毕业论文网
本论文是一篇免费优秀的关于SSH论文范文资料，可用于相关论文写作参考。
SSH命令行帮你实现6种贴心的安全应用
安全Shell 是一种用于安全连接的网络协议.它被大量地运用在针对各种服务器的连接、修改、上传和最后退出的环节中.这些操作有时候可以通过工具来实现,有时甚至可以直接使用终端.在这里,您将了解到在标准的SSH 之外使用终端的一些技巧.
在深入讨论SSH 技术之前,我们假设您对SSH 密钥的安全性和使用已经具有了一定的基本知识.在这篇文章中,我们将使用用户来指代SSH 的用户,用yourserver.tld 指代域名或IP 地址,所以您需要自行替换成正确的用户名和主机名信息.
为了修改SSH 服务器端的配置,您需要直接以root 身份登录,或者通过sudo 进行一般用户权限的提升.而为了使得在/etc/ssh/sshd_config 中的更改能在系统范围内生效,您需要重新加载SSH 服务.
根据您所使用的操作系统不同,具体操作上也会有所差异.例如在基于Debian 的系统上,您需要以root 身份或是做sudo 提权后,在终端里输入service ssh reload.每次当您更改了服务器端的SSH 配置之后,就需要重新加载（或重新启动）其对应的服务.
配置顺序
和其他Linux 系统工具一样,配置选项生效的顺序如下：
·在终端/ 应用程序中直接给出命令行的选项.
·用户的配置文件（~/.ssh/config）.
·客户端的系统范围配置文件（/etc/ssh/ssh_config）.
这就意味着：任何通过命令行所输入的SSH 参数都比那些在配置文件中的选项有着优先的执行级别.因此对于单次性的操作而言,最好方式是直接使用命令输入；而对于您要经常连接的特定主机,或是要用到不同用户名的情况,最好还是保存在配置文件中.SSH 守护程序本身用到的,系统范围的配置文件被存放在etc/ssh/sshd_config 处.
主机匹配
您可以在各种SSH 配置文件中使用通配符,也就是说您可以把一个指令集应用到大范围的主机上,然后对每个主机再使用一些特定的指令,例如：
在~/.ssh/config 中,
·Host myhost-*
·Port 1234
·Host myhost-one
·Hostname myhost-one.yourserver.tld
·User admin
·Host myhost-two
·Hostname myhost-two.yourserver.tld
·User anotheradmin
在上面的例子中,两台服务器使用相同端口号1234,不同的用户名建立不同的连接.有了这些基础知识,我们就可以开始用SSH 来实现以下6 种应用了.
1. TP
“想访问存储在服务器上的文件,但无需安装任何额外的软件.”
大多数FTP 应用程序（例如FileZilla）都可以使用TP（SSH 的文件传输协议）,它是将文件传输到您的Web 主机的首选方式.在其GUI 上,您可以填写地址、端口、用于SSH 连接的用户名以及要传输的文件.通常情况下,您需要进入应用程序的设置界面,禁用固定的,而改用您的SSH 私钥来建立连接.
在终端上,您可以通过输入tp,来调出交互式控制台.请记住,由于其TP 只提供有限的命令选项,如：创建目录、浏览访问的目录和下载/ 上传文件,因此您无法在控制台内使用到SSH 的其他所有命令.您可以通过链接：https://itservices.usc.edu/tp/cline/ 来了解更多的TP 命令行操作.
2. KeepAlive
“我的防火墙老是关闭我的连接.”
有时候,您的防火墙可能会中断掉一些正常的连接.下面就有三个指令能够防止SSH 连接被过早地掐断.
TCP KeepAlive 可以在SSH 的客户端和守护进程的配置文件中使用.它决定了是否需要发送保持连接的TCP 消息.TCP KeepAlive 的默认值为yes.它会发出TCP 消息,提醒防火墙注意到连接的继续,而不要掐断它.当然有些用户在不需要的时候可以将TCP KeepAlive 设置为no.
ServerAliveInterval 验证其连接是否存活.在客户端配置中,您可以指定客户端在发送数据包给服务器之前所需等待的秒数.如果将该值设置为0,即禁用此选项,则会在一段空闲的时间之后断开SSH 会话.而指令ServerAliveCountMax 指定了从发送数据包,到该连接由于没有来自服务器的响应而被取消的反复尝试次数（一般为整数）.
