本文目录：
- 1、网络技术SSH工作原理 思科CCIE工程师必读-ielab
- 2、思科路由器(cisco)配置telnet登录和ssh登录应用举例
- 3、ssh的简介与常用用法
- 4、SSH原理 and SSH远程登录
- 5、【Linux】SSH 使用密码/公钥远程登录总结
- 6、什么是SSH?
网络技术SSH工作原理 思科CCIE工程师必读-ielab
头条：
网络工程师的实用网络安全技术SSH工作原理 值得收藏
SEO：
网络技术SSH工作原理 思科CCIE工程师必读
SSH 为 Secure Shell 的缩写，由 IETF 的网络小组（Network Working Group）所制定；SSH 为建立在应用层基础上的安全协议。SSH 是较可靠，专为远程登录会话和其他网络服务提供安全性的协议。利用 SSH 协议可以有效防止远程管理过程中的信息泄露问题。SSH最初是UNIX系统上的一个程序，后来又迅速扩展到其他操作平台。SSH在正确使用时可弥补网络中的漏洞。SSH客户端适用于多种平台。
在整个通讯过程中，为实现SSH的安全连接，服务器端与客户端要经历如下五个阶段：
一、协商阶段：（明文方式传输）
1、服务器打开端口22，等待客户端连接。
2、客户端向服务器端发起TCP初始连接请求，TCP连接建立后，服务器向客户端发送第一个报文，包括版本标志字符串，格式为“SSH－主协议版本号.次协议版本号－软件版本号”，协议版本号由主版本号和次版本号组成，软件版本号主要是为调试使用。
3、客户端收到报文后，解析该数据包，如果服务器端的协议版本号比自己的低，且客户端能支持服务器端的低版本，就使用服务器端的低版本协议号，否则使用自己的协议版本号。
4、客户端回应服务器一个报文，包含了客户端决定使用的协议版本号。服务器比较客户端发来的版本号，决定是否能同客户端一起工作。
5、如果协商成功，则进入密钥和算法协商阶段，否则服务器端断开TCP连接。
二、密钥算法协商：
1、服务器端和客户端分别发送算法协商报文给对端，报文中包含自己支持的公钥算法列表、加密算法列表、MAC（Message Authentication Code，消息验证码）算法列表、压缩算法列表等。
2、服务器端和客户端根据对端和本端支持的算法列表得出最终使用的算法。
3、服务器端和客户端利用DH交换（Diffie-Hellman Exchange）算法、主机密钥对等参数，生成会话密钥和会话ID。
通过以上步骤，服务器端和客户端就取得了相同的会话密钥和会话ID。对于后续传输的数据，两端都会使用会话密钥进行加密和解密，保证了数据传送的安全。
认证阶段：
1、客户端向服务器端发送认证请求，认证请求中包含用户名、认证方法、与该认证方法相关的内容（如：password认证时，内容为密码）。
2、服务器端对客户端进行认证，如果认证失败，则向客户端发送认证失败消息，其中包含可以再次认证的方法列表。
3、客户端从认证方法列表中选取一种认证方法再次进行认证。
4、该过程反复进行，直到认证成功或者认证次数达到上限，服务器关闭连接为止。
四、会话请求阶段：
认证通过后，客户端向服务器发送会话请求。服务器等待并处理客户端的请求。在这个阶段，请求被成功处理后，服务器会向客户端回应SSH_SMSG_SUCCESS包，SSH进入交互会话阶段；否则回应SSH_SMSG_FAILURE包，表示服务器处理请求失败或者不能识别请求。
五、交互阶段
会话请求成功后，连接进入交互会话阶段。在这个模式下，数据被双向传送。客户端将要执行的命令加密后传给服务器，服务器接收到报文，解密后执行该命令，将执行的结果加密发还给客户端，客户端将接收到的结果解密后显示到终端上。
在交互阶段，客户端可以通过粘贴文本会话的方式发送要执行的命令，但文本会话不能超过2000字节。如果粘贴的文本会话超过2000字节，可以采用将配置文件上传到服务器，利用新的配置文件重新启动的方式执行这些命令。
了解最新开班，最新课程优惠，获取免费视频！一定要+WXdcm220681哦！
思科路由器(cisco)配置telnet登录和ssh登录应用举例
Telnet协议是TCP/IP协议族中的一员，是Internet远程登录服务的标准协议和主要方式。它为用户提供了在本地计算机上完成远程主机工作的能力。在终端使用者的电脑上使用telnet程序，用它连接到服务器。终端使用者可以在telnet程序中输入命令，这些命令会在服务器上运行，就像直接在服务器的控制台上输入一样。可以在本地就能控制服务器。
