SSH最初是由程序員Tatu Yloenen開發(fā)，包括SSH協(xié)議和服務軟件，英文全稱為Secure Shell（即安全外殼）。它實現(xiàn)了密鑰交換協(xié)議及主機和客戶端認證協(xié)議，在傳送數(shù)據(jù)時把所有數(shù)據(jù)都加密傳輸，在接收方再進行解密，以防止網(wǎng)絡竊聽的發(fā)生。
SSH已經(jīng)有了很多商品化版本，而且還有多種Unix/Linux系統(tǒng)平臺上的免費版本。本文將主要以Linux操作系統(tǒng)為服務器（在其它的Unix或Unix的派生操作系統(tǒng)上的操作也一樣），Windows操作系統(tǒng)為客戶端，介紹免費的商業(yè)SSH版本的安裝及其實現(xiàn)。其重點是Linux服務器的配置。
軟件的獲得和安裝
軟件的獲得可從http://www.openssh.org下載OpenSSH，當前最新版本為3.6.1，或者從http://www.ssh.com/ 下載針對Linux的非商業(yè)版本，當前最新版本為3.2，具體地址為：
SSH服務器地址 http://www.ssh.com/support/downloads/secureshellserver/non-commercial.html
SSH客戶端地址 http://www.ssh.com/support/downloads/secureshellwks/non-commercial.html（這是一個For Windows的版本）。
不管是OpenSSh還是SSH Communications Security公司的SSH版本，在使用功能上基本一樣，只是前者完全免費，而后者使用時要注意許可協(xié)議。從使用角度上可考慮，筆者認為后者更好用一些。本文著重介紹后者的安裝和使用。
從SSH Communications Security公司下載的SSH服務器是源代碼方式，文件名為ssh-3.2.3.tar.gz，必須對其進行編譯和安裝之后才能夠使用。
我們假設軟件的下載目錄為root用戶的宿主目錄，即“/root”目錄。解壓縮完成后會生成一個“ssh-3.2.3”的源代碼目錄,然后切換到源代碼代碼目錄，進行軟件安裝前的配置，編譯和安裝。
安裝成功后，在“/etc/”目錄下會增加一個“ssh2”目錄，這個目錄是用來存放SSH服務器的所有配置文件；在“/usr/local/”目錄下會生成“ssh3.2.3”子目錄，它是SSH程序文件和其它文件的存放位置。
基本配置和應用
默認安裝，每次重新啟動系統(tǒng)后都要重復上述操作才能啟動SSH服務器。為了保證SSH服務器每次開機時自動啟動，還要在“/etc/rc.d/rc.local”文件（此文件類似于DOS下的autoexec.bat文件令）的最后加入以下內(nèi)容：
#start ssh3.2
/usr/local/ssh2/sbin/sshd &
其中第一行為注釋內(nèi)容，第二行為啟動SSH服務器并作為后臺守護進程運行。
接下來要做的是配置SSH服務器，所有的配置都是通過修改“/etc/ssh2/sshd2_config”文件實現(xiàn)的。文件的默認配置已經(jīng)能滿足一般的要求。下面介紹幾種比較常見的應用：
使超級用戶root能夠直接登錄服務器
使用Telnet時root用戶默認情況下不能直接從遠程登錄系統(tǒng)，一般要先以普通用戶登錄，然后，使用su切換到root身份，這也是出于安全性的考慮。由于SSH使用了加密方式傳輸數(shù)據(jù)，所以可以放心地直接使用root登錄服務器，那么我們需要將sshd2_config文件中的
#PermitRootLogin yes
取消注釋，然后，重新啟動SSH服務器，即可通過SSH以root身份登錄Linux服務器。當然，如果您要禁止超級用戶登錄的話，可將“yes”改為“no”即可。
允許或禁止某些用戶或組用戶使用SSH登錄
要實現(xiàn)禁止用戶或組使用SSH登錄服務器，只需要修改sshd2_config文件中的以下幾行內(nèi)容：
#AllowUsers sj.*,s[[]]*,s(jl|amza)
#DenyUsers skuuppa,warezdude,31373
#DenyUsers don@untrusted\.org
