VPS偵探

SSH密鑰登錄讓Linux VPS/服務(wù)器更安全

2011年01月10日上午 | 作者：VPS偵探

隨著PHP越來越流行，Linux VPS/服務(wù)器的使用也越來越多，Linux的安全問題也需要日漸加強(qiáng)，如果你安裝過DenyHosts并設(shè)置過郵件提醒，你每天可能會受到數(shù)封DenyHosts Report將前來破解SSH密碼的IP加入/etc/hosts.deny。

Linux SSH登錄有兩種：

1、使用密碼驗(yàn)證登錄

通常VPS或服務(wù)器開通后都是直接提供IP和root密碼，使用這種方式就是通過密碼方式登錄。如果密碼不夠強(qiáng)壯，而且沒有安裝DenyHosts之類的防止SSH密碼破解的軟件，那么系統(tǒng)安全將存在很大的隱患。

2、使用密鑰驗(yàn)證登錄

基于密鑰的安全驗(yàn)證必須為用戶自己創(chuàng)建一對密鑰，并把共有的密鑰放在需要訪問的服務(wù)器上。當(dāng)需要連接到SSH服務(wù)器上時，客戶端軟件就會向服務(wù)器發(fā)出請求，請求使用客戶端的密鑰進(jìn)行安全驗(yàn)證。服務(wù)器收到請求之后，先在該用戶的根目錄下尋找共有密鑰，然后把它和發(fā)送過來的公有密鑰進(jìn)行比較。如果兩個密鑰一致，服務(wù)器就用公有的密鑰加密“質(zhì)詢”，并把它發(fā)送給客戶端軟件（putty,xshell等）。客戶端收到質(zhì)詢之后，就可以用本地的私人密鑰解密再把它發(fā)送給服務(wù)器，這種方式是相當(dāng)安全的。

一、生成密鑰

因?yàn)閜uttygen生成的密鑰有問題可能會出現(xiàn)：“Server refused our key”，最好使用XShell生成密鑰或者在遠(yuǎn)程Linux VPS/服務(wù)器生成密鑰。

1、在Linux遠(yuǎn)程服務(wù)器生成密鑰：

登錄遠(yuǎn)程Linux ?VPS/服務(wù)器，執(zhí)行：

root@vpser:~# ssh-keygen -t rsa //先運(yùn)行這個命令

Generating public/private rsa key pair.

Enter file in which to save the key (/root/.ssh/id_rsa): ? ? ? ? ? ? ? ? ? //直接回車

Created directory '/root/.ssh'.

Enter passphrase (empty for no passphrase): ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?//輸入密鑰密碼

Enter same passphrase again: ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? //重復(fù)密鑰密碼

Your identification has been saved in /root/.ssh/id_rsa. ? ? ? ? //提示公鑰和私鑰已經(jīng)存放在/root/.ssh/目錄下

Your public key has been saved in /root/.ssh/id_rsa.pub.

The key fingerprint is:

15:23:a1:41:90:10:05:29:4c:d6:c0:11:61:13:23:dd root@vpser.net

The key's randomart image is:

+--[ RSA 2048]----+

|=&@Bo+o o.o ? ? ?|

|=o=.E ?o . o ? ? |

| . ? ?. ? . ? ? ?|

| ? ? ? ? . ? ? ? |

| ? ? ? ?S ? ? ? ?|

| ? ? ? ? ? ? ? ? |

+-----------------+

root@vpser:~#

將/root/.ssh/下面的id_rsa和id_rsd.pub妥善保存。

2、使用XShell生成密鑰

Xshell是一款Windows下面功能強(qiáng)大的SSH客戶端，能夠按分類保存N多會話、支持Tab、支持多密鑰管理等等，管理比較多的VPS/服務(wù)器使用XShell算是比較方便的，推薦使用。

下載XShell，安裝，運(yùn)行XShell，點(diǎn)擊菜單：Tool ->User Key Generation Wizard，出現(xiàn)如下提示：