ClientAliveInterval 是在SSH 守护进程的服务配置文件/etc/ssh/sshd_config 中所使用的指令.它指定了服务器在发送数据包给客户端之前所需等待的秒数.您可以将该值设置为0,即禁用该选项.而指令ClientAliveCountMax 指定了从发送数据包,到该连接由于没有来自客户端的响应而被取消的反复尝试次数（一般为整数）.
所有主机都使用相同的客户端SSH 配置文件,来设置keep alive 的参数：
在~/.ssh/config 中
·Host *
·ServerAliveInterval 30
·ServerAliveCountMax 10
这样的配置意味着客户在发送一个之前要等待30s,并且要尝试多达10 次,以确认在服务器无响应的情况下中断连接.
3. SSH 代理
“我觉得每次输入短语很繁琐,也许我应该生成一些密钥而非短语.”
一种常见且有效的安全做法是加密您的SSH 私钥,并用短语来进行解密.这种方法的缺点是：您每次都必须繁琐地重新输入以初始化SSH 连接,而这本质上就是反复输入的过程.
为了解决这个问题,可以使用ssh-agent.它是一种能在会话期间将私钥保持在内存之中的工具.当代理启动后,所有需要SSH 连接的窗口和应用程序都将通过该代理来获得您的私钥,因此只需要在会话开始的时候一次性输入短语便可.
在大多数Linux 操作系统上,SSH 代理是默认运行的,因此不需要额外进行安装.如果您想检查ssh 代理是否正在运行,您可以在终端里输入：
.ps x | grep ssh-agent
如果还没有运行的话,您可以这样启动它：
.eval $(ssh-agent)
一旦它运行起来,您就可以罗列出ssh 代理当前可用的所有密钥：
.ssh-add L
如果要用的密钥丢失, 您可以通过ssh-add /path/to/your/ssh/privatekey 来添加它.当您想连接一台主机,却碰到Too many authentication failures for user 的错误时,这就意味着SSH 代理正在试图检查所有可用的密钥.因此最好的方法是在您的配置文件中定义一个IdentityFile /path/to/your/ssh/privatekey/forthishost.如果您要确保只能使用由IdentityFile 所定义的连接,则可以在配置中使用指令IdentitiesOnly yes,它会告诉SSH 只使用由终端或配置文件所提供的密钥.请看如下的例子：
在~/.ssh/config 中,
·Host yourserver
·HostName yourserver.tld
·IdentityFile~/.ssh/yourprivatekeyname
·IdentitiesOnly yes
·User user
如果我就只想在最开始的时候输入一次短语,之后就算我从一台主机连接到另一台主机的时候,也不要提示我再次输入,这时候可以使用“代理转发”.
为了能够在互连的主机之间共用相同的信任凭证,代理也是可以被转发的.虽然这样的转发非常方便,但是请记住：代理仅能将您的私钥保存在内存之中.一旦某个恶意程序攻破了联网的一台主机,就能使用您的密钥在其他主机上执行各种命令.可见,代理转发是一种不安全的方法,只能在您所连接的信任主机上被使用.
为了用到代理转发,您需要在客户端的ssh_config 上设置ForwardAgent yes,并在任何需要用到转发代理的服务器上的/etc/ssh/sshd_config 里设置AllowAgentForwarding yes.
4. 通过本地端口转发的隧道
“我想要做的事情,本地电脑不允许,但我知道哪里会有一台电脑是允许的.”
隧道是SSH 的一种最常见的高级使用案例.它在SSH 连接内通过加密应用的流量,从而实现安全保护.这对于传统软件或其他安全性欠佳的应用和系统来说是非常有用的,它为软件设置了一个不能也无法改变的安全包装,以抵御不安全网络环境.
（1）服务器端
服务器端可以修改文件/etc/ssh/sshd_config 中的配置.由于以# 开头的行是被注释掉的,因此如果您想使用该选项的话,只要复制出另外一行进行修改或者直接取消掉注释便可.对于端口转发式的隧道,为了使其工作,您需要开启TCP 的转发.
在/etc/ssh/sshd_config 中,·AllowTcpForwarding yes.如果您修改了服务器的配置文件,请记得重新加载SSH服务.至于如何重载或重新启动您的服务端的服务,则取决于操作系统的类型.在大多数情况下,应该是如下命令：
·service ssh reload
（2）客户端
在客户端有好几种方法来使用SSH 隧道.大多数情况下,可以这样来实现SSH 隧道：
如果您想对一个仅供另一台机器访问的数据库来执行查询操作,那么就需要用隧道来连接那台机器.下面的例子展示了如何运用yourserver.tld 来隧道连接到一台PostgreSQL 数据库服务器,并且在那里使用基于终端的psql frontend.
