如何在Linux中配置基于密钥认证的SSH
发布时间：2024-07-29 点击：79
什么是基于 ssh 密钥的认证？
众所周知，secure shell，又称 ssh，是允许你通过无安全网络（例如 internet）和远程系统之间安全访问/通信的加密网络协议。无论何时使用 ssh 在无安全网络上发送数据，它都会在源系统上自动地被加密，并且在目的系统上解密。ssh 提供了四种加密方式，基于密码认证，基于密钥认证，基于主机认证和键盘认证。最常用的认证方式是基于密码认证和基于密钥认证。
在基于密码认证中，你需要的仅仅是远程系统上用户的密码。如果你知道远程用户的密码，你可以使用 ssh user@remote-system-name 访问各自的系统。另一方面，在基于密钥认证中，为了通过 ssh 通信，你需要生成 ssh 密钥对，并且为远程系统上传 ssh 公钥。每个 ssh 密钥对由私钥与公钥组成。私钥应该保存在客户系统上，公钥应该上传给远程系统。你不应该将私钥透露给任何人。希望你已经对 ssh 和它的认证方式有了基本的概念。
这篇教程，我们将讨论如何在 linux 上配置基于密钥认证的 ssh。
在 linux 上配置基于密钥认证的 ssh
为方便演示，我将使用 arch linux 为本地系统，ubuntu 18.04 lts 为远程系统。
本地系统详情：
os: arch linux desktop ip address: 192.168.225.37/24远程系统详情：
os: ubuntu 18.04 lts server ip address: 192.168.225.22/24本地系统配置
就像我之前所说，在基于密钥认证的方法中，想要通过 ssh 访问远程系统，需要将公钥上传到远程系统。公钥通常会被保存在远程系统的一个 ~/.ssh/authorized_keys 文件中。
注意事项：不要使用 root 用户生成密钥对，这样只有 root 用户才可以使用。使用普通用户创建密钥对。
现在，让我们在本地系统上创建一个 ssh 密钥对。只需要在客户端系统上运行下面的命令。
$ ssh-keygen上面的命令将会创建一个 2048 位的 rsa 密钥对。你需要输入两次密码。更重要的是，记住你的密码。后面将会用到它。
样例输出：
generating public/private rsa key pair. enter file in which to save the key (/home/sk/.ssh/id_rsa): enter passphrase (empty for no passphrase): enter same passphrase again: your identification has been saved in /home/sk/.ssh/id_rsa. your public key has been saved in /home/sk/.ssh/id_rsa.pub. the key fingerprint is: sha256:wyogvdkbgmfydtmcui3qzauxvjs+p2287tn4uaz5kye [email protected] the key's randomart image is: +---[rsa 2048]----+ |+=+*= + | |o.o=.* = | |.oo * o + | |. = + . o | |. o + . s | | . e . | | + o | | +.*o+o | | .o*=oo+ | +----[sha256]-----+如果你已经创建了密钥对，你将看到以下信息。输入 y 就会覆盖已存在的密钥。
/home/username/.ssh/id_rsa already exists. overwrite (y/n)?请注意密码是可选的。如果你输入了密码，那么每次通过 ssh 访问远程系统时都要求输入密码，除非你使用了 ssh 代理保存了密码。如果你不想要密码（虽然不安全），简单地敲两次回车。不过，我建议你使用密码。从安全的角度来看，使用无密码的 ssh 密钥对不是什么好主意。这种方式应该限定在特殊的情况下使用，例如，没有用户介入的服务访问远程系统。（例如，用 rsync 远程备份……）
如果你已经在个人文件 ~/.ssh/id_rsa 中有了无密码的密钥，但想要更新为带密码的密钥。使用下面的命令：
$ ssh-keygen -p -f ~/.ssh/id_rsa样例输出：
enter new passphrase (empty for no passphrase): enter same passphrase again: your identification has been saved with the new passphrase.现在，我们已经在本地系统上创建了密钥对。接下来，使用下面的命令将 ssh 公钥拷贝到你的远程 ssh 服务端上。
