)議，也是目前遠程管理Linux系統(tǒng)的首選方式。

想要使用SSH協(xié)議來遠程管理Linux系統(tǒng)，則需要部署配置sshd服務程序。sshd是基于SSH協(xié)議開發(fā)的一款遠程管理服務程序，不僅使用起來方便快捷，而且能夠提供了以下兩種安全驗證的方法?；诳诹畹尿炞C—用賬戶和密碼來驗證登錄?；诿荑€的驗證—需要在本地生成密鑰對，然后把密鑰對中的公鑰上傳至服務器，并與服務器中的公鑰進行比較；該方式相較來說更安全。39參

數(shù)作

用Port22默認的sshd服務端口ListenAddress設定sshd服務器監(jiān)聽的IP地址Protocol2SSH協(xié)議的版本號HostKey/etc/ssh/ssh_host_keySSH協(xié)議版本為1時，DES私鑰存放的位置HostKey/etc/ssh/ssh_host_rsa_keySSH協(xié)議版本為2時，RSA私鑰存放的位置HostKey/etc/ssh/ssh_host_dsa_keySSH協(xié)議版本為2時，DSA私鑰存放的位置PermitRootLoginyes設定是否允許root管理員直接登錄StrictModesyes當遠程用戶的私鑰改變時直接拒絕連接MaxAuthTries6最大密碼嘗試次數(shù)MaxSessions10最大終端數(shù)PasswordAuthenticationyes是否允許密碼驗證PermitEmptyPasswordsno是否允許空密碼登錄（很不安全）sshd服務配置文件中包含的重要參數(shù)如表6-1所示?，F(xiàn)有計算機的情況如下。計算機名為RHEL7-1，角色為RHEL7服務器，IP為/24。計算機名為RHEL7-2，角色為RHEL7客戶機，IP為0/24。需特別注意兩臺虛擬機的網(wǎng)絡配置方式一定要一致，本例中都改為：橋接模式。40[root@RHEL7-2~]#sshTheauthenticityofhost'()'can'tbeestablished.ECDSAkeyfingerprintisSHA256:f7b2rHzLTyuvW4WHLjl3SRMIwkiUN+cN9y1yDb9wUbM.ECDSAkeyfingerprintisMD5:d1:69:a4:4f:a3:68:7c:f1:bd:4c:a8:b3:84:5c:50:19.Areyousureyouwanttocontinueconnecting(yes/no)?yesWarning:Permanentlyadded''(ECDSA)tothelistofknownhosts.root@'spassword:此處輸入遠程主機root管理員的密碼Lastlogin:WedMay3005:36:532018from192.168.10.[root@RHEL7-1~]#[root@RHEL7-1~]#exitlogoutConnectiontoclosed.在RHEL7系統(tǒng)中，已經(jīng)默認安裝并啟用了sshd服務程序。接下來使用ssh命令在RHEL7-2上遠程連接RHEL7-1，其格式為“ssh[參數(shù)]主機IP地址”。要退出登錄則執(zhí)行exit命令。在RHEL7-2上操作。41如果禁止以root管理員的身份遠程登錄到服務器，則可以大大降低被黑客暴力破解密碼的概率。下面進行相應配置。（1）在RHEL7-1SSH服務器上。首先使用vim文本編輯器打開sshd服務的主配置文件，然后把第38行#PermitRootLoginyes參數(shù)前的井號（#）去掉，并把參數(shù)值yes改成no，這樣就不再允許root管理員遠程登錄了。記得最后保存文件并退出。[root@RHEL7-1~]#vim/etc/ssh/sshd_config……3637#LoginGraceTime2m38PermitRootLoginno39#StrictModesyes

……42（2）一般的服務程序并不會在配置文件修改之后立即獲得最新的參數(shù)。如果想讓新配置文件生效，則需要手動重啟相應的服務程序。最好也將這個服務程序加入到開機啟動項中，這樣系統(tǒng)在下一次啟動時，該服務程序便會自動運行，繼續(xù)為用戶提供服務。[root@RHEL7-1