SSH 为 Secure Shell 的缩写，由 IETF 的网络小组（Network Working Group）所制定；SSH 为建立在应用层基础上的安全协议。SSH 是目前较可靠，专为远程登录会话和其他网络服务提供安全性的协议。利用 SSH 协议可以有效防止远程管理过程中的信息泄露问题。SSH最初是UNIX系统上的一个程序，后来又迅速扩展到其他操作平台。SSH在正确使用时可弥补网络中的漏洞。SSH客户端适用于多种平台。几乎所有UNIX平台—包括HP-UX、Linux、AIX、Solaris、Digital UNIX、Irix，以及其他平台，都可运行SSH。
思科telnet/ssh登录配置案例：
要求：
R2可以telnet R1
R3可以ssh R2
配置AR1
R1(config)#enable password 123
R1(config)#line vty 0 4
R1(config-line)#password 123
R1(config-line)#login
R1(config-line)#transport input telnet
R1(config)#interface ethernet 0/0
R1(config-if)#ip address 192.168.12.1 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)#exit
配置AR2
Router(config)#interface ethernet 0/1
Router(config-if)# ip address 192.168.12.2 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#interface ethernet 0/0
Router(config-if)#ip address 192.168.13.2 255.255.255.0
Router(config-if)#no shutdown
Router#telnet 192.168.12.1 //telnet R1
Trying 192.168.12.1 ... Open
User Access Verification
Password:
R1enable
Password:
R1#exit
[Connection to 192.168.12.1 closed by foreign host]
又回到R2
Router(config)#hostname R2
R2(config)#ip domain name
R2(config)#crypto key generate rsa modulus 1024
The name for the keys will be: R2.
% The key modulus size is 1024 bits
% Generating 1024 bit RSA keys, keys will be non-exportable...
[OK] (elapsed time was 0 seconds)
R2(config)#username glab1 secret glab1
R2(config)#line vty 0 4
R2(config-line)#login local
R2(config-line)#transport input ssh
R2(config)#enable password 123
R2(config)#
R2(config)#do show ip interface brief
Interface IP-Address OK? Method Status Protocol
Ethernet0/0 192.168.13.2 YES manual up up
Ethernet0/1 192.168.12.2 YES manual up up
Ethernet0/2 unassigned YES unset administratively down down
Ethernet0/3 unassigned YES unset administratively down down
R2(config)#
配置AR 3
Router(config)#hostname R3
R3(config)#interface ethernet 0/1
R3(config-if)#ip address 192.168.13.2 255.255.255.0
R3(config-if)#no shutdown
ssh R2开始
R3#ssh -l glab1 192.168.13.2
Password:
Password:
R2
ssh的简介与常用用法
ssh 为 secure shell 的英文缩写，是一种加密的网络传输协议。常用于登录远程服务器与在远程服务器上执行命令。
