如何在 Linux 中配置基於金鑰認證的 SSH | Linux 中國

什麼是基於 SSH 金鑰的認證？

眾所周知，Secure Shell，又稱 SSH，是允許你透過無安全網路（例如 Internet）和遠端系統之間安全訪問/通訊的加密網路協議。無論何時使用 SSH 在無安全網路上傳送資料，它都會在源系統上自動地被加密，並且在目的系統上解密。SSH 提供了四種加密方式，基於密碼認證，基於金鑰認證，基於主機認證和鍵盤認證。最常用的認證方式是基於密碼認證和基於金鑰認證。

在基於密碼認證中，你需要的僅僅是遠端系統上使用者的密碼。如果你知道遠端使用者的密碼，你可以使用 ssh user@remote-system-name 訪問各自的系統。另一方面，在基於金鑰認證中，為了透過 SSH 通訊，你需要生成 SSH 金鑰對，並且為遠端系統上傳 SSH 公鑰。每個 SSH 金鑰對由私鑰與公鑰組成。私鑰應該儲存在客戶系統上，公鑰應該上傳給遠端系統。你不應該將私鑰透露給任何人。希望你已經對 SSH 和它的認證方式有了基本的概念。

這篇教程，我們將討論如何在 Linux 上配置基於金鑰認證的 SSH。

在 Linux 上配置基於金鑰認證的 SSH

為方便演示，我將使用 Arch Linux 為本地系統，Ubuntu 18.04 LTS 為遠端系統。

本地系統詳情：

遠端系統詳情：

本地系統配置

就像我之前所說，在基於金鑰認證的方法中，想要透過 SSH 訪問遠端系統，需要將公鑰上傳到遠端系統。公鑰通常會被儲存在遠端系統的一個 ~/.ssh/authorized_keys 檔案中。

註意事項：不要使用 root 使用者生成金鑰對，這樣只有 root 使用者才可以使用。使用普通使用者建立金鑰對。

現在，讓我們在本地系統上建立一個 SSH 金鑰對。只需要在客戶端系統上執行下麵的命令。

$ ssh-keygen

上面的命令將會建立一個 2048 位的 RSA 金鑰對。你需要輸入兩次密碼。更重要的是，記住你的密碼。後面將會用到它。

樣例輸出：

Generating public/private rsa key pair.
Enter file in which to save the key (/home/sk/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/sk/.ssh/id_rsa.
Your public key has been saved in /home/sk/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:wYOgvdkBgMFydTMCUI3qZaUxvjs+p2287Tn4uaZ5KyE [email protected]
The key's randomart image is:
+---[RSA 2048]----+
|+=+*= + |
|o.o=.* = |
|.oo * o + |
|. = + . o |
|. o + . S |
| . E . |
| + o |
| +.*o+o |
| .o*=OO+ |
+----[SHA256]-----+

如果你已經建立了金鑰對，你將看到以下資訊。輸入 y 就會改寫已存在的金鑰。

/home/username/.ssh/id_rsa already exists.
Overwrite (y/n)?

請註意密碼是可選的。如果你輸入了密碼，那麼每次透過 SSH 訪問遠端系統時都要求輸入密碼，除非你使用了 SSH 代理儲存了密碼。如果你不想要密碼（雖然不安全），簡單地敲兩次回車。不過，我建議你使用密碼。從安全的角度來看，使用無密碼的 ssh 金鑰對不是什麼好主意。這種方式應該限定在特殊的情況下使用，例如，沒有使用者介入的服務訪問遠端系統。（例如，用 rsync遠端備份……）

如果你已經在個人檔案 ~/.ssh/id_rsa 中有了無密碼的金鑰，但想要更新為帶密碼的金鑰。使用下麵的命令：

$ ssh-keygen -p -f ~/.ssh/id_rsa

樣例輸出：

Enter new passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved with the new passphrase.

現在，我們已經在本地系統上建立了金鑰對。接下來，使用下麵的命令將 SSH 公鑰複製到你的遠端 SSH 服務端上。

$ ssh-copy-id sk@192.168.225.22

在這裡，我把本地（Arch Linux）系統上的公鑰複製到了遠端系統（Ubuntu 18.04 LTS）上。從技術上講，上面的命令會把本地系統 ~/.ssh/id_rsa.pub 檔案中的內容複製到遠端系統 ~/.ssh/authorized_keys 中。明白了嗎？非常棒。

輸入 yes 來繼續連線你的遠端 SSH 服務端。接著，輸入遠端系統使用者 sk 的密碼。

/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
sk@192.168.225.22's password:
Number of key(s) added: 1
Now try logging into the machine, with: "ssh 'sk@192.168.225.22'"
and check to make sure that only the key(s) you wanted were added.

$ ssh-copy-id -f sk@192.168.225.22

$ sudo vi /etc/ssh/sshd_config

PasswordAuthentication no

$ sudo systemctl restart sshd

$ ssh sk@192.168.225.22

Enter passphrase for key '/home/sk/.ssh/id_rsa':
Last login: Mon Jul 9 09:59:51 2018 from 192.168.225.37
sk@ubuntuserver:~$

The authenticity of host '192.168.225.22 (192.168.225.22)' can't be established.
ECDSA key fingerprint is 67:fc:69:b7:d4:4d:fd:6e:38:44:a8:2f:08:ed:f4:21.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.225.22' (ECDSA) to the list of known hosts.
Permission denied (publickey).

$ ssh-keygen

$ cat ~/.ssh/id_rsa.pub

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCt3a9tIeK5rPx9p74/KjEVXa6/OODyRp0QLS/sLp8W6iTxFL+UgALZlupVNgFjvRR5luJ9dLHWwc+d4umavAWz708e6Na9ftEPQtC28rTFsHwmyLKvLkzcGkC5+A0NdbiDZLaK3K3wgq1jzYYKT5k+IaNS6vtrx5LDObcPNPEBDt4vTixQ7GZHrDUUk5586IKeFfwMCWguHveTN7ykmo2EyL2rV7TmYq+eY2ZqqcsoK0fzXMK7iifGXVmuqTkAmZLGZK8a3bPb6VZd7KFum3Ezbu4BXZGp7FVhnOMgau2kYeOH/ItKPzpCAn+dg3NAAziCCxnII9b4nSSGz3mMY4Y7 ostechnix@centosserver

$ mkdir -p ~/.ssh

echo {Your_public_key_contents_here} >> ~/.ssh/authorized_keys