$ ssh-copy-id sk@192.168.225.22在这里，我把本地（arch linux）系统上的公钥拷贝到了远程系统（ubuntu 18.04 lts）上。从技术上讲，上面的命令会把本地系统 ~/.ssh/id_rsa.pub 文件中的内容拷贝到远程系统 ~/.ssh/authorized_keys 中。明白了吗？非常棒。
输入 yes 来继续连接你的远程 ssh 服务端。接着，输入远程系统用户 sk 的密码。
/usr/bin/ssh-copy-id: info: attempting to log in with the new key(s), to filter out any that are already installed /usr/bin/ssh-copy-id: info: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys sk@192.168.225.22's password: number of key(s) added: 1 now try logging into the machine, with: ssh 'sk@192.168.225.22' and check to make sure that only the key(s) you wanted were added.如果你已经拷贝了密钥，但想要替换为新的密码，使用 -f 选项覆盖已有的密钥。
$ ssh-copy-id -f sk@192.168.225.22我们现在已经成功地将本地系统的 ssh 公钥添加进了远程系统。现在，让我们在远程系统上完全禁用掉基于密码认证的方式。因为我们已经配置了密钥认证，因此不再需要密码认证了。
在远程系统上禁用基于密码认证的 ssh
你需要在 root 用户或者 sudo 执行下面的命令。
禁用基于密码的认证，你需要在远程系统的终端里编辑 /etc/ssh/sshd_config 配置文件：
$ sudo vi /etc/ssh/sshd_config找到下面这一行，去掉注释然后将值设为 no：
passwordauthentication no重启 ssh 服务让它生效。
$ sudo systemctl restart sshd从本地系统访问远程系统
在本地系统上使用命令 ssh 你的远程服务端：
$ ssh sk@192.168.225.22输入密码。
样例输出：
enter passphrase for key '/home/sk/.ssh/id_rsa': last login: mon jul 9 09:59:51 2018 from 192.168.225.37 sk@ubuntuserver:~$现在，你就能 ssh 你的远程系统了。如你所见，我们已经使用之前 ssh-keygen 创建的密码登录进了远程系统的账户，而不是使用当前账户实际的密码。
如果你试图从其它客户端系统 ssh（远程系统），你将会得到这条错误信息。比如，我试图通过命令从 centos ssh 访问 ubuntu 系统：
样例输出：
the authenticity of host '192.168.225.22 (192.168.225.22)' can't be established. ecdsa key fingerprint is 67:fc:69:b7:d4:4d:fd:6e:38:44:a8:2f:08:ed:f4:21. are you sure you want to continue connecting (yes/no)? yes warning: permanently added '192.168.225.22' (ecdsa) to the list of known hosts. permission denied (publickey).如你所见，除了 centos（lctt 译注：根据上文，这里应该是 arch）系统外，我不能通过其它任何系统 ssh 访问我的远程系统 ubuntu 18.04。
为 ssh 服务端添加更多客户端系统的密钥
这点非常重要。就像我说过的那样，除非你配置过（在之前的例子中，是 ubuntu），否则你不能通过 ssh 访问到远程系统。如果我希望给更多客户端予以权限去访问远程 ssh 服务端，我应该怎么做？很简单。你需要在所有的客户端系统上生成 ssh 密钥对并且手动拷贝 ssh 公钥到想要通过 ssh 访问的远程服务端上。
在客户端系统上创建 ssh 密钥对，运行：
$ ssh-keygen输入两次密码。现在，ssh 密钥对已经生成了。你需要手动把公钥（不是私钥）拷贝到远程服务端上。
使用以下命令查看公钥：
$ cat ~/.ssh/id_rsa.pub应该会输出类似下面的信息：
