人民郵電出版社|

楊云主編網絡服務器搭建、配置與管理—Linux版（第3版）（微課版）第2章配置網絡和使用ssh服務2項目導入掌握常見網絡服務的配置方法。掌握遠程控制服務。掌握不間斷會話服務。職業能力目標和要求

作為Linux系統的網絡管理員，學習Linux服務器的網絡配置是至關重要的，同時管理遠程主機也是管理員必須熟練掌握的。這些是后續網絡服務配置的基礎，必須要學好。

本項目講解了如何使用nmtui命令配置網絡參數，以及通過nmcli命令查看網絡信息并管理網絡會話服務，從而讓您能夠在不同工作場景中快速地切換網絡運行參數的方法；還講解了如何手工綁定mode6模式雙網卡，實現網絡的負載均衡的方法。本項目還深入介紹了SSH協議與sshd服務程序的理論知識、Linux系統的遠程管理方法以及在系統中配置服務程序的方法。3主要內容第2章

配置網絡和使用ssh服務2.1網絡服務知識2.1.1檢查并設置有線處于連接狀態2.1.2設置主機名2.1.3使用系統菜單配置網絡2.1.4通過網卡配置文件配置網絡2.1.5使用圖形界面配置網絡2.1.6使用nmcli命令配置網絡2.2項目設計與準備4主要內容2.3項目實施任務2-1創建網絡會話實例任務2-2綁定兩塊網卡任務2-3配置遠程控制服務2.4項目實錄：配置LINUX下的TCP/IP和遠程管理2.5練習題2.6超級鏈接第2章

配置網絡和使用ssh服務52.1網絡服務知識

Linux主機要與網絡中其他主機進行通信，首先要進行正確的網絡配置。網絡配置通常包括主機名、IP地址、子網掩碼、默認網關、DNS服務器等。2.1.1檢查并設置有線處于連接狀態單擊桌面右上角的“啟動”按鈕，單擊“Connect”按鈕，設置有線處于連接狀態，如圖2-1所示。圖2-1設置有線處于連接狀態設置完成后，右上角將出現有線連接的小圖標，如圖2-2所示。圖2-2有線處于連接狀態特別提示：必須首先使有線處于連接狀態，這是一切配置的基礎，切記。62.1.2設置主機名RHEL7有以下3種形式的主機名。靜態的（static）：“靜態”主機名也稱為內核主機名，是系統在啟動時從/etc/hostname自動初始化的主機名。瞬態的（transient）：“瞬態”主機名是在系統運行時臨時分配的主機名，由內核管理。例如，通過DHCP或DNS服務器分配的localhost就是這種形式的主機名。靈活的（pretty）：“靈活”主機名是UTF8格式的自由主機名，以展示給終端用戶。與之前版本不同，RHEL7中的主機名配置文件為/etc/hostname，可以在配置文件中直接更改主機名。71．使用nmtui修改主機名[root@RHEL7-1~]#nmtui圖2-3配置hostname圖2-4修改主機名為RHEL7-1在圖2-3、圖2-4所示的界面中進行配置。

使用NetworkManager的nmtui接口修改了靜態主機名后（/etc/hostname文件），不會通知hostnamectl。要想強制讓hostnamectl知道靜態主機名已經被修改，需要重啟hostnamed服務。[root@RHEL7-1~]#systemctlrestartsystemd-hostnamed82．使用hostnamectl修改主機名（1）查看主機名[root@RHEL7-1~]#hostnamectlstatusStatichostname:RHEL7-1Prettyhostname:RHEL7-1

……（2）設置新的主機名[root@RHEL7-1~]#hostnamectlset-hostname（3）查看主機名[root@RHEL7-1~]#hostnamectlstatusStatichostname:

……93．使用NetworkManager的命令行接口nmcli修改主機名nmcli可以修改/etc/hostname中的靜態主機名。//查看主機名[root@RHEL7-1~]#nmcligeneralhostname//設置新主機名[root@RHEL7-1~]#nmcligeneralhostnameRHEL7-1[root@RHEL7-1~]#nmcligeneralhostnameRHEL7-1//重啟hostnamed服務讓hostnamectl知道靜態主機名已經被修改[root@RHEL7-1~]#systemctlrestartsystemd-hostnamed102.1.3使用系統菜單配置網絡在Linux系統上配置服務之前，必須先保證主機之間能夠順暢地通信。可以單擊桌面右上角的網絡連接圖標，打開網絡配置界面，一步步完成網絡信息查詢和網絡配置。具體過程如圖2-5～圖2-8所示。圖2-5單擊有線連接設置（WiredSettings）