~]#

systemctl

restart

sshd[root@RHEL7-1

~]#

systemctl

enable

sshd（3）當root管理員再來嘗試訪問sshd服務程序時，系統(tǒng)會提示不可訪問的錯誤信息。仍然在RHEL7-2上測試。[root@RHEL7-2

~]#

ssh

root@0's

password:此處輸入遠程主機root管理員的密碼Permission

denied,

please

try

again.注意：為了不影響下面的實訓，請將/etc/ssh/sshd_config配置文件的更改恢復到初始狀態(tài)。

436.4.2安全密鑰驗證

加密是對信息進行編碼和解碼的技術，在傳輸數(shù)據(jù)時，如果擔心被他人監(jiān)聽或截獲，就可以在傳輸前先使用公鑰對數(shù)據(jù)加密處理，然后再行傳送。這樣，只有掌握私鑰的用戶才能解密這段數(shù)據(jù)，除此之外的其他人即便截獲了數(shù)據(jù)，一般也很難將其破譯為明文信息。

在生產(chǎn)環(huán)境中使用密碼進行口令驗證存在著被暴力破解或嗅探截獲的風險。如果正確配置了密鑰驗證方式，那么sshd服務程序?qū)⒏影踩Ｏ旅媸褂妹荑€驗證方式，以用戶student身份登錄SSH服務器，具體配置如下。[root@RHEL7-1~]#useraddstudent[root@RHEL7-1~]#passwdstudent44（2）在客戶端主機RHEL7-2中生成“密鑰對”。查看公鑰id_rsa.pub和私鑰id_rsa。[root@RHEL7-2~]#ssh-keygenGeneratingpublic/privatersakeypair.Enterfileinwhichtosavethekey(/root/.ssh/id_rsa)://按回車鍵或設置密鑰的存儲路徑Enterpassphrase(emptyfornopassphrase)://直接按回車鍵或設置密鑰的密碼Entersamepassphraseagain://再次按回車鍵或設置密鑰的密碼Youridentificationhasbeensavedin/root/.ssh/id_rsa.Yourpublickeyhasbeensavedin/root/.ssh/id_rsa.pub.Thekeyfingerprintis:SHA256:jSb1Z223Gp2j9HlDNMvXKwptRXR5A8vMnjCtCYPCTHsroot@RHEL7-1Thekey'srandomartimageis:+---[RSA2048]----+|.o...||+..*oo.||=E.ooBo||o.+oB..o||.Sooo+==||o.o...==||.oo.=o||o..=o+||..o.oo|+----[SHA256]-----+[root@RHEL7-2~]#cat/root/.ssh/id_rsa.pubssh-rsaAAAAB3NzaC1yc2EAAAADAQABAAABAQCurhcVb9GHKP4taKQMuJRdLLKTAVnC4f9Y9H2Or4rLx3YCqsBVYUUn4gSzi8LAcKPcPdBZ817Y4a2OuOVmNW+hpTR9vfwwuGOiU1Fu4Sf5/14qgkd5EreUjE/KIPlZVNX904blbIJ90yu6J3CVz6opAdzdrxckstWrMSlp68SIhi517OVqQxzA+2G7uCkplh3pbtLCKlz6ck6x0zXd7MBgR9S7nwm1DjHl5NWQ+542Z++MA8QJ9CpXyHDA54oEVrQoLitdWEYItcJIEqowIHM99L86vSCtKzhfD4VWvfLnMiO1UtostQfpLazjXoU/XVp1fkfYtc7FFl+uSAxIO1nJroot@RHEL7-2[root@RHEL7-2~]#cat/root/.ssh/id_rsa45（3）把客戶端主機RHEL7-2中生成的公鑰文件傳送至遠程主機：[root@RHEL7-2

~]#

ssh-copy-id

student@/usr/bin/ssh-copy-id:INFO:attemptingtologinwiththenewkey(s),tofilteroutanythatarealreadyinstalled/usr/bin/ssh-copy-id:INFO:1key(s)remaintobeinstalled--ifyouareprom