SSH最初是由程序員Tatu Yloenen開(kāi)發(fā)，包括SSH協(xié)議和服務(wù)軟件，英文全稱(chēng)為Secure Shell（即安全外殼）。它實(shí)現了密鑰交換協(xié)議及主機和客戶(hù)端認證協(xié)議，在傳送數據時(shí)把所有數據都加密傳輸，在接收方再進(jìn)行解密，以防止網(wǎng)絡(luò )竊聽(tīng)的發(fā)生。
SSH已經(jīng)有了很多商品化版本，而且還有多種Unix/Linux系統平臺上的免費版本。本文將主要以L(fǎng)inux操作系統為服務(wù)器（在其它的Unix或Unix的派生操作系統上的操作也一樣），Windows操作系統為客戶(hù)端，介紹免費的商業(yè)SSH版本的安裝及其實(shí)現。其重點(diǎn)是Linux服務(wù)器的配置。
軟件的獲得和安裝
軟件的獲得可從http://www.openssh.org下載OpenSSH，當前最新版本為3.6.1，或者從http://www.ssh.com/ 下載針對Linux的非商業(yè)版本，當前最新版本為3.2，具體地址為：
SSH服務(wù)器地址 http://www.ssh.com/support/downloads/secureshellserver/non-commercial.html
SSH客戶(hù)端地址 http://www.ssh.com/support/downloads/secureshellwks/non-commercial.html（這是一個(gè)For Windows的版本）。
不管是OpenSSh還是SSH Communications Security公司的SSH版本，在使用功能上基本一樣，只是前者完全免費，而后者使用時(shí)要注意許可協(xié)議。從使用角度上可考慮，筆者認為后者更好用一些。本文著(zhù)重介紹后者的安裝和使用。
從SSH Communications Security公司下載的SSH服務(wù)器是源代碼方式，文件名為ssh-3.2.3.tar.gz，必須對其進(jìn)行編譯和安裝之后才能夠使用。
我們假設軟件的下載目錄為root用戶(hù)的宿主目錄，即“/root”目錄。解壓縮完成后會(huì )生成一個(gè)“ssh-3.2.3”的源代碼目錄,然后切換到源代碼代碼目錄，進(jìn)行軟件安裝前的配置，編譯和安裝。
安裝成功后，在“/etc/”目錄下會(huì )增加一個(gè)“ssh2”目錄，這個(gè)目錄是用來(lái)存放SSH服務(wù)器的所有配置文件；在“/usr/local/”目錄下會(huì )生成“ssh3.2.3”子目錄，它是SSH程序文件和其它文件的存放位置。
基本配置和應用
默認安裝，每次重新啟動(dòng)系統后都要重復上述操作才能啟動(dòng)SSH服務(wù)器。為了保證SSH服務(wù)器每次開(kāi)機時(shí)自動(dòng)啟動(dòng)，還要在“/etc/rc.d/rc.local”文件（此文件類(lèi)似于DOS下的autoexec.bat文件令）的最后加入以下內容：
#start ssh3.2
/usr/local/ssh2/sbin/sshd &
其中第一行為注釋內容，第二行為啟動(dòng)SSH服務(wù)器并作為后臺守護進(jìn)程運行。
接下來(lái)要做的是配置SSH服務(wù)器，所有的配置都是通過(guò)修改“/etc/ssh2/sshd2_config”文件實(shí)現的。文件的默認配置已經(jīng)能滿(mǎn)足一般的要求。下面介紹幾種比較常見(jiàn)的應用：
使超級用戶(hù)root能夠直接登錄服務(wù)器
使用Telnet時(shí)root用戶(hù)默認情況下不能直接從遠程登錄系統，一般要先以普通用戶(hù)登錄，然后，使用su切換到root身份，這也是出于安全性的考慮。由于SSH使用了加密方式傳輸數據，所以可以放心地直接使用root登錄服務(wù)器，那么我們需要將sshd2_config文件中的
#PermitRootLogin yes
取消注釋?zhuān)缓?，重新啟?dòng)SSH服務(wù)器，即可通過(guò)SSH以root身份登錄Linux服務(wù)器。當然，如果您要禁止超級用戶(hù)登錄的話(huà)，可將“yes”改為“no”即可。
允許或禁止某些用戶(hù)或組用戶(hù)使用SSH登錄
要實(shí)現禁止用戶(hù)或組使用SSH登錄服務(wù)器，只需要修改sshd2_config文件中的以下幾行內容：
#AllowUsers sj.*,s[[]]*,s(jl|amza)
#DenyUsers skuuppa,warezdude,31373
