ssh 常用用法小结
ssh常用用法小结
在我们日常的工作中，经常涉及到维护服务器，那么为了方便操作，以及安全方面的考虑，通常我们都会在服务器上安装ssh服务端，这样，在我们自己的机器上通过ssh客户端工具连接到服务器，既方便又安全。下面说说ssh应用的基本功能。
1、连接到远程主机：
命令格式：
sshname@remoteserver或者
sshremoteserver-lname
说明：以上两种方式都可以远程登录到远程主机，server代表远程主机，name为登录远程主机的用户名。
2、连接到远程主机指定的端口：
命令格式：
sshname@remoteserver-p2222或者
sshremoteserver-lname–p2222
说明：p参数指定端口号，通常在路由里做端口映射时，我们不会把22端口直接映射出去，而是转换成其他端口号，这时就需要使用-p端口号命令格式。
3、通过远程主机1跳到远程主机2：
命令格式：
ssh-tremoteserver1sshremoteserver2
说明：当远程主机remoteserver2无法直接到达时，可以使用-t参数，然后由remoteserver1跳转到remoteserver2。在此过程中要先输入remoteserver1的密码，然后再输入remoteserver2的密码，然后就可以操作remoteserver2了。
4、通过SSH运行远程shell命令：
命令格式：
ssh-lnameremoteserver‘command’
说明：连接到远程主机，并执行远程主机的command命令。例如：查看远程主机的内存使用情况。
$ssh–lroot192.168.1.100svmon–G
5、修改SSH监听端口：
默认情况下，SSH监听连接端口22，攻击者使用端口扫描软件就可以看到主机是否
运行有SSH服务，将SSH端口修改为大于1024的端口是一个明智的选择，因为大多数端口扫描软件（包括nmap）默认情况都不扫描高位端口。打开/etc/ssh/sshd_config文件并查找下面这样的行：
Port22
去掉该行前面的#号，然后修改端口号并重新启动SSH服务：
$/etc/init.d/sshrestart
6、仅允许SSH协议版本2：
有两个SSH协议版本，仅使用SSH协议版本2会更安全，SSH协议版本1有安全问
题，包括中间人攻击（man-in-the-middle）和注入（insertion）攻击。编辑/etc/ssh/sshd_config文件并查找下面这样的行：
#Protocol2,1
修改为
Protocol2
7、禁止root用户登录：
通常情况下，不采用直接用root用户登录到远程主机，由于root用户拥有超级权限，这样会带来安全隐患，所以，一般我们用普通用户登录，当需要管理远程主机时，再切换到root用户下。打开/etc/ssh/sshd_config文件并查找下面这样的行：
#PermitRootLoginyes
将#号去掉，然后将yes修改成no，重启ssh服务，这样就可以禁止root用户登录。
8、设置登录时提示信息
首先编辑一个文件，如bannertest.txt，文件内容自行定义。然后打开/etc/ssh/sshd_config文件并查找下面这样的行：
#Banner/some/path
将#号去掉，然后将bannertest.txt文件的全路径替换/some/path，然后保存，重启ssh服务。当客户端登录时，就会看到bannertest.txt文件中的提示信息。
9、进行端口映射：
假如公司内网有台web服务器，但是只对内不对外，这样，外网就无法访问，可以用ssh进行端口映射来实现外网访问内网的web服务器。假如web服务器名为webserver，webserver可以用ssh访问到远端主机remoteserver，登录到webserver，然后用下面命令进行映射
命令格式：
ssh-R3000:localhost:80remoteserver
执行完成后，在remoteserver机器上，执行netstat-an|grep3000,查看有没有开通3000端口。并执行以下命令观察是否可以打开webserver上的网页
$w3mhttp://127.0.0.1:3000
如果能打开界面，说明映射成功.但是，这只限于本机访问web服务器，即只能remoteserver机器访问webserver。因为3000端口绑定的是remoteserver机器的127.0.0.1端口。可以编辑remoteserver机器上的/etc/ssh/sshd_config文件并添加如下内容：
添加GatewayPortsyes内容，把监听端口3000绑定到0.0.0.0地址上,这样外部的所有机器都能访问到这个监听端口，然后保存退出。并重启ssh服务。完成后其它机器就可以在浏览器中输入http://remoteserver:3000来访问webserver了。
10、scp命令：
scp命令是SSH中最方便有用的命令，可以在两台服务器之间传送文件。并且在传输过程中仍是使用ssh加密的。
命令格式：
[email protected]:/tmp/test/bak
将远程主机的/tmp/test文件复制到本地的/bak文件夹下
scp-p/bak/[email protected]:/tmp
将本地/bak/1234文件复制到远程主机的/tmp路径下
ssh还有很多其他用法，例如sftp等，这里不在讲述，有兴趣可以从网上查些资料
=================================
ssh服务常见问题总结
问题一
ssh登录的时候链接端口失败
提示（1）：
#ssh172.16.81.221
ssh:connecttohost172.16.81.221port22:Noroutetohost
这由于server端没有开机或是网络不通（这个原因很多，最简单的是网线没有插。还有就是可能会是网卡down了等）
提示（2）：
ssh:connecttohost172.16.81.221port22:Connectionrefused
这是由于对方server的ssh服务没有开。这个server端开启服务即可。
问题二
ssh到server上的时候密码是对的但是报如下信息：
#ssh172.16.81.221
[email protected]'spassword:
Permissiondenied,pleasetryagain.
