SSH运维总结

1）仅允许指定用户登录（白名单）：
在 /etc/ssh/sshd_config 配置文件中设置AllowUsers 选项。格式如下：
允许用户 root Grace kevin 应用程序
表示仅允许grace和kevin用户通过ssh登录机器。
允许用户 root@192.168.10.10 app@192.168.10.11 kevin@192.168.10.13
表示仅允许192.168.10.10登录的root用户、192.168.10.11登录的app用户、192.168.10.13登录的kevin用户通过ssh登录机器。
2) 只拒绝指定用户登录（黑名单）:)
在 /etc/ssh/sshd_config 配置文件中设置 DenyUsers 选项。格式如下：
DenyUsers wangbo linan zhangyang
表示拒绝用户wangbo、linan、zhangyang通过ssh登录机器。
必须要注意的是：- 使用TAB键分隔AllowUsers、DenyUsers和后续配置。
- 用空格分隔数百个列表或黑名单
例子：
[root@Centos6 ~]# cat /etc/ssh/sshd_config
…………
允许用户 root@192.168.10.202 app@192.168.10.200 kevin@192.168.10.202
[root@Centos6 ~]# /etc/init.d/sshd restart
[root@Centos6 ~]# cat /etc/ssh/sshd_config
…………
允许用户 root 应用程序 kevin
[root@Centos6 ~]# /etc/init.d/sshd restart
[root@Centos6 ~]# cat /etc/ssh/sshd_config
…………
DenyUsers wangbo linan zhangyang
[root@Centos6 ~]# /etc/init.d/sshd restart
如下图，由于已经允许app和root登录，所以后续对root@192.168.10.202和app@192.168.10.200的限制无效（不要配置在一起）
[root@Centos6 ~]# cat /etc/ssh/sshd_config
…………
允许用户 app root root@192.168.10.202 app@192.168.10.200
[root@Centos6 ~]# /etc/init.d/sshd restart

1）允许指定用户（如kevin和grace账户）登录
将其添加到 /etc/pam.d/sshd 文件的第一行。它必须在第一行，因为规则是从上到下匹配的。
需要身份验证 pam_www.sxzhongrui.com item=user sense=allow file=/etc/sshusers onerr=fail然后在/etc下创建sshusers文件，编辑该文件，添加你允许使用ssh服务而无需重新启动sshd服务的用户名。
最后，重新启动sshd服务！
操作方法如下：
[root@docker-test1 ~]# vim /etc/pam.d/sshd
#%PAM-1.0
需要身份验证 pam_www.sxzhongrui.com item=user sense=allow file=/etc/sshusers onerr=fail
…………
[root@docker-test1 ~]# touch /etc/sshusers
[root@docker-test1 ~]# vim /etc/sshusers
凯文
优雅
[root@docker-test1 ~]# /etc/init.d/sshd restart
2）pam规则也可以写成deny。例如，拒绝 kevin 和 Grace 帐户登录。
操作方法如下：
[root@docker-test1 ~]# vim /etc/pam.d/sshd
#%PAM-1.0
需要身份验证 pam_www.sxzhongrui.com item=user sense=deny file=/etc/sshusers onerr=succeed
…………
[root@docker-test1 ~]# touch /etc/sshusers
[root@docker-test1 ~]# vim /etc/sshusers
凯文
优雅
[root@docker-test1 ~]# /etc/init.d/sshd restart
3）pam规则可以使用组限制。
允许规则：
需要身份验证 pam_www.sxzhongrui.com item=group sense=allow file=/etc/security/allow_groups onerr=fail
禁止规则：
需要身份验证 pam_www.sxzhongrui.com item=group sense=deny file=/etc/security/deny_groups onerr=succeed
操作方法如下：[root@docker-test1 ~]# vim /etc/pam.d/sshd
#%PAM-1.0
需要身份验证 pam_www.sxzhongrui.com item=group sense=allow file=/etc/security/allow_groups onerr=fail
创建一个名为bobo的新组，然后将kevin和grace添加到这个bobo组中
[root@docker-test1 ~]# groupadd bobo
[root@docker-test1 ~]# gpasswd -a kevin bobo
将用户 kevin 添加到组 bobo
[root@docker-test1 ~]# usermod -G bobo Grace
[root@docker-test1 ~]# id 凯文
uid=1000(kevin) gid=1000(kevin) groups=1000(kevin),1002(bobo)
[root@docker-test1 ~]# id Grace
uid=1001(grace) gid=1001(grace) groups=1001(grace),1002(bobo)
在/etc/security/allow_groups文件中添加组名（注意如果不添加root，将不允许root登录）
[root@docker-test1 ~]# vim /etc/security/allow_groups
波波
[root@docker-test1 ~]# /etc/init.d/sshd restart
经过以上设置后，就只能允许kevin用户登录了！
如果是禁止规则，请将第一行更改为以下内容：
需要身份验证 pam_www.sxzhongrui.com item=group sense=deny file=/etc/security/deny_groups onerr=succeed