SSH 使用客户端-服务器模型，标准端口为 22。服务器端需要开启 SSH 守护进程接受远端的连接，而用户需要使用 SSH 客户端与服务端连接。
最常见的开源实现是 OpenSSH
登录：
在远程机器上执行 command，把 stdout，stderr 送回来然后断开连接：
常用参数：
scp 是一个命令行工具，是英文 secure copy 的缩写，用于在服务器和客户端之间传输文件，操作类似cp。
使用注意点：远程主机名后要加个冒号再跟路径。如：
SSH 以非对称加密实现身份验证。身份验证有多种途径，可以使用密码来认证，也可以通过实现配置好的密钥文件来认证。
通过密钥认证登录的条件：
我们通常使用 ssh-keygen 这个工具来生成公钥和私钥，如下：
这会生成两个文件 ~/.ssh/id_rsa 和 ~/.ssh/id_rsa.pub ，前者是私钥，我们应该小心保护，后者是公钥，应当将其放到服务端的 ~/.ssh/authorized_keys 中去，我们可以使用 ssh-copy-id 这个工具来完成：
或者手动将其复制粘贴过去。
也可以使用如下命令：
跳板机，又常叫做“Bastion host”。
在企业中，业务服务器通常有 ip 限制，不允许直接从办公机登录，而是需要先登录一个跳板机，通过跳板机来登录业务服务器。
这样做的目的是：隔离内部网络，只允许从跳板机访问，那么我们只需要特别关注跳板机的安全配置就可以了，便于更好的进行安全控制。
我们可以配置 ssh 客户端，让 ssh 替我们处理跳板机的登录，避免多次输入命令的负担。
假设我们有跳板机 jumpserver 和 目标服务器 targetserver。
方法一、使用命令行的 -J 参数
方法二、配置文件： ~/.ssh/config
然后就可以直接：
sshd 的配置文件： /etc/ssh/sshd_config 。
我们可以修改 sshd 的默认配置来增强系统的安全性，以下是一些需要注意的配置项：
SSH原理 and SSH远程登录
Secure Shell(SSH) 是由 IETF(The Internet Engineering Task Force) 制定的建立在应用层基础上的安全网络协议。它是专为远程登录会话(甚至可以用Windows远程登录Linux服务器进行文件互传)和其他网络服务提供安全性的协议，可有效弥补网络中的漏洞。通过SSH，可以把所有传输的数据进行加密，也能够防止DNS欺骗和IP欺骗。还有一个额外的好处就是传输的数据是经过压缩的，所以可以加快传输的速度。目前已经成为Linux系统的标准配置。
SSH只是一种协议，存在多种实现，既有商业实现，也有开源实现。本文主要介绍OpenSSH免费开源实现在Ubuntu中的应用，如果要在Windows中使用SSH，需要使用另一个软件PuTTY。
SSH之所以能够保证安全，原因在于它采用了非对称加密技术(RSA)加密了所有传输的数据。
传统的网络服务程序，如FTP、Pop和Telnet其本质上都是不安全的；因为它们在网络上用明文传送数据、用户帐号和用户口令，很容易受到中间人（man-in-the-middle）攻击方式的攻击。就是存在另一个人或者一台机器冒充真正的服务器接收用户传给服务器的数据，然后再冒充用户把数据传给真正的服务器。
但并不是说SSH就是绝对安全的，因为它本身提供两种级别的验证方法：
第一种级别（基于口令的安全验证）：只要你知道自己帐号和口令，就可以登录到远程主机。所有传输的数据都会被加密，但是不能保证你正在连接的服务器就是你想连接的服务器。可能会有别的服务器在冒充真正的服务器，也就是受到“中间人攻击”这种方式的攻击。
第二种级别（基于密钥的安全验证）：你必须为自己创建一对密钥，并把公钥放在需要访问的服务器上。如果你要连接到SSH服务器上，客户端软件就会向服务器发出请求，请求用你的密钥进行安全验证。服务器收到请求之后，先在该服务器上你的主目录下寻找你的公钥，然后把它和你发送过来的公钥进行比较。如果两个密钥一致，服务器就用公钥加密“质询”(challenge)并把它发送给客户端软件。客户端软件收到“质询”之后就可以用你的私钥在本地解密再把它发送给服务器完成登录。与第一种级别相比，第二种级别不仅加密所有传输的数据，也不需要在网络上传送口令，因此安全性更高，可以有效防止中间人攻击。
SSH分为客户端 openssh-client 和服务器 openssh-server，可以利用以下命令确认电脑上是否安装了客户端和服务器。
如果只是想远程登陆别的机器只需要安装客户端（Ubuntu默认安装了客户端），如果要开放本机的SSH服务就需要安装服务器。