这个是由于如果不输入用户名的时候默认的是root用户，但是安全期间ssh服务默认没有开root用户的ssh权限
解决方法：
要修改root的ssh权限，即修改/etc/ssh/sshd_config文件中
PermitRootLoginno改为PermitRootLoginyes
问题三
登录是出现如下提示：
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@WARNING:REMOTEHOSTIDENTIFICATIONHASCHANGED!@
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
ITISPOSSIBLETHATSOMEONEISDOINGSOMETHINGNASTY!
Someonecouldbeeavesdroppingonyourightnow(man-in-the-middleattack)!
ItisalsopossiblethattheRSAhostkeyhasjustbeenchanged.
ThefingerprintfortheRSAkeysentbytheremotehostis
76:fb:b3:70:14:48:19:d6:29:f9:ba:42:46:be:fb:77.
Pleasecontactyoursystemadministrator.
Addcorrecthostkeyin/home/fante/.ssh/known_hoststogetridofthis
message.
Offendingkeyin/home/fante/.ssh/known_hosts:68
RSAhostkeyfor172.16.81.221haschangedandyouhaverequestedstrictchecking.
Hostkeyverificationfailed.
server端密码或是ip对应的server等其他发生改变的时候。解决方法一般就需要删除~/.ssh/known_hosts的对应行，然后再登录即可。
问题四
如何通过ssh使用远程的图形启动到本地。
在本机执行xhost+修改远端/etc/ssh/sshd_config文件，X11Forwardingyes这一行为yes。重启ssh服务。登录时执行ssh-X[远端IP]登录之后执行图形配置工具可以在本机显示。
=================================
ssh连接不上解决思路
近期因为搭建新服次数较多，所以自己总结了一下在遇到ssh连接不上时候的解决思路，供大家参考。大家如果有什么新的思路也可以一起讨论一下~
以下的测试没有特殊说明均是使用普通账号登陆
状况一：sshIP_A或sshroot@IP_A都显示Permissiondenied(publickey,gssapi-with-mic).
思路：可以检查一下IP_A上面的SSH版本是否正确，线上服务器如果存在sshd路径是/use/local/bin/sshd的，一定要升级sshd版本，正确的版本是/usr/sbin/sshd
状况二：sshIP_A显示Permissiondenied(publickey,gssapi-with-mic).但是sshroot@IP_A成功
思路：可以检查一下/etc/ssh/sshd_config,里面有一段AllowUsers，将User_name@IP_B[IP_B_HOSTNAME]写进去，然后再尝试连接一下
状况三：sshIP_A总是需要密码，但是sshroot@IP_A成功(或也不成功，也需要密码)
思路：可以检查一下文件夹和.ssh/authorized_keys的权限，如果权限太大也会出问题。基本authorized_keys给740就可以了。文件夹不仅仅是指.ssh，还需要注意一下/home/user，当user文件夹的权限过大时也会出现问题，这里需要注意一下
ssh-vroot@IP_A(显示debug信息，便于后续调试)
另外在实际中需要关注一下messlog，看一下里面有没有报错信息