點(diǎn)擊Save as file將密鑰保存為id_rsa.pub。

二、將密鑰添加到遠(yuǎn)程Linux服務(wù)器

1、用winscp，將id_rsa.pub文件上傳到/root/.ssh/下面（如果沒有則創(chuàng)建此目錄），并重命名為：authorized_keys（如果是在Linux服務(wù)器上生成的密鑰直接執(zhí)行：mv /root/.ssh/id_rsa.pub /root/.ssh/authorized_keys），再執(zhí)行：chmod 600 /root/.ssh/authorized_keys 修改權(quán)限。

2、修改/etc/ssh/sshd_config 文件，將RSAAuthentication 和 PubkeyAuthentication 后面的值都改成yes ，保存。如果這兩項(xiàng)前面有 #?符號說明是注釋掉的，需要去掉 # 符號。

3、重啟sshd服務(wù)，Debian/Ubuntu執(zhí)行/etc/init.d/ssh restart ；

CentOS執(zhí)行：/etc/init.d/sshd restart 如果不存在可以執(zhí)行：service sshd restart。

三、客戶端測試使用密鑰登錄

1、使用putty登錄

putty使用的私鑰文件和Linux服務(wù)器或XShell的私鑰格式不同，如果使用putty的話，需要將Linux主機(jī)上生成的id_rsa文件下載的本地。運(yùn)行putty壓縮包里面的puttygen.exe，選擇Conversions->Import key選擇私鑰文件id_rsa，輸入密鑰文件的密碼，會出現(xiàn)如下界面：

點(diǎn)擊“Save Private Key”，將私鑰保存為id_rsa.ppk

運(yùn)行putty，在Host Name填寫：root@主機(jī)名或ip

如果設(shè)置了密鑰密碼，出現(xiàn)：Passphrase for key "imported-openssh-key"時輸入密鑰密碼。

如果設(shè)置沒問題就會登錄成功，出現(xiàn)用戶提示符。

2、XShell登錄

運(yùn)行XShell，選擇菜單File->New，按如下提示填寫：

打開創(chuàng)建好的Session

如果設(shè)置沒問題就會登錄成功，出現(xiàn)用戶提示符。

3、Linux客戶端登錄測試

在Linux客戶端執(zhí)行：chmod 600 /root/id_rsa 再執(zhí)行：ssh root@www.0794baidu.com -i /root/id_rsa /root/id_rsa為私鑰文件，第一次鏈接可能會提示確認(rèn)，輸入yes即可，再按提示輸入密鑰密碼，沒有問題就會出現(xiàn)用戶提示符。

四、修改遠(yuǎn)程Linux服務(wù)器sshd服務(wù)配置

1、修改/etc/ssh/sshd_config 文件

將PasswordAuthentication yes 修改成 PasswordAuthentication no

2、重啟sshd服務(wù)

Debian/Ubuntu執(zhí)行/etc/init.d/ssh restart ；CentOS執(zhí)行：/etc/init.d/sshd restart。

ok，設(shè)置完成。

再提醒一下一定要保存好Putty私鑰文件id_rsa.ppk或Linux服務(wù)器下載下來的id_rsa私鑰文件。

原創(chuàng)文章，謝絕轉(zhuǎn)載！

>>轉(zhuǎn)載請注明出處：VPS偵探本文鏈接地址：http://www.0794baidu.com/security/linux-ssh-authorized-keys-login.html

發(fā)表評論

評論(18條評論)

子豪說道：

2013年04月14日 22:36

puttygen可以生成密鑰，并不會出現(xiàn)“Server refused our key”，只需要執(zhí)行mv /root/.ssh/id_rsa.pub /root/.ssh/authorized_keys2 就行了!
VPSer說道：

2012年11月30日 15:41

@小飛俠, 如果是vps且有console的話可以直接弄，沒有或是獨(dú)立服務(wù)器的話最好是先保留密碼登錄，調(diào)試好后再開啟密鑰登錄。
小飛俠說道：