首先确认ssh-server是否已经启动了
如图，sshd 表示ssh-server已经启动了。如果没有启动，可以使用如下命令启动：
停止和重启ssh服务的命令如下：
接下来就可以进行使用客户机远程登录服务器了~
口令登录非常简单，只需要一条命令，命令格式为： **ssh 客户端用户名@服务器ip地址 **eg:
如果需要 调用图形界面程序 可以使用 -X 选项
如果客户机的用户名和服务器的 用户名相同 ，登录时 可以省略 用户名。
还要说明的是，SSH服务的 默认端口是22 ，也就是说，如果你不设置端口的话登录请求会自动送到远程主机的22端口。我们可以使用** -p 选项来修改端口号**，比如连接到服务器的1234端口：
客户机必须要知道服务器的 ip地址 。可以在服务器端电脑上利用** ifconfig** 命令查看该机的ip地址：
如果是第一次登录远程主机，系统会给出下面提示：
意思是，该远程主机的真实性无法确定，其公钥指纹为 SHA256:s8pZiuKQr7k7f+57j22lk/IdWC8143VQKR+EabeP5，确定想要继续连接吗？
输入yes 即可。这时系统会提示远程主机被添加到已知主机列表。
然后会要求我们输入 远程主机的密码 ，输入的密码正确就可以成功登录了。命令提示符会修改为远程主机的提示符，现在开始，终端中输入的命令都将在服务器中执行。
我们可以通过** Ctrl+D** 或者 exit 命令 退出远程登录 。
每次登录远程主机都需要输入密码是很不方便的，如果想要省去这一步骤，可以利用密钥对进行连接，还可以提高安全性。
1、在本机生成密钥对
使用ssh-keygen命令生成密钥对：
ssh-keygen -t rsa #-t表示类型选项，这里采用rsa加密算法
然后根据提示一步步的按enter键即可（其中有一个提示是要求设置私钥口令passphrase，不设置则为空，这里看心情吧，如果不放心私钥的安全可以设置一下），执行结束以后会在 /home/当前用户 目录下生成一个 .ssh 文件夹,其中包含私钥文件 id_rsa 和公钥文件 id_rsa.pub。
2、将公钥复制到远程主机中
使用ssh-copy-id命令将公钥复制到远程主机。ssh-copy-id会将公钥写到远程主机的 ~/ .ssh/authorized_key 文件中
ssh-copy-id ldz@192.168.0.1
经过以上两个步骤，以后再登录这个远程主机就不用再输入密码了。
1）已获取登录实例的管理员帐号及密码（或密钥）。
2）云服务器实例已开通22号端口。
—使用密码登录
Host Name（or IP address） ：服务器的IP地址；
Port ：服务器的端口，必须设置为22；
Connect type ：选择 “SSH”；
Saved Sessions ：填写会话名称，例如 test。 配置 “Host Name” 后，再配置 “Saved Sessions” 并保存，则后续使用时您可直接双击 “Saved Sessions” 下保存的会话名称即可登录服务器；
登录完成后，命令提示符左侧将显示当前登录云服务器的信息。
—使用密钥登录
Ps: 当不存在私钥文件时，可以选择Conversions Import key 导入公钥(.pem)文件来生成私钥文件(.ppk)
Host Name (IP address) ：服务器的IP；
Port ：服务器的端口，必须填 22；
Connect type ：选择 “SSH”；
Saved Sessions ：填写会话名称，例如 test。 配置 “Host Name” 后，再配置 “Saved Sessions” 并保存，则后续使用时您可直接双击 “Saved Sessions” 下保存的会话名称即可登录服务器；
登录完成后，命令提示符左侧将显示当前登录服务器的信息。
【Linux】SSH 使用密码/公钥远程登录总结
本文是笔者查阅网上资料做的总结，关于SSH原理，什么是对称加密和非对称加密，本文不过多介绍。这里介绍一下SHH的工作过程、配制方法，可能出现的问题及解决方法。
说明：本文中涉及的例子，SSH客户端为：本地主机A，SSH服务器为：服务器B
SSH协议采用C-S（客户端-服务器端）架构进行双方的身份验证以及数据的加密。
服务器端组件监听指定的端口，负责安全连接的建立、对连接方的身份认证、以及为通过身份认证的用户建立正确的环境。
客户端负责发起最初的TCP握手、安全连接的建立、验证服务器的身份与之前记录中的一致、并将自己的验证信息提供给服务器。