ssh-rsa aaaab3nzac1yc2eaaaadaqabaaabaqct3a9tiek5rpx9p74/kjevxa6/oodyrp0qls/slp8w6itxfl+ugalzlupvngfjvrr5luj9dlhwwc+d4umavawz708e6na9ftepqtc28rtfshwmylkvlkzcgkc5+a0ndbidzlak3k3wgq1jzyykt5k+ians6vtrx5ldobcpnpebdt4vtixq7gzhrduuk5586ikeffwmcwguhvetn7ykmo2eyl2rv7tmyq+ey2zqqcsok0fzxmk7iifgxvmuqtkamzlgzk8a3bpb6vzd7kfum3ezbu4bxzgp7fvhnomgau2kyeoh/itkpzpcan+dg3naaziccxnii9b4nssgz3mmy4y7 ostechnix@centosserver拷贝所有内容（通过 usb 驱动器或者其它任何介质），然后去你的远程服务端的终端，像下面那样，在 $home 下创建文件夹叫做 .ssh。你需要以 root 身份执行命令（注：不一定需要 root）。
$ mkdir -p ~/.ssh现在，将前几步创建的客户端系统的公钥添加进文件中。
echo {your_public_key_contents_here} >> ~/.ssh/authorized_keys
在远程系统上重启 ssh 服务。现在，你可以在新的客户端上 ssh 远程服务端了。
如果觉得手动添加 ssh 公钥有些困难，在远程系统上暂时性启用密码认证，使用 ssh-copy-id 命令从本地系统上拷贝密钥，最后禁用密码认证。
推荐阅读：
sslh – share a same port for https and ssh：https://www.ostechnix.com/sslh-share-port-https-ssh/scanssh – fast ssh server and open proxy scanner：https://www.ostechnix.com/scanssh-fast-ssh-server-open-proxy-scanner/好了，到此为止。基于密钥认证的 ssh 提供了一层防止暴力破解的额外保护。如你所见，配置密钥认证一点也不困难。这是一个非常好的方法让你的 linux 服务端安全可靠。
via: https://www.ostechnix.com/configure-ssh-key-based-authentication-linux/
作者：sk 选题：lujun9972 译者：luuming 校对：pityonline
佛山域名怎么样？如何注册佛山域名？
Megalayer香港服务器购买教程及新用户赠送350元获取方法
Ubuntu使用nginx搭建webdav文件服务器的详细过程
自己搭建云服务器价格
2020阿里云服务器采购季开启
新睿云备案的服务器在哪看
域名备案需要收费么 网站一定需要域名备案吗
云服务器安装数据库建站
众所周知，secure shell，又称 ssh，是允许你通过无安全网络（例如 internet）和远程系统之间安全访问/通信的加密网络协议。无论何时使用 ssh 在无安全网络上发送数据，它都会在源系统上自动地被加密，并且在目的系统上解密。ssh 提供了四种加密方式，基于密码认证，基于密钥认证，基于主机认证和键盘认证。最常用的认证方式是基于密码认证和基于密钥认证。
在基于密码认证中，你需要的仅仅是远程系统上用户的密码。如果你知道远程用户的密码，你可以使用 ssh user@remote-system-name 访问各自的系统。另一方面，在基于密钥认证中，为了通过 ssh 通信，你需要生成 ssh 密钥对，并且为远程系统上传 ssh 公钥。每个 ssh 密钥对由私钥与公钥组成。私钥应该保存在客户系统上，公钥应该上传给远程系统。你不应该将私钥透露给任何人。希望你已经对 ssh 和它的认证方式有了基本的概念。
这篇教程，我们将讨论如何在 linux 上配置基于密钥认证的 ssh。
在 linux 上配置基于密钥认证的 ssh
为方便演示，我将使用 arch linux 为本地系统，ubuntu 18.04 lts 为远程系统。
本地系统详情：
os: arch linux desktop ip address: 192.168.225.37/24远程系统详情：
os: ubuntu 18.04 lts server ip address: 192.168.225.22/24本地系统配置
就像我之前所说，在基于密钥认证的方法中，想要通过 ssh 访问远程系统，需要将公钥上传到远程系统。公钥通常会被保存在远程系统的一个 ~/.ssh/authorized_keys 文件中。
注意事项：不要使用 root 用户生成密钥对，这样只有 root 用户才可以使用。使用普通用户创建密钥对。
现在，让我们在本地系统上创建一个 ssh 密钥对。只需要在客户端系统上运行下面的命令。
$ ssh-keygen上面的命令将会创建一个 2048 位的 rsa 密钥对。你需要输入两次密码。更重要的是，记住你的密码。后面将会用到它。
样例输出：