[root@dns01 dns_rsync]# cat /etc/ssh/ssh_config
# Site-wide defaults for various options
Host *
ForwardAgent no
ForwardX11 no
RhostsAuthentication no
RhostsRSAAuthentication no
‍    RSAAuthentication yes
PasswordAuthentication yes
FallBackToRsh no
UseRsh no
BatchMode no
CheckHostIP yes
StrictHostKeyChecking no
IdentityFile ~/.ssh/identity
Port 22
Cipher blowfish
EscapeChar ~
下面对上述选项参数逐进行解释：
# Site-wide defaults for various options
带“#”表示该句为注释不起作，该句不属于配置文件原文，意在说明下面选项均为系统初始默认的选项。说明一下，实际配置文件中也有很多选项前面加有“#”注释，虽然表示不起作用，其实是说明此为系统默认的初始化设置。
Host *
"Host"只对匹配后面字串的计算机有效，“*”表示所有的计算机。从该项格式前置一些可以看出，这是一个类似于全局的选项，表示下面缩进的选项都适用于该设置，可以指定某计算机替换*号使下面选项只针对该算机器生效。
ForwardAgent no
"ForwardAgent"设置连接是否经过验证代理（如果存在）转发给远程计算机。
ForwardX11 no
"ForwardX11"设置X11连接是否被自动重定向到安全的通道和显示集（DISPLAY set）。
RhostsAuthentication no
"RhostsAuthentication"设置是否使用基于rhosts的安全验证。
RhostsRSAAuthentication no
"RhostsRSAAuthentication"设置是否使用用RSA算法的基于rhosts的安全验证。
RSAAuthentication yes
"RSAAuthentication"设置是否使用RSA算法进行安全验证。
PasswordAuthentication yes
"PasswordAuthentication"设置是否使用口令验证。
FallBackToRsh no
"FallBackToRsh"设置如果用ssh连接出现错误是否自动使用rsh，由于rsh并不安全，所以此选项应当设置为"no"。
UseRsh no
"UseRsh"设置是否在这台计算机上使用"rlogin/rsh"，原因同上，设为"no"。
BatchMode no
"BatchMode"：批处理模式，一般设为"no"；如果设为"yes"，交互式输入口令的提示将被禁止，这个选项对脚本文件和批处理任务十分有用。
CheckHostIP yes
"CheckHostIP"设置ssh是否查看连接到服务器的主机的IP地址以防止DNS欺骗。建议设置为"yes"。
StrictHostKeyChecking no
"StrictHostKeyChecking"如果设为"yes"，ssh将不会自动把计算机的密匙加入"$HOME/.ssh/known_hosts"文件，且一旦计算机的密匙发生了变化，就拒绝连接。
IdentityFile ~/.ssh/identity
"IdentityFile"设置读取用户的RSA安全验证标识。
Port 22
"Port"设置连接到远程主机的端口，ssh默认端口为22。
Cipher blowfish
“Cipher”设置加密用的密钥，blowfish可以自己随意设置。
EscapeChar ~
“EscapeChar”设置escape字符。

=================================================================================
比如说，A机器的ssh端口是22，B机器的端口是22222，一般来说A机器ssh连接B机器的时候是使用-p22222指定端口。但是可以修改A机器的/etc/ssh/ssh_config文件中的
Port为22222，这样A机器ssh连接的时候就默认使用22222端口了。