一个SSH会话的建立过程分为两个阶段。第一阶段，双方沟通并同意建立一个加密连接通道以供后续信息传输用。第二阶段，对请求接入的用户进行身份验证以确定服务器端是否要给该用户开放访问权限。
当客户端发起TCP连接时，服务器端返回信息说明自己支持的协议版本，如果客户端上支持的协议与之匹配，则连接继续。服务器会提供自己的公共主机密钥（public host key）以让客户端确认自己访问的是正确的机器。
然后，双方采用一种Diffie-Hellman算法共同为该会话建立密钥。每一方的一部分私有数据，加上来自对方的一部分公共数据，通过这种算法计算，能够得出完全相同的密钥用于本次会话。
整个会话的通讯内容都使用该密钥进行加密。这个阶段使用的公钥/私钥对与用户验证身份用的SSH密钥是完全无关的。
经典Diffie-Hellman算法的计算步骤如下：
这个共享密钥的加密方式被称为二进制数据包协议（binary packet protocol）。该过程能够让双方平等的参与密钥生成的过程，而不是由单方掌握。这种共享密钥生成的过程是安全的，双方没有交换过任何未经加密的信息。
生成的密钥是对称式密钥，一方用于加密信息的密钥等同于另一方用于解密信息的密钥，而任何第三方由于不持有该密钥，是无法解密双方传递的内容的。
会话加密通道建立后，SSH开始进入用户认证阶段。
下一步，服务器验证用户身份以决定是否准许其访问。验证有不同的方式，选择的验证方式取决于服务器的支持。
最简单的验证是密码验证：服务器要求客户端输入密码，客户端输入的密码经过上述的通道加密传输给服务器。
虽然密码是加密过的，然而该方法仍然不被推荐，因为用户经常为了省事而使用过于简单的密码，而这类密码很容易就能够被自动化脚本破解。
最流行的验证方式是SSH密钥对，这也是当前最推荐的方式。SSH密钥对是非对称密钥，私钥和公钥分别用于不同的功能。
公钥用于加密，而私钥用于解密。公钥可以随意上传、共享，因为公钥的流通并不会危及到私钥的保密性。
SSH密钥对的验证过程起始于上一部分加密通道建立之后，其具体执行步骤如下：
简单来说，服务器端用公钥加密信息，客户端用私钥解密信息以证明自己持有私钥。该过程同时使用了对称加密和非对称加密，两种方式各有自己的功用。
命令如下：
用户名：为要登录的服务器B中已存在的用户账户名
IP地址：为服务器B的IP地址
-p 端口号：用来指定端口号，默认为22
第一次登录时，会提示如下提示：
大概意思是说，你正在访问的主机不能验证它的真实性，它的RSA key（当前访问主机的公钥）指纹是怎样的，你确定要继续连接吗？
输入yes继续，会提示，已永久把当前访问主机的RSA key添加到了已知主机文件（用户目录下，.ssh 文件夹中的knwon_hosts文件）中。之后再次 SSH 登录就不再有该提示了。
接着，输入登录账户的密码即可。
SSH 密码登录，需要服务器开启密码验证权限，编辑服务器SSH配置命令如下：
在 sshd_config 文件中，Protocol 2 下面 #PasswordAuthentication yes，将前面的#号去掉，保存退出。
公钥登录，即免密码登录。避免的每次登录都要输入的麻烦，也防止了中间人攻击。是SSH远程登录最常用的登录方式。
提示输入密钥对名称，直接回车，使用默认名称即可；
提示输入密码（使用私钥时，要输入密码），直接回车，不使用密码即可。
首先，登录服务器B，在进行下面的操作。
找到 #PubkeyAuthentication yes，删除 #号，保存退出。
重启 ssh 服务
也可指定验证私钥：
本地主机A，生成密钥对后：
sudo vim /etc/selinux/config
什么是SSH?
什么是SSH?
SSH的英文全称是Secure
Shell
Protocol，安全外壳协议。
通过使用SSH，你可以把所有传输的数据进行加密，这样”中间人”这种攻击方式就不可能实现了，而且也能够防止DNS和IP欺骗。还有一个额外的好处就是传输的数据是经过压缩的，所以可以加快传输的速度。SSH有很多功能，它既可以代替telnet，又可以为ftp、pop、甚至ppp提供一个安全的”通道”。SSH客户端与服务器端通讯时，用户名及口令均进行了加密，有效防止了对口令的窃听。最初SSH是由芬兰的一家公司开发的。但是因为受版权和加密算法的限制，现在很多人都转而使用OpenSSH。OpenSSH是SSH的替代软件，而且是免费的，可以预计将来会有越来越多的人使用它而不是SSH。SSH是由客户端和服务端的软件组成的。SSH安装容易、使用简单，而且比较常见，一般的Unix系统、Linux系统、FreeBSD系统都附带有支持SSH的应用程序包。
【ssh客户端】的内容来源于互联网，如引用不当，请联系我们修改。
网友留言：