2012年11月30日 11:10

在Linux遠(yuǎn)程服務(wù)器生成的密鑰，如果要更換還可以按照這個步驟來嗎？
VPSer說道：

2011年08月12日 15:16

@呆和尚, 應(yīng)該是都會有，沒有添加上試試。
呆和尚說道：

2011年08月12日 02:18

2、修改/etc/ssh/sshd_config 文件，將RSAAuthentication 和 PubkeyAuthentication 后面的值都改成yes ，保存。中的PubkeyAuthentication找不到呢？這是怎么回事呢??
VPSer說道：

2011年07月21日 08:46

@silay, 應(yīng)該沒禁用密碼登錄或沒有重啟sshd服務(wù)
silay說道：

2011年07月20日 23:08

軍哥，我設(shè)置了一下，發(fā)現(xiàn)可以登陸了，但同時還可以選擇上面那個passwd那個圈圈輸入root的密碼也可以登陸。怎么回事？
pwcpp說道：

2011年04月20日 15:14

搞定了，謝謝！

順便提一下，官網(wǎng)的puttygen（包括文章里提供的）導(dǎo)入openssh制作的key出錯，改用從winscp安裝包里的putty跟就可以了。
VPSer說道：

2011年02月9日 15:28

@kolong, 登錄前，選上私鑰文件了沒？可以先用vps的console這個功能登錄vps，修改回原來的配置。
kolong說道：

2011年02月9日 14:36

杯具了，網(wǎng)站還沒備份呢，又沒有裝ftp
kolong說道：

2011年02月9日 11:56

設(shè)置密匙登陸碰到問題了
一開始我根據(jù)上面步驟在Linux遠(yuǎn)程服務(wù)器生成密鑰，客戶端測試使用密鑰登錄，使用putty密匙登錄沒有成功，卻能用root登陸，當(dāng)時沒在意，就轉(zhuǎn)到第四步：將PasswordAuthentication yes 修改成 PasswordAuthentication no ，還把前面的#號也給去掉了，現(xiàn)在ssh登陸不上
用root用戶名登陸，提示：Disconected：No supported authentication methods available
用密匙方式登陸，putty窗口顯示login as，，輸入root，提示Disconected：No supported authentication methods available
不知道怎么回事，是不是密匙設(shè)置沒成功，還是修改/etc/ssh/sshd_config 文件出的問題，密匙我都下載下來了
怎么辦，幫幫忙吧
手機(jī)管理VPS/服務(wù)器 - 放心回家過年 - VPS偵探說道：