[root@kevin ssh]# service sshd restart
Stopping sshd: [ OK ]
Starting sshd:/etc/ssh/sshd_config line 81: Unsupported option GSSAPIAuthentication
/etc/ssh/sshd_config line 83: Unsupported option GSSAPICleanupCredentials
Starting sshd: [ OK ]
如上启动后，远程ssh登录这台机器，输入正确的用户名和密码，则会登录失败！！
[root@kevin ssh]# ssh -V
OpenSSH_7.6p1, OpenSSL 1.0.1e-fips 11 Feb 2013
原因是新版本的openssh不支持以上参数，需要修改sshd的配置文件。
修改内容如下，否则还是无法通过ssh登录这台服务器：
[root@kevin ssh]# vim /etc/ssh/sshd_config
.......
##去掉前面的注释，允许root通过ssh登录
PermitRootLogin yes
##注释掉下面三个参数
#GSSAPIAuthentication yes
#GSSAPICleanupCredentials yes
#UsePAM yes
再次重启ssh，上面的报错信息就没有了。此时远程ssh登录就OK了！
[root@kevin ssh]# service sshd restart
Stopping sshd: [ OK ]
Starting sshd: [ OK ]

1）使用下面命令连接，可以减少ssh连接超时等待的时间
# ssh -o ConnectTimeout=5 -p22 root@172.16.60.20
或者修改sshd_config文件里面的UseDNS 选项，改为UseDNS no
2）设置SSH超时时间的方法
# vim /root/.bash_profile
export TMOUT=1000000     #以秒为单位。或者修改/etc/profile文件也可以。
# source /root/.bash_profile
# vim /etc/ssh/sshd_config
ClientAliveInterval=60
# service sshd restart
意思是每过一分钟，sshd都会和ssh client打个招呼 (即服务器端给客户端发送一个"空包")，检测它是否存在，如果不存时则断开连接！
这里需要注意： 设置完成后，要退出ssh远程连接，再次登录后才可以生效。因为要再读取一次~/bash_profile文件。
总结：
在ClientAliveInterval（/etc/ssh/sshd_config）、环境变量TMOUT（在/etc/profile或.bash_profile中设置）以及putty的"Seconds between keepalives"（默认为0）这些设置方法中，
经检测验证，只有TMOUT可以控制ssh连接在空闲时间超时，自动断开连接的时间，数字单位为"秒"。在设置了TMOUT后（非0），另外两个变量则不起作用的。
另外，特别提醒的是，设置好ssh的登录超时时间以后，记得退出重新登录或重启系统，以使配置生效。
3）SSH禁止超时设置
SSH默认过一段时间会超时，有时候正在执行着脚本，出去一会回来就断开了，输出信息都看不到了，很是无奈！
其实禁止SSH自动超时最简单的办法就是：每隔一段时间在客户端和服务器之间发送一个"空包"！！！！！
至于到底是从客户端发给服务器，还是服务器发给客户端其实都不重要，重要的是需要它们之间要有通信。
下面介绍两种阻止SSH连接超时的方法（推荐方法二）：
方法一：客户端阻止SSH超时
编辑本地的SSH配置文件：~/.ssh/config
# vim ~/.ssh/config
ServerAliveInterval 120
这个设置会让客服端机器在使用SSH连接服务器时，每隔120秒给服务器发送一个"空包"，保持它们之间的连接。
方法二：服务器端阻止SSH超时
如果有服务器端的root权限，可以在服务端进行配置，这样就不需要每个客户端都单独配置。
# vim /etc/ssh/sshd_config
ClientAliveInterval 120
ClientAliveCountMax 720
第一行，表示每隔120秒向客户端发送一个"空包"，以保持于客户端的连接。
第二行，表示总共发送720次"空包"，之后断开它们之间的连接，也就是：120秒 × 720 = 86400 秒 = 24小时 后。
最后重启sshd服务，再打开新终端进行ssh连接就可以了，在24小时内不会出现连接超时。
# /etc/init.d/ssh restart

