Linux网络服务10——远程访问及控制
一、SSH概述
1、SSH简介
SSH（Secure Shell）是一种安全通道协议，主要用来实现字符界面的远程登录、远程复制等功能。SSH协议对通信双方的数据传输进行了加密处理，其中包括用户登录时输入的用户口令，语TELNET（远程登录）等应用相比，SSH协议提供了更好的安全性。
2、默认监听端口：TCP 22
二、OpenSSH的配置
1、OpenSSH安装包
默认安装Linux系统时自动安装，若未安装，安装光盘中的如下rpm包：
openssh-5.3p1-94.el6.x86_64.rpm
openssh-askpass-5.3p1-94.el6.x86_64.rpm
openssh-clients-5.3p1-94.el6.x86_64.rpm
openssh-server-5.3p1-94.el6.x86_64.rpm
·服务名称：sshd
·服务端主程序：/usr/sbin/sshd
·服务端配置文件：/etc/ssh/sshd_config
·客户端配置文件：/etc/ssh/ssh_config
2、服务端OpenSSH配置
手动添加：
AllowUsers：用户amber在任何客户端均可登录；用户zhangsan只允许在IP地址为 192.168.1.51的客户端登录。且仅允许此二用户通过ssh协议远程登录。
DenyUsers：禁止用户lisi登录
注意：AllowUsers不要与 DenyUsers 同时使用
修改配置文件后，重启sshd服务
三、使用SSH客户端程序
1、命令程序：
（1）ssh命令（远程安全登录）
格式：ssh user@host （若客户机与主机用户名相同，可省去user@）
端口选项：-p 22
（2）scp命令（远程安全复制）
格式1：scp user@host:file1 file2
格式2：scp file1 user@host:file2
1>从服务端复制文件到客户端
服务端：
客户端：
2>从客户端复制文件到服务端
客户端：
服务端：
（3）sftp命令（安全FTP上传下载）
格式：sftp user@host
客户端：
2、常见远程访问工具：Xshell、CRT、Putty、Xmanager（远程图形化界面）等
四、构建密钥对验证的SSH体系
1、在客户端创建密钥对
ssh-keygen命令
可用的加密算法：RSA或DSA
2、将公钥上传至服务器
（1）方法一：任何方式均可（共享、FTP、Email、SCP、……）
客户端：
服务端：在服务器中导入公钥文本
（2）方法二：ssh-copy-id命令
服务端删除前面拷贝的公钥文件
[amber@Server-SSH ~]$ rm -f .ssh/authorized_keys
客户端：
服务端：
3、在客户端使用密钥对验证
（1）确认服务端配置文件/etc/ssh/sshd_config已开启密钥对认证
（2）客户端使用密钥对验证登录：
五、TCP Wrappers
1、TCP Wrappers保护原理
2、保护机制的实现方式
方式1：通过tcpd主程序对其他服务程序进行包装
方式2：由其他服务程序调用libwrap.so.*链接库
3、TCP Wrappers保护的条件
（1）必须是采用TCP协议的服务
（2）函数库中必须包含libwrap.so.0（可用ldd命令查看）
由此可见，sshd服务可以采用TCP Wrappers进行保护，而httpd服务虽然也是采用TCP协议，但无法使用TCP Wrappers进行保护。
4、访问控制策略的配置文件
/etc/hosts.allow
/etc/hosts.deny
访问控制策略处理流程图
由此可见，/etc/hosts.allow文件的优先级更高，若同一IP地址即出现在hosts.allow中，也存在与hosts.deny中，则该IP地址的访问请求将被接受。
5、配置项及格式
（1）格式：
服务列表:客户机地址列表
|
服务列表 |
客户机地址列表 |
||
|
多个服务 |
例：vsftpd,sshd |
多个地址 |
例：192.168.1.1,192.168.1.10 |
|
所有服务 |
ALL |
所有地址 |
ALL |
|
|
通配符? |
例：192.168.1.?,192.168.2.1?? |
|
|
|
通配符* |
例：192.168.1.1* |
|
|
|
网段地址 |
例：192.168.1.或192.168.1.0/255.255.255.0 |
|
（2）通配符
1>通配符?：每一个?表示1位任意数字。如192.168.1.1?表示 192.168.1.10~192.168.1.19；192.168.1.1??表示192.168.100~192.168.1.199
2>通配符*：表示任意位数，也可为空。如192.168.1.1*表示192.168.1.1、 192.168.1.10~192.168.1.19、192.168.1.100~192.168.1.199
（3）配置示例
实验要求：仅允许IP地址为192.168.1.100~192.168.1.199的主机访问sshd服务，禁止其他所有地址的访问。
客户机client1测试：
客户机client2测试：
