教 程 一

#安裝

1、先安裝telnet，避免安裝ssh出錯(cuò)后無(wú)法

yum install telnet-server -y

systemctl start telnet.socket

netstat -lnt|grep 23 檢查telnet端口是否正常打開(kāi)

如果telnet無(wú)法登錄 vim /etc/securetty 最后一行添加pts/1

2、確保telnet能夠正常登錄后，卸載ssh

備份原有ssh配置文件，然后卸載系統(tǒng)預(yù)裝的ssh

cp /etc/ssh/sshd_config{,.bak}

yum remove openssh -y

3、源碼安裝ssh

tar zxvf openssh-8.7p1.tar.gz

cd openssh-8.7p1/

./configure --prefix=/usr --sysconfdir=/etc/ssh --with-ssl-dir=/usr --with-pam（pam可選項(xiàng)）

報(bào)錯(cuò)miss zlib執(zhí)行yum install zlib-devel -y

make -j 4 && make install

備注：

–prefix=當(dāng)前ssh安裝目錄

–sysconfdir=配置文件目錄

–with-ssl-dir=openssl安裝目錄

–with-pam 啟用pam

4、添加啟動(dòng)文件

cd contrib/redhat/

cp sshd.init /etc/init.d/sshd

chkconfig --add sshd

chkconfig sshd on

啟用pam則將sshd.pam 復(fù)制到/etc/pam.d/

如不能登錄則設(shè)置

setenforce 0 臨時(shí)關(guān)閉

修改 SELINUX=disabled

sed -i 's/^SELINUX=.*$/SELINUX=disabled/’ /etc/selinux/config

嘗試登錄ssh，一切正常后關(guān)閉telnet服務(wù)

確認(rèn)安裝完畢后注釋/etc/securetty 添加的pts/1

關(guān)閉telnet服務(wù)

5、安裝openssl

部分版本ssh升級(jí)需安裝高版本的openssl

yum remove openssh -y 卸載原有openssl

下載openssl

解壓 openssl

cd openssl-1.1.1l/

./config --prefix=/usr/

make -j 4&& make install

#常用配置

ssh代理

假設(shè)場(chǎng)景，有3臺(tái)服務(wù)器，ABC，C不通外網(wǎng)，B能訪問(wèn)C，可通過(guò)ssh代理讓A直接訪問(wèn)到C

正向代理

在本地啟動(dòng)端口，把本地端口數(shù)據(jù)轉(zhuǎn)發(fā)到遠(yuǎn)端（讓執(zhí)行命令的主機(jī)將能訪問(wèn)的端口暴露出來(lái)）

1、連接在B主機(jī)上啟動(dòng)一個(gè)端口PortB，將B主機(jī)的端口轉(zhuǎn)發(fā)到C主機(jī)的端口，此時(shí)A訪問(wèn)B主機(jī)的PortB等于訪問(wèn)C主機(jī)的PortC ，遠(yuǎn)程端口映射到其他機(jī)器,訪問(wèn)遠(yuǎn)程主機(jī)等同于訪問(wèn)該主機(jī)映射到其他主機(jī)的端口

ssh -CfNg -L 0.0.0.0:PortB:HostC:PortC -o ServerAliveInterval=60 user@HostC

2、在A主機(jī)上將啟動(dòng)一個(gè)端口PortA,通過(guò)HostB轉(zhuǎn)發(fā)到HostC:PortC上,這時(shí)訪問(wèn)HostA:PortA 相當(dāng)于訪問(wèn) HostC:PortC(本地端口通過(guò)跳板映射到其他機(jī)器，讓A能訪問(wèn)B能訪問(wèn)的端口)

ssh -CfNg -L 0.0.0.0:PortA:HostC:PortC -o ServerAliveInterval=60 user@HostB

反向代理

由遠(yuǎn)端將自己能訪問(wèn)的端口通過(guò)ssh轉(zhuǎn)發(fā)出去，并告訴近端準(zhǔn)備一個(gè)端口監(jiān)聽(tīng)，訪問(wèn)近端監(jiān)聽(tīng)端口的所有流量會(huì)由遠(yuǎn)端轉(zhuǎn)發(fā)到C主機(jī)指定端口（讓A能訪問(wèn)到執(zhí)行命令的主機(jī)B能訪問(wèn)到的C端口）

1、B主機(jī)執(zhí)行命令啟動(dòng)一個(gè)轉(zhuǎn)發(fā)，將A主機(jī)的PortA映射到自己能訪問(wèn)的C的PortC， 此時(shí)訪問(wèn)A主機(jī)PortA等于訪問(wèn)C主機(jī)的PortC

ssh -CfNg -R HostA:PortA:HostC:PortC -o ServerAliveInterval=60 user@HostA

注：A主機(jī)/etc/ssh/sshd_config需添加 GatewayPorts yes

假如本機(jī):只有一個(gè)ssh端口對(duì)外，另一個(gè)webport只能內(nèi)網(wǎng)訪問(wèn)，可通過(guò)本地轉(zhuǎn)發(fā)將webport映射出去，此時(shí)訪問(wèn)A主機(jī)PortA等于訪問(wèn)本機(jī)webport

ssh -CfNg -R HostA:PortA:127.0.0.1:webport -o ServerAliveInterval=60 user@HostA

參數(shù)詳解：

-C:壓縮數(shù)據(jù)

-f:后臺(tái)運(yùn)行

-N:不執(zhí)行遠(yuǎn)程命令,需要繼續(xù)再目標(biāo)服務(wù)器執(zhí)行命令可不加

-g:允許遠(yuǎn)端主機(jī)連接本地轉(zhuǎn)發(fā)端口

ssh登錄配置

配置 ~/.ssh/config

Host *

ServerAliveInterval 60 //自動(dòng)發(fā)送空字符，避免斷開(kāi)

Host myserver

HostName 192.168.1.10

Port 22

User root

IdentityFile ~/.ssh/對(duì)應(yīng)服務(wù)器私鑰文件

配置后可通過(guò)ssh myserver 直接登錄目標(biāo)服務(wù)器

私鑰登錄

ssh-keygen -t rsa -C “myserver” //創(chuàng)建密鑰對(duì) -t 指定協(xié)議 -C 添加描述

ssh-copy-id -i '公鑰文件’ remote_ip //將本機(jī)的公鑰文件添加到遠(yuǎn)程主機(jī)的~

教 程 二

ssh反向代理+正向代理

GatewayPorts yes

service ssh restart

ssh -CNfL a_port:c_ip:c_port b_user@b_ip

ssh -CNfL 6666:c_ip:80 b_user@b_ip

ssh -CNfL a_port:b_ip:b_port b_user@b_ipssh -CNfL a_port:localhost:b_port b_user@b_ip

ssh -CNfR b_port:127.0.0.1:a_port b_user@b_ip

ssh -CNfR b_port:127.0.0.1:80 b_user@b_ip