generating public/private rsa key pair. enter file in which to save the key (/home/sk/.ssh/id_rsa): enter passphrase (empty for no passphrase): enter same passphrase again: your identification has been saved in /home/sk/.ssh/id_rsa. your public key has been saved in /home/sk/.ssh/id_rsa.pub. the key fingerprint is: sha256:wyogvdkbgmfydtmcui3qzauxvjs+p2287tn4uaz5kye [email protected] the key's randomart image is: +---[rsa 2048]----+ |+=+*= + | |o.o=.* = | |.oo * o + | |. = + . o | |. o + . s | | . e . | | + o | | +.*o+o | | .o*=oo+ | +----[sha256]-----+如果你已经创建了密钥对，你将看到以下信息。输入 y 就会覆盖已存在的密钥。
/home/username/.ssh/id_rsa already exists. overwrite (y/n)?请注意密码是可选的。如果你输入了密码，那么每次通过 ssh 访问远程系统时都要求输入密码，除非你使用了 ssh 代理保存了密码。如果你不想要密码（虽然不安全），简单地敲两次回车。不过，我建议你使用密码。从安全的角度来看，使用无密码的 ssh 密钥对不是什么好主意。这种方式应该限定在特殊的情况下使用，例如，没有用户介入的服务访问远程系统。（例如，用 rsync 远程备份……）
如果你已经在个人文件 ~/.ssh/id_rsa 中有了无密码的密钥，但想要更新为带密码的密钥。使用下面的命令：
$ ssh-keygen -p -f ~/.ssh/id_rsa样例输出：
enter new passphrase (empty for no passphrase): enter same passphrase again: your identification has been saved with the new passphrase.现在，我们已经在本地系统上创建了密钥对。接下来，使用下面的命令将 ssh 公钥拷贝到你的远程 ssh 服务端上。
$ ssh-copy-id sk@192.168.225.22在这里，我把本地（arch linux）系统上的公钥拷贝到了远程系统（ubuntu 18.04 lts）上。从技术上讲，上面的命令会把本地系统 ~/.ssh/id_rsa.pub 文件中的内容拷贝到远程系统 ~/.ssh/authorized_keys 中。明白了吗？非常棒。
输入 yes 来继续连接你的远程 ssh 服务端。接着，输入远程系统用户 sk 的密码。
/usr/bin/ssh-copy-id: info: attempting to log in with the new key(s), to filter out any that are already installed /usr/bin/ssh-copy-id: info: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys sk@192.168.225.22's password: number of key(s) added: 1 now try logging into the machine, with: ssh 'sk@192.168.225.22' and check to make sure that only the key(s) you wanted were added.如果你已经拷贝了密钥，但想要替换为新的密码，使用 -f 选项覆盖已有的密钥。
$ ssh-copy-id -f sk@192.168.225.22我们现在已经成功地将本地系统的 ssh 公钥添加进了远程系统。现在，让我们在远程系统上完全禁用掉基于密码认证的方式。因为我们已经配置了密钥认证，因此不再需要密码认证了。
在远程系统上禁用基于密码认证的 ssh
你需要在 root 用户或者 sudo 执行下面的命令。
禁用基于密码的认证，你需要在远程系统的终端里编辑 /etc/ssh/sshd_config 配置文件：
$ sudo vi /etc/ssh/sshd_config找到下面这一行，去掉注释然后将值设为 no：
passwordauthentication no重启 ssh 服务让它生效。
$ sudo systemctl restart sshd从本地系统访问远程系统
在本地系统上使用命令 ssh 你的远程服务端：
$ ssh sk@192.168.225.22输入密码。
样例输出：
enter passphrase for key '/home/sk/.ssh/id_rsa': last login: mon jul 9 09:59:51 2018 from 192.168.225.37 sk@ubuntuserver:~$现在，你就能 ssh 你的远程系统了。如你所见，我们已经使用之前 ssh-keygen 创建的密码登录进了远程系统的账户，而不是使用当前账户实际的密码。
