Linux的SSH密钥认证快捷配置

发布时间:2024年01月13日

本文适用:rhel5-9系列,同类系统(CentOS,AlmaLinux,RockyLinux等)、debian系(ubuntu)等也可参照
文档形成时期:2012-2024年
因系统版本不同,配置应略有差异,本文没有在细节上区分,但实践中发现均可配置成功

Linux客户端密钥认证配置

一键配置方式

配置和生成如下,可以一键拷贝到终端运行

# 修改加密码强度:
sed -i '/ServerKeyBits/c\ServerKeyBits 2048' /etc/ssh/sshd_config
service sshd reload # 或 systemctl reload sshd
# 配置修改:
# 修改/etc/ssh/ssh_config或拷贝一份儿到当前用户.ssh下
cp /etc/ssh/ssh_config ~/.ssh/config
sed -i '/HostbasedAuthentication/c\HostbasedAuthentication yes' ~/.ssh/config
sed -i '/ConnectTimeout/c\ConnectTimeout 7' ~/.ssh/config
sed -i '/IdentityFile \~\/\.ssh\/id_rsa/c\IdentityFile \~\/\.ssh\/id_rsa' ~/.ssh/config
# sed -i '/StrictHostKeyChecking/c\StrictHostKeyChecking no' ~/.ssh/config # 在某些全自动化场景下,不希望检测服务端公钥,便可配置该项
if ( ! grep -q "UserKnownHostsFile /dev/null" ~/.ssh/config ); then echo "UserKnownHostsFile /dev/null" >> ~/.ssh/config; fi 
# 参考:https://blog.csdn.net/yasaken/article/details/7348441
# 配置完成

# 生成密钥和公钥
# -b 指定加密位数,默认也是2048;-N是指定空密码;-f是指定密钥生成的文件,不能使用~这个的主目录符号,不识别;
# -C 只是指定评论,在公钥的末尾能看到,改动评论不影响密钥使用;
if [ ! -f ~/.ssh/id_rsa ]; then ssh-keygen -b 2048 -t rsa -f "/root/.ssh/id_rsa" -N "" -C "root@`ip addr show dev eth0 | grep "inet" | awk -F ' ' '{print $2}' | cut -d'/' -f 1 | head -1 2> /dev/null`"; else echo "This machine already has this rsa, do nothing"; fi

# 不判断,直接生成:
# ssh-keygen -b 2048 -t rsa -f "/root/.ssh/id_rsa" -N "" -C "root@localhost"

交互式生成方式

下面是交互式生成过程:
在SSH客户端生成公钥和私钥(不是在服务端)(生成的是用户密钥,有别于主机密钥)

ssh-keygen -t rsa

一路回车就行
Enter file in which to save the key (/root/.ssh/id_rsa):
回车,把key放到哪个位置及指定文件名,默认就行
Enter passphrase (empty for no passphrase):
给key加密,可设可不设,就是打开密钥和使用密钥的时候需要密码,如果设,必须4位以上,建议不要设
Enter same passphrase again:
在输入刚才的密码

查看生成的密钥对

ls ~/.ssh

id_rsa 密钥
id_rsa.pub 公钥

Linux服务端密钥认证配置

编辑 /etc/ssh/sshd_config 文件,打开密钥登录功能

sed -i '/#RSAAuthentication/c\RSAAuthentication yes' /etc/ssh/sshd_config
sed -i '/#PubkeyAuthentication/c\PubkeyAuthentication yes' /etc/ssh/sshd_config
sed -i '/#AuthorizedKeysFile/c\AuthorizedKeysFile      .ssh/authorized_keys' /etc/ssh/sshd_config
service sshd reload
# su - user # 如果是为普通用户生成,需要切换
mkdir ~/.ssh
touch ~/.ssh/authorized_keys
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
service sshd reload

vi ~/.ssh/authorized_keys
#追加ssh客户端的公钥,注意是一个一行

当你完成全部设置,并以密钥方式登录成功后,再禁用密码登录(可选):
PermitRootLogin yes 允许ROOT

PasswordAuthentication yes
改为
PasswordAuthentication no
检查配置:
sshd -t
最后,重载 SSH 服务:
service sshd reload #rh6或更低版本
systemctl reload sshd #rh7+
直接执行,网络不会断掉的。

vi ~/.ssh/authorized_keys
#把客户端的公钥放到服务端的 ~/.ssh/authorized_keys (不是客户端的哟)
cat ~/.ssh/id_rsa.pub
#拷贝内容过去也可以(公钥没有换行,只能是一行哟,注意)
或这样下发到客户端:
[root@localhost ~]# ssh-copy-id -i /root/.ssh/id_rsa.pub -p 22 root@1.2.3.4

客户端登陆服务端

客户端首次密钥方式登陆服务端,需要加入服务端的公钥到客户端的~/.ssh/known_hosts,这个过程一般是自动提示,你只需输入yes

然后该客户端登陆该服务端就可以不需要密码验证了,当然密码认证和密钥认证可以同时开启,然后由客户端的连接方式决定。

无提示登陆示例

ssh -q -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null -o ConnectTimeout=7 -o HostbasedAuthentication=yes -o IdentityFile=~/.ssh/id_rsa -p 22 root@remoteip "{ ifconfig; }"

SSH双向密钥登陆

如果把服务端和客户端角色换一下,再按以上操作步骤实施一遍,即可实现双向密钥认证登陆。

文章来源:https://blog.csdn.net/ynz1220/article/details/135443797
本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。