2011年01月26日 09:49

[...] 手機(jī)管理VPS/服務(wù)器 - 放心回家過年 2011年01月26日上午 | 作者：VPSer春節(jié)將至不少站長們即將或已經(jīng)踏上回家的路，回家之后如果沒有寬帶和電腦處理網(wǎng)站或服務(wù)器出現(xiàn)的問題就會比較棘手。隨著手機(jī)的發(fā)展，手機(jī)基本上可以稱為一臺“小電腦”了，比如我用的摩托羅拉XT502，Google Android系統(tǒng)、配備了主頻為600MHz的CPU、512MB?ROM和256MB?RAM。其他的iPhone之類的手機(jī)配置更高。下面VPS偵探主要介紹一下如何在手機(jī)上管理網(wǎng)站和服務(wù)器，由于手頭只有Android系統(tǒng)的所以主要還是以Android為主。一、Android篇1、SSH遠(yuǎn)程管理工具：connectbot如果使用密碼方式登錄，直接在下面輸入用戶名@主機(jī)名:端口鏈接即可。如果使用的是密鑰登錄，需按一下步驟：運(yùn)行Connectbot后點(diǎn)擊“菜單”鍵選擇“管理公鑰”密鑰文件需要保存在SD卡根目錄，并且后綴改為.bak，選擇id_rsa_1024.bak 文件。輸入密鑰的密碼就登錄成功了。2、FTP工具：AndFTP點(diǎn)擊“添加”即可添加站點(diǎn)：3、瀏覽器：推薦使用自帶的google瀏覽器或UC瀏覽器一般還是比較喜歡用Android自帶的google瀏覽器，web網(wǎng)站和wap網(wǎng)站基本上支持的都比較好，可以直接登錄Linode后臺進(jìn)行管理(有個Linode后臺的管理工具，但是linode后臺更新后，不少功能存在問題)，注意：訪問web網(wǎng)站流量會比較大。4、Wordpress管理工具雖然有官方的WordPress Android工具，但據(jù)說不是太好用。二、Windows Mobile篇1、SSH遠(yuǎn)程管理工具：Token2Shell Mobile2、FTP客戶端：Mobile FTP Client其他的平臺因?yàn)闆]有設(shè)備，沒有使用經(jīng)驗(yàn)，歡迎補(bǔ)充。注意：請從正規(guī)官網(wǎng)或者手機(jī)軟件下載站下載軟件，放在惡意軟件造成扣費(fèi)。本文原創(chuàng)，謝絕轉(zhuǎn)載！ >>轉(zhuǎn)載請注明出處：VPS偵探本文鏈接地址：http://www.0794baidu.com/manage/mobile-manage-vps-server.html相關(guān)文章：Linode超級優(yōu)惠，贈送$100,000 前1000名新客戶每人100美元Linode VPS 使用1年評價Linode VPS開放測試新版控制面板DiaHosting Fremont He.net新機(jī)房VPS測試(與Linode同機(jī)房)Linode 7周年，內(nèi)存升級Linode VPS PPTP VPN 安裝配置教程Linode VPS 添加多IP/設(shè)置靜態(tài)IP(Kloxo no_ip_address解決方法)Linode與攻擊Google的黑客無關(guān)向大家推薦幾個對中國線路優(yōu)化比較好的機(jī)房Linode 購買、安裝、測試、配置教程google_ad_client = "pub-3421055613838817"; /* 468x15, 創(chuàng)建于 10-1-6 */ google_ad_slot = "3251390416"; google_ad_width = 468; google_ad_height = 15; 發(fā)表評論(評論暫缺) 分類：VPS管理維護(hù) 標(biāo)簽： andftp, Android, connectbot, linode, windows mobile, XT502, 手機(jī) Tags: andftp,Android,connectbot,linode,windows mobile,XT502,手機(jī).VPS偵探推薦： DiaHosting、Linode、PhotonVPS、VPSYou、瑞豪開源、第九主機(jī)等美國VPS主機(jī)。歡迎加入VPS偵探論壇交流：http://bbs.vpser.net發(fā)表評論姓名： *必填郵件： *必填 (不會被公開)網(wǎng)站：點(diǎn)擊取消回復(fù)/* */ var commentformid = "commentform"; var USERINFO = false; var atreply = "authorlink"; /* */ 關(guān)于VPS偵探 VPS偵探是一個致力于美國VPS主機(jī)推薦、國內(nèi)VPS主機(jī)推薦、VPS主機(jī)架設(shè)、VPS優(yōu)化、VPS優(yōu)惠信息及VPS免費(fèi)試用的信息共享平臺，這里將提供您所需要的關(guān)于VPS的價值性服務(wù)。請尊重作者的勞動成果，轉(zhuǎn)載請注明出處。聯(lián)系我們VPS偵探推薦本站建立在Linode和DiaHosting上。本站強(qiáng)烈推薦：DiaHosting、Linode、PhotonVPS、瑞豪開源、VPSYou、第九主機(jī)等美國VPS主機(jī)。美國VPS/服務(wù)器/VPN代購： http://shop63846532.taobao.com/ http://503228080.paipai.com/代購聯(lián)系: 搜索本站內(nèi)容 [...]
成巧說道：

2011年01月23日 04:46

mv /root/.ssh/id_rsa.pub /root/.ssh/authorized_keys
VPSer說道：

2011年01月11日 10:47

@暗の世界, 多謝提醒
暗の世界說道：

2011年01月10日 22:00

軍哥，你這個教程不夠嚴(yán)謹(jǐn)哦。如果用PuTTY生成密鑰的話，會出現(xiàn)“Server refused our key”錯誤的,所以還是用ssh-keygen比較好吧？
老鬼說道：

2011年01月10日 12:12

不錯

現(xiàn)在linux的安全越來越重要了