#DenyUsers don@untrusted\.org
#AllowGroups staff,users
#DenyGroups guest,anonymou
可以根據自己的實(shí)際需要，取消注釋符“#”，加入實(shí)際的用戶(hù)名或者組名，然后重新啟動(dòng)SSH服務(wù)器即可禁止（或允許）某些用戶(hù)或者組使用SSH，具體操作這里不再詳述。
使用SFTP代替FTP傳輸文件
FTP(文件傳輸協(xié)議)是一種使用非常廣泛的在網(wǎng)絡(luò )中傳輸文件的方式，但是，它也同樣存在被網(wǎng)絡(luò )竊聽(tīng)的危險，因為它也是以明文傳送用戶(hù)認證信息。其實(shí)在SSH軟件包中，已經(jīng)包含了一個(gè)叫作SFTP(Secure FTP)的安全文件傳輸子系統，SFTP本身沒(méi)有單獨的守護進(jìn)程，它必須使用sshd守護進(jìn)程（端口號默認是22）來(lái)完成相應的連接操作，所以從某種意義上來(lái)說(shuō)，SFTP并不像一個(gè)服務(wù)器程序，而更像是一個(gè)客戶(hù)端程序。SFTP同樣是使用加密傳輸認證信息和傳輸的數據，所以，使用SFTP是非常安全的。但是，由于這種傳輸方式使用了加密/解密技術(shù)，所以傳輸效率比普通的FTP要低得多，如果您對網(wǎng)絡(luò )安全性要求更高時(shí)，可以使用SFTP代替FTP。若要開(kāi)啟SFTP功能可以修改sshd2_config文件的下列內容：
# subsystem-sftp sftp-server
去掉行首的“#”，然后重新啟動(dòng)SSH服務(wù)器，這樣在進(jìn)行SSH連接時(shí)就可以同時(shí)使用SFTP傳輸文件。
關(guān)于客戶(hù)端設置
以上是對服務(wù)器的設置，其實(shí)在SSH服務(wù)器中已經(jīng)包含了一些客戶(hù)端工具（如SSH,SFTP工具）。但是，更多的客戶(hù)端用戶(hù)使用Windows系統，下面就對Windows上的客戶(hù)端系統設置加以說(shuō)明。
首先從上文給出的網(wǎng)址下載“SSHSecureShellClient-3.2.3.exe”文件并安裝。安裝完成后，在桌面上會(huì )產(chǎn)成兩個(gè)快捷方式，一個(gè)是“SSH Secure Shell Client”，用于遠程管理，另一個(gè)是“SSH Secure File Transfer Client”，用于和服務(wù)器進(jìn)行文件傳輸。在工具欄中點(diǎn)擊“quick connnect”，輸入正確的主機名和用戶(hù)名，然后在彈出的對話(huà)框中輸入密碼完成登錄，即可開(kāi)始執行命令或者傳輸文件。在使用SFTP時(shí)，默認只能顯示用戶(hù)的宿主目錄的內容和非隱藏文件。但是，有時(shí)候您可能還要查看其它目錄或者隱藏文件，這時(shí)只需要在菜單“eidt->;setting->;file transfer”的選項中選中“show root directory”和“show hidden file”兩個(gè)選項即可。
使普通用戶(hù)僅使用SFTP而沒(méi)有使用Shell的權限
默認情況下管理員給系統添加的賬號將同時(shí)具有SFTP和SSH的權限。讓普通用戶(hù)使用shell執行命令也是有很大的安全隱患的，如果能夠禁止用戶(hù)使用shell執行命令而僅使用SFTP傳輸文件，就能消除這種安全隱患，完全實(shí)現FTP的功能，
正如上文所述，SFTP沒(méi)有單獨的守護進(jìn)程，只能借助于sshd守護進(jìn)程，所以我們仍然需要使用SSH服務(wù)器，要保證sshd守護進(jìn)程處于運行狀態(tài)。具體實(shí)現方法如下：
首先，在編譯安裝時(shí)，編譯中一定要有“--enable-static” 選項。安裝成功后，在安裝目錄下的bin目錄中執行下面的命令：
[root@localhost bin]# ls -l ssh-dummy-shell* sftp-server2*
將看到下列輸出內容：
-rwxr-xr-x 1 root root 1350417 Apr 28 16:30 sftp-server2
-rwxr-xr-x 1 root root 3566890 Apr 28 16:30 sftp-server2.static
-rwxr-xr-x 1 root root 72388 Apr 28 16:30 ssh-dummy-shell