#AllowGroups staff,users
#DenyGroups guest,anonymou
可以根據(jù)自己的實際需要，取消注釋符“#”，加入實際的用戶名或者組名，然后重新啟動SSH服務器即可禁止（或允許）某些用戶或者組使用SSH，具體操作這里不再詳述。
使用SFTP代替FTP傳輸文件
FTP(文件傳輸協(xié)議)是一種使用非常廣泛的在網(wǎng)絡中傳輸文件的方式，但是，它也同樣存在被網(wǎng)絡竊聽的危險，因為它也是以明文傳送用戶認證信息。其實在SSH軟件包中，已經(jīng)包含了一個叫作SFTP(Secure FTP)的安全文件傳輸子系統(tǒng)，SFTP本身沒有單獨的守護進程，它必須使用sshd守護進程（端口號默認是22）來完成相應的連接操作，所以從某種意義上來說，SFTP并不像一個服務器程序，而更像是一個客戶端程序。SFTP同樣是使用加密傳輸認證信息和傳輸?shù)臄?shù)據(jù)，所以，使用SFTP是非常安全的。但是，由于這種傳輸方式使用了加密/解密技術，所以傳輸效率比普通的FTP要低得多，如果您對網(wǎng)絡安全性要求更高時，可以使用SFTP代替FTP。若要開啟SFTP功能可以修改sshd2_config文件的下列內(nèi)容：
# subsystem-sftp sftp-server
去掉行首的“#”，然后重新啟動SSH服務器，這樣在進行SSH連接時就可以同時使用SFTP傳輸文件。
關于客戶端設置
以上是對服務器的設置，其實在SSH服務器中已經(jīng)包含了一些客戶端工具（如SSH,SFTP工具）。但是，更多的客戶端用戶使用Windows系統(tǒng)，下面就對Windows上的客戶端系統(tǒng)設置加以說明。
首先從上文給出的網(wǎng)址下載“SSHSecureShellClient-3.2.3.exe”文件并安裝。安裝完成后，在桌面上會產(chǎn)成兩個快捷方式，一個是“SSH Secure Shell Client”，用于遠程管理，另一個是“SSH Secure File Transfer Client”，用于和服務器進行文件傳輸。在工具欄中點擊“quick connnect”，輸入正確的主機名和用戶名，然后在彈出的對話框中輸入密碼完成登錄，即可開始執(zhí)行命令或者傳輸文件。在使用SFTP時，默認只能顯示用戶的宿主目錄的內(nèi)容和非隱藏文件。但是，有時候您可能還要查看其它目錄或者隱藏文件，這時只需要在菜單“eidt->;setting->;file transfer”的選項中選中“show root directory”和“show hidden file”兩個選項即可。
使普通用戶僅使用SFTP而沒有使用Shell的權限
默認情況下管理員給系統(tǒng)添加的賬號將同時具有SFTP和SSH的權限。讓普通用戶使用shell執(zhí)行命令也是有很大的安全隱患的，如果能夠禁止用戶使用shell執(zhí)行命令而僅使用SFTP傳輸文件，就能消除這種安全隱患，完全實現(xiàn)FTP的功能，
正如上文所述，SFTP沒有單獨的守護進程，只能借助于sshd守護進程，所以我們?nèi)匀恍枰褂肧SH服務器，要保證sshd守護進程處于運行狀態(tài)。具體實現(xiàn)方法如下：
首先，在編譯安裝時，編譯中一定要有“--enable-static” 選項。安裝成功后，在安裝目錄下的bin目錄中執(zhí)行下面的命令：
[root@localhost bin]# ls -l ssh-dummy-shell* sftp-server2*
將看到下列輸出內(nèi)容：
-rwxr-xr-x 1 root root 1350417 Apr 28 16:30 sftp-server2
-rwxr-xr-x 1 root root 3566890 Apr 28 16:30 sftp-server2.static
-rwxr-xr-x 1 root root 72388 Apr 28 16:30 ssh-dummy-shell
-rwxr-xr-x 1 root root 1813412 Apr 28 16:30 ssh-dummy-shell.static
其中帶“static”后綴名，且比較大的兩個文件就是加上“--enable-static”選項后生成的，后面我們將用到這里兩個文件。