解决办法：
1）远程主机对应用户家目录下的.ssh目录必须是700或755权限，绝不能是775或777权限！即只对该用户有写权限！(一般设置700权限)
2）远程主机对应用户家目录下的.ssh/authorized_keys文件权限必须是600权限！即只对该用户有写权限！(一般设置600权限)
3）远程主机对应用户家目录的权限必须是700或755权限，绝不能是775或777权限！即只对该用户有写权限！（一般设置700权限），大多数情况下都是由于这个原因导致的！！！
如果.ssh目录和.ssh/authorized_keys文件权限对别的用户有写权限，则就会导致ssh认证失败！
=====================================================================================================
例如在一次ansible自动化部署中，之前配置好的ssh信任关系失效，报错如下:
{"changed": false, "msg": "SSH Error: data could not be sent to remote host \"172.16.60.240\". Make sure this host can be reached over ssh", "unreachable": true}
查看现象，发现之前配置好的ssh信任关系失效了！！
[root@bz3devjenci1002 lx0319]# ssh -p22 kevin@172.16.60.240
Authorized only. All activity will be monitored and reported
kevin@172.16.60.240's password:
分析原因及解决办法：
登录172.16.60.240这台机器的kevin用户下，发现authorized_keys文件里确实已经传入了ansible主节点的id_www.sxzhongrui.com公钥内容，并且下面两个权限都正确：
[kevin@bz4autestap1002 ~]$ ll -d .ssh
drwx------ 2 kevin kevin 4096 Jul 24 10:48 .ssh         #700权限是正确的
[kevin@bz4autestap1002 ~]$ ll .ssh/authorized_keys
-rw------- 1 kevin kevin 2412 Jul 24 10:45 .ssh/authorized_keys     #600权限也是正确的
然后查看kevin用户目录权限，发现是777！这才是问题根源！该用户目录权限不能对别的用户有写权限，否则会造成ssh认证失败！
[kevin@bz4autestap1002 ~]$ ll -d /home/kevin
drwxrwxrwx 14 kevin kevin 4096 Jul 24 10:48 /home/kevin
修改为600权限即可
[kevin@bz4autestap1002 ~]$ chmod 600 /home/kevin
[kevin@bz4autestap1002 ~]$ ll -d /home/kevin
drwx------ 14 kevin kevin 4096 Jul 24 10:48 /home/kevin
再次在远程尝试ssh认证跳转
[root@bz3devjenci1002 lx0319]# ssh -p22 kevin@172.16.60.240
[kevin@bz4autestap1002 ~]$

CentOS 7 对于防火墙这一块的设置有一定的修改，修改ssh端口后，必须关闭防火墙和selinux之后才能正常重启sshd服务，否则启动失败。操作记录如下：
1）修改/etc/ssh/sshd_config                         #这个是修改ssh服务端配置文件。
[root@k8s-master01 ~]# vim /etc/ssh/sshd_config
.........
#Port 22         #这行最好去掉#号，防止配置失效以后不能远程登录，还得去机房修改，等修改以后的端口能使用以后在注释掉
Port 6666       #下面添加这一行
[root@k8s-master01 ~]# vim /etc/ssh/ssh_config    #这个是修改ssh客户端配置文件，一般可以不用修改。
........
#   Port 22
Port 6666
======================================================================================================
ssh客户端配置文件使用场景：
比如A机器的/etc/ssh/ssh_config客户端配置文件的ssh端口是22，B机器的/etc/ssh/sshd_config服务端配置文件是6666
那么A机器ssh连接B机器时就要带上"-p6666", 如果A机器的ssh客户端配置文件的端口也是6666的话，就可以直接ssh连接B机器了。
======================================================================================================
2）要关闭防火墙和selinux。否则，centos7修改ssh端口后会启动sshd服务失败！一定要注意这个！
[root@k8s-master01 ~]# systemctl disable firewalld
[root@k8s-master01 ~]# systemctl stop firewalld
[root@k8s-master01 ~]# firewall-cmd --state
not running
[root@k8s-master01 ~]# cat /etc/sysconfig/selinux
.......
SELINUX=disabled
[root@k8s-master01 ~]# setenforce 0
[root@k8s-master01 ~]# getenforce
Disabled
这样，在修改ssh端口后，就能顺利启动sshd服务了！
======================================================================================================
这里还需要注意下：如果是打开了防火墙或selinux，则需要将修改的sshd端口添加到对应的防火墙规则中（默认只加了ssh的22端口）
a）firewalld配置
添加到防火墙：
# firewall-cmd --zone=public --add-port=6666/tcp --permanent (permanent是保存配置，不然下次重启以后这次修改无效)
重启：
#firewall-cmd --reload
查看添加端口是否成功，如果添加成功则会显示yes，否则no
# firewall-cmd --zone=public --query-port=6666/tcp
b）selinux配置
使用以下命令查看当前SElinux 允许的ssh端口：
# semanage port -l | grep ssh
添加6666端口到 SELinux
# semanage port -a -t ssh_port_t -p tcp 6666
然后确认一下是否添加进去
# semanage port -l | grep ssh
如果成功会输出
ssh_port_t                    tcp    6666, 22
c）然后就可以顺利启动sshd服务了。