-rwxr-xr-x 1 root root 1813412 Apr 28 16:30 ssh-dummy-shell.static
其中帶“static”后綴名，且比較大的兩個(gè)文件就是加上“--enable-static”選項后生成的，后面我們將用到這里兩個(gè)文件。
下面以添加普通賬號test為例講述具體操作步驟。
1．在“/home”目錄（或者將要存放普通用戶(hù)宿主目錄的目錄）下創(chuàng )建“bin”子目錄，并將兩個(gè)static文件復制到此目錄下（復制后改名去掉static后綴），執行如下命令：
[root@localhost bin]# cd /usr/local/ssh3.2/bin
[root@localhost bin]#cp ssh-dummy-shell.static /home/bin/ssh-dummy-shell
[root@localhost bin]# cp sftp-server2.static /home/bin/sftp-server
[root@localhost bin]#chown -R root.root /home/bin
[root@localhost bin]#chmod -R 755 /home/bin
2．添加一個(gè)組，使以后所有禁止使用shell的用戶(hù)都屬于這個(gè)組，這樣便于管理更多的用戶(hù)：
[root@localhost bin]#groupadd template
3．在添加系統賬號時(shí)使用如下命令：
[root@localhost root]#useradd -s /bin/ssh-dummy-shell -g template test
[root@localhost root]#passwd test
[root@localhost root]#mkdir /home/test/bin
[root@localhost root]#cd /home/test/bin
[root@localhost bin]#ln /home/bin/ssh-dummy-shell ssh-dummy-shell
[root@localhost bin]#ln /home/bin/sftp-server sftp-server
[root@localhost bin]#chown -R root.root /home/test/bin
[root@localhost bin]#chmod -R 755 /home/test/bin
3．用戶(hù)添加成功后，還需要修改/etc/ssh2/sshd2_config文件，將下列內容：
#ChRootGroups sftp,guest
改為：
ChRootGroups sftp,guest,template
修改上面這行內容，主要是為了禁止普通用戶(hù)查看系統的其它目錄，把其權限限制在自己的主目錄下。重新啟動(dòng)SSH服務(wù)器程序，在客戶(hù)端使用SSH Secure File Transfer Client登錄，即使選擇顯示根目錄，普通用戶(hù)也看不到其它的任何目錄，而是把自己的主目錄當作根目錄。注意，這里使用的是按用戶(hù)所屬組限制，這樣可以使包含在template組內的所有用戶(hù)都可以實(shí)現此功能。若您只要限制個(gè)別用戶(hù)的話(huà)，可以修改下面的內容：
#ChRootUsers anonymous,ftp,guest
事實(shí)證明SSH是一種非常好的網(wǎng)絡(luò )安全解決方案，但是，目前仍有很多管理員使用Telnet或FTP這種非常不安全的工具，希望盡快轉移到SSH上來(lái)，以減少網(wǎng)絡(luò )安全隱患。
1.要用ssh,不能用openssh.
2.它使用了chroot技術(shù),要用useradd -s /bin/ssh-dummy-shell -g template test 不要想當然的是 useradd -s /home/bin/ssh-dummy-shell -g template test,因為它不可能到/home/bin下,只能用自己的/bin.
用上述方法,完全可以實(shí)現只讓用戶(hù)sftp,不能使用其它shell命令,并且限制在自己的home目錄中.即類(lèi)似于ftp的限制用戶(hù)在自己的家目錄中,只能ftp,不能使用其它命令.
但sftp是基于加密的ssh協(xié)議的,傳送的是密文信息,所以遠比f(wàn)tp安全.但正是因為安全(有一個(gè)加密/解密的過(guò)程),所以效率上會(huì )比f(wàn)tp慢一些.
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