下面以添加普通賬號test為例講述具體操作步驟。
1．在“/home”目錄（或者將要存放普通用戶宿主目錄的目錄）下創(chuàng)建“bin”子目錄，并將兩個static文件復制到此目錄下（復制后改名去掉static后綴），執(zhí)行如下命令：
[root@localhost bin]# cd /usr/local/ssh3.2/bin
[root@localhost bin]#cp ssh-dummy-shell.static /home/bin/ssh-dummy-shell
[root@localhost bin]# cp sftp-server2.static /home/bin/sftp-server
[root@localhost bin]#chown -R root.root /home/bin
[root@localhost bin]#chmod -R 755 /home/bin
2．添加一個組，使以后所有禁止使用shell的用戶都屬于這個組，這樣便于管理更多的用戶：
[root@localhost bin]#groupadd template
3．在添加系統(tǒng)賬號時使用如下命令：
[root@localhost root]#useradd -s /bin/ssh-dummy-shell -g template test
[root@localhost root]#passwd test
[root@localhost root]#mkdir /home/test/bin
[root@localhost root]#cd /home/test/bin
[root@localhost bin]#ln /home/bin/ssh-dummy-shell ssh-dummy-shell
[root@localhost bin]#ln /home/bin/sftp-server sftp-server
[root@localhost bin]#chown -R root.root /home/test/bin
[root@localhost bin]#chmod -R 755 /home/test/bin
3．用戶添加成功后，還需要修改/etc/ssh2/sshd2_config文件，將下列內(nèi)容：
#ChRootGroups sftp,guest
改為：
ChRootGroups sftp,guest,template
修改上面這行內(nèi)容，主要是為了禁止普通用戶查看系統(tǒng)的其它目錄，把其權限限制在自己的主目錄下。重新啟動SSH服務器程序，在客戶端使用SSH Secure File Transfer Client登錄，即使選擇顯示根目錄，普通用戶也看不到其它的任何目錄，而是把自己的主目錄當作根目錄。注意，這里使用的是按用戶所屬組限制，這樣可以使包含在template組內(nèi)的所有用戶都可以實現(xiàn)此功能。若您只要限制個別用戶的話，可以修改下面的內(nèi)容：
#ChRootUsers anonymous,ftp,guest
事實證明SSH是一種非常好的網(wǎng)絡安全解決方案，但是，目前仍有很多管理員使用Telnet或FTP這種非常不安全的工具，希望盡快轉(zhuǎn)移到SSH上來，以減少網(wǎng)絡安全隱患。
1.要用ssh,不能用openssh.
2.它使用了chroot技術,要用useradd -s /bin/ssh-dummy-shell -g template test 不要想當然的是 useradd -s /home/bin/ssh-dummy-shell -g template test,因為它不可能到/home/bin下,只能用自己的/bin.
用上述方法,完全可以實現(xiàn)只讓用戶sftp,不能使用其它shell命令,并且限制在自己的home目錄中.即類似于ftp的限制用戶在自己的家目錄中,只能ftp,不能使用其它命令.
但sftp是基于加密的ssh協(xié)議的,傳送的是密文信息,所以遠比ftp安全.但正是因為安全(有一個加密/解密的過程),所以效率上會比ftp慢一些.
本站僅提供存儲服務，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權內(nèi)容，請
點擊舉報。