① ssh-L5000:psql.server.ip:5432 user@yourserver.tld
② psql-p 5000-h 127.0.0.1-U postgres
一些网站被您的网络所封锁,所以要用隧道来进入一台允许各种连接和能够浏览这些网站的主机.下面的命令能够使用本机以隧道的方式进入另一台不受限制的主机.在本地计算机上,您可以在浏览器中输入并打开http://localhost:1337,它将用默认的HTTP 80 端口打开yourwebsite.com.
ssh -L 1337:yourwebsite.com:80
5. X11 转发
“我并没有一些昂贵软件的许可证,我只能在连上服务器后,显示在我家里的屏幕上.”
您可以通过SSH 来初始化X11 转发,这就意味着您可以显示远程的计算机桌面环境,并将各种X11 包转发到您所使用的计算机上.X11 转发有着广泛的适用性,特别是在您必须使用某个特定软件的GUI 时.在下面的例子中,我们将测试用X11 来转发xclock.
（1）先决条件
为了能将X11 包转发给客户端,xauth 包必须被预先安装在服务器上.所以如果你想测试xclock 的话,就必须提前安装好它.
（2）服务器
在服务器上,需要在/etc/ssh/sshd_config 里启用X11Forwarding.具体操作是：定位到具有X11Forwarding 的一行,将其设置为yes,也就是说：如果该行已经存在,并被注释掉了的话,您直接删除前面的# 便可.
在/etc/ssh/sshd_config 中,
·X11Forwarding yes
在修改了配置文件之后,请不要忘记重新加载SSH 服务.
（3）客户端
·ssh-X
现在,您可以使用X11 来将服务器转发到客户端的计算机上了.通过输入xclock,一个时钟窗口会在您的桌面电脑上弹出,如截图所示.
X11 转发的伟大之处在于：当你想使用一个由于授权方面的原因而只能安装在一台服务器上的软件,或是与您的普通电脑有着不同的性能需求时,都可以用到X11 转发.
6. 代理跳转（ProxyJump）
“我想访问与外界相隔离的专用网络,我会搭建一台能够连接的服务器,然后跳转到要去的那些机器上.”
SSH 的一种常见访问策略是连接到一台堡垒主机上,然后从那里跳转到没有公共路由的设备上.该堡垒主机被称为代理链上的第一跳主机.ProxyJump 是OpenSSH 的一个新功能,它简化了所用到的跳跃主机.在您不希望被公开暴露时,它为主机添加了一层额外的安全.
这方面的一个案例是：用一台小机器作为路由器后面的堡垒实体机,在上面运行sshd,并从那里跳转到其他主机上.可见,这对于家庭网络是很实用的.这与从端口转发和从一台主机隧道到下一台上并没什么不同,只是现在这种情况下,用关键字ProxyJump 描述的是在指定的多台主机间跳跃,参照的是含有逗号分隔的列表.在终端上,请使用参数-J,如下所示：
·ssh-J proxy.server.tld:22 yourserver.tld
对于更为复杂的、需要使用不同的用户名来实现的若干台主机间的跳转,可以使用：
·ssh-J [email protected]:port1,[email protected]:port2
由于可能会经常使用到主机间的跳转,因此最好把它们包含在用户或系统常规SSH 配置之中.如下的配置文件就适用于上述的用例：
在~/.ssh/config 中,
·Host yourserver.tld
·HostName yourserver.tld
·ProxyJump user1@proxy.server1.tld:port1,user2@proxy.server2.tld:port2
·User user
你也可以为每一个主机的跳转指定SSH 配置,并使用ProxyJump 字段来指定它们的别称.
在~/.ssh/config 中,
·Host firstproxy
·HostName proxy.server1.tld
·Port 1234
·User user1
·Host secondproxy
·HostName proxy.server2.tld
·Port 5678
·User user2
·Host yourserver.tld
·HostName yourserver.tld
·ProxyJump firstproxy,secondproxy
·User user
注意,新添加的ProxyJump 和那些旧的ProxyCommand指令都完全遵守“先到先得”的原则,这就意味着先设定的会被先执行、以此类推下去.如果您的SSH 客户端并不支持ProxyJump 的话,您可以改用ProxyJump 的指令：
ProxyCommand ssh firstproxy -W %h:%p.
SSH论文范文结:
关于本文可作为相关专业SSH论文写作研究的大学硕士与本科毕业论文SSH论文开题报告范文和职称论文参考文献资料。