如果你试图从其它客户端系统 ssh（远程系统），你将会得到这条错误信息。比如，我试图通过命令从 centos ssh 访问 ubuntu 系统：
样例输出：
the authenticity of host '192.168.225.22 (192.168.225.22)' can't be established. ecdsa key fingerprint is 67:fc:69:b7:d4:4d:fd:6e:38:44:a8:2f:08:ed:f4:21. are you sure you want to continue connecting (yes/no)? yes warning: permanently added '192.168.225.22' (ecdsa) to the list of known hosts. permission denied (publickey).如你所见，除了 centos（lctt 译注：根据上文，这里应该是 arch）系统外，我不能通过其它任何系统 ssh 访问我的远程系统 ubuntu 18.04。
为 ssh 服务端添加更多客户端系统的密钥
这点非常重要。就像我说过的那样，除非你配置过（在之前的例子中，是 ubuntu），否则你不能通过 ssh 访问到远程系统。如果我希望给更多客户端予以权限去访问远程 ssh 服务端，我应该怎么做？很简单。你需要在所有的客户端系统上生成 ssh 密钥对并且手动拷贝 ssh 公钥到想要通过 ssh 访问的远程服务端上。
在客户端系统上创建 ssh 密钥对，运行：
$ ssh-keygen输入两次密码。现在，ssh 密钥对已经生成了。你需要手动把公钥（不是私钥）拷贝到远程服务端上。
使用以下命令查看公钥：
$ cat ~/.ssh/id_rsa.pub应该会输出类似下面的信息：
ssh-rsa aaaab3nzac1yc2eaaaadaqabaaabaqct3a9tiek5rpx9p74/kjevxa6/oodyrp0qls/slp8w6itxfl+ugalzlupvngfjvrr5luj9dlhwwc+d4umavawz708e6na9ftepqtc28rtfshwmylkvlkzcgkc5+a0ndbidzlak3k3wgq1jzyykt5k+ians6vtrx5ldobcpnpebdt4vtixq7gzhrduuk5586ikeffwmcwguhvetn7ykmo2eyl2rv7tmyq+ey2zqqcsok0fzxmk7iifgxvmuqtkamzlgzk8a3bpb6vzd7kfum3ezbu4bxzgp7fvhnomgau2kyeoh/itkpzpcan+dg3naaziccxnii9b4nssgz3mmy4y7 ostechnix@centosserver拷贝所有内容（通过 usb 驱动器或者其它任何介质），然后去你的远程服务端的终端，像下面那样，在 $home 下创建文件夹叫做 .ssh。你需要以 root 身份执行命令（注：不一定需要 root）。
$ mkdir -p ~/.ssh现在，将前几步创建的客户端系统的公钥添加进文件中。
echo {your_public_key_contents_here} >> ~/.ssh/authorized_keys
在远程系统上重启 ssh 服务。现在，你可以在新的客户端上 ssh 远程服务端了。
如果觉得手动添加 ssh 公钥有些困难，在远程系统上暂时性启用密码认证，使用 ssh-copy-id 命令从本地系统上拷贝密钥，最后禁用密码认证。
推荐阅读：
sslh – share a same port for https and ssh：https://www.ostechnix.com/sslh-share-port-https-ssh/scanssh – fast ssh server and open proxy scanner：https://www.ostechnix.com/scanssh-fast-ssh-server-open-proxy-scanner/好了，到此为止。基于密钥认证的 ssh 提供了一层防止暴力破解的额外保护。如你所见，配置密钥认证一点也不困难。这是一个非常好的方法让你的 linux 服务端安全可靠。
via: https://www.ostechnix.com/configure-ssh-key-based-authentication-linux/
作者：sk 选题：lujun9972 译者：luuming 校对：pityonline
佛山域名怎么样？如何注册佛山域名？
Megalayer香港服务器购买教程及新用户赠送350元获取方法
Ubuntu使用nginx搭建webdav文件服务器的详细过程
自己搭建云服务器价格
2020阿里云服务器采购季开启
新睿云备案的服务器在哪看
域名备案需要收费么 网站一定需要域名备案吗
云服务器安装数据库建站
上一篇：腾讯云丨腾讯云便宜服务器租用
下一篇：linux云服务器部署web项目