圖2-6網絡配置：ON激活連接、單擊齒輪進行配置

圖2-7配置有線連接11

設置完成后，單擊“Apply”按鈕應用配置回到圖2-9所示的界面。注意網絡連接應該設置在“ON”狀態，如果在“OFF”狀態，請進行修改。注意，有時需要重啟系統配置才能生效。圖2-9網絡配置界面建議：首選使用系統菜單配置網絡。因為從RHEL7開始，圖形界面已經非常完善，所以在Linux系統桌面，依次單擊“Applications”→“SystemTools”→“Settings”→“Network”同樣可以打開網絡配置界面。圖2-8配置IPv4等信息122.1.4通過網卡配置文件配置網絡在RHEL7中，網卡配置文件的前綴則以ifcfg開始，如ifcfg-ens33。名稱為ifcfg-ens33的網卡設備，將其配置為開機自啟動，并且IP地址、子網、網關等信息由人工指定，其步驟如下。（1）切換到/etc/sysconfig/network-scripts目錄中（存放著網卡的配置文件）。（2）使用vim編輯器修改網卡文件ifcfg-ens33，逐項寫入下面的配置參數并保存退出。由于每臺設備的硬件及架構是不一樣的，所以請讀者使用ifconfig命令自行確認各自網卡的默認名稱。設備類型：TYPE=Ethernet。地址分配模式：BOOTPROTO=static。網卡名稱：NAME=ens33。是否啟動：ONBOOT=yes。IP地址：IPADDR=。子網掩碼：NETMASK=。網關地址：GATEWAY=。DNS地址：DNS1=。13（3）重啟網絡服務并測試網絡是否聯通。進入到網卡配置文件所在的目錄，然后編輯網卡配置文件，在其中填入下面的信息：[root@RHEL7-1~]#cd/etc/sysconfig/network-scripts/[root@RHEL7-1network-scripts]#vimifcfg-ens33TYPE=EthernetPROXY_METHOD=noneBROWSER_ONLY=noBOOTPROTO=staticNAME=ens33UUID=9d5c53ac-93b5-41bb-af37-4908cce6dc31DEVICE=ens33ONBOOT=yesIPADDR=NETMASK=GATEWAY=DNS1=14

執行重啟網卡設備的命令（在正常情況下不會有提示信息），然后通過ping命令測試網絡能否聯通。由于在Linux系統中ping命令不會自動終止，所以需要手動按下“Ctrl+C”組合鍵來強行結束進程。[root@RHEL7-1network-scripts]#systemctlrestartnetwork[root@RHEL7-1network-scripts]#pingPING()56(84)bytesofdata.64bytesfrom:icmp_seq=1ttl=64time=0.095ms64bytesfrom:icmp_seq=2ttl=64time=0.048ms……注意：使用配置文件進行網絡配置，需要啟動network服務，而從RHEL7以后，network服務已被NetworkManager服務替代，所以不建議使用配置文件配置網絡參數。152.1.5使用圖形界面配置網絡（1）上節我們使用網絡配置文件配置網絡服務，本節我們使用nmtui命令來配置網絡。[root@RHEL7-1

network-scripts]#

nmtui（2）顯示圖2-10所示的圖形配置界面。（3）配置過程如圖2-11、圖2-12所示。圖2-10選中“Editaconnection”

并按下“Enter鍵”圖2-11選中要編輯的網卡名稱，

然后按下“Edit”（編輯）按鈕圖2-12把網絡IPv4的配置方式改成Manual（手動）注意：本書中所有的服務器主機IP地址均為，而客戶端主機一般設為0及0。之所以這樣做，就是為了后面服務器配置的方便。16（4）按下“Show”（顯示）按鈕，顯示信息配置框，如圖2-13所示。在服務器主機的網絡配置信息中填寫IP地址/24等信息，單擊“OK”按鈕，如圖2-14所示。圖2-13填寫IP地址圖2-14單擊“OK”按鈕保存配置17（5）按“<back>”按鈕回到nmtui圖形界面初始狀態，選中“Activateaconnection”選項，激活剛才的連接“ens33”。前面有“*”號表示激活，如圖2-15、圖2-16所示。圖2-15選擇“Activateaconnection”選項圖2-16激活（Activate）連接或使連接失效（Deactivate）18（6）至此，在Linux系統中配置網絡的步驟就結束了。[root@RHEL7-1~]#ifconfigens33:flags=4163<UP,BROADCAST,RUNNING,MULTICAST>mtu1500inetnetmaskbroadcast55inet6fe80::c0ae:d7f4:8f5:e135prefixlen64scopeid0x20<link>ether00:0c:29:66:42:8dtxqueuelen1000(Ethernet)RXpackets151bytes16024(15.6KiB)RXerrors0dropped0overruns0frame0TXpackets186bytes18291(17.8KiB)TXerrors0dropped0overruns0carrier0collisions0……192.1.6使用nmcli命令配置網絡NetworkManager是管理和監控網絡設置的守護進程，設備即網絡接口，連接是對網絡接口的配置。一個網絡接口可以有多個連接配置，但同時只有一個連接配置生效。1．常用命令

nmcliconnectionshow：顯示所有連接。nmcliconnectionshow--active：顯示所有活動的連接狀態。nmcliconnectionshow"ens33"：顯示網絡連接配置。nmclidevicestatus：顯示設備狀態。nmclideviceshowens33：顯示網絡接口屬性。nmcliconnectionaddhelp：查看幫助。nmcliconnectionreload：重新加載配置。nmcliconnectiondowntest2：禁用test2的配置，注意一個網卡可以有多個配置。nmcliconnectionuptest2：啟用test2的配置。nmclidevicedisconnectens33：禁用ens33網卡，物理網卡。nmclideviceconnectens33：啟用ens33網卡。202．創建新連接配置（1）創建新連接配置default，IP通過DHCP自動獲取[root@RHEL7-1~]#nmcliconnectionshowNAMEUUIDTYPEDEVICEens339d5c53ac-93b5-41bb-af37-4908cce6dc31802-3-ethernetens33virbr0f30a1db5-d30b-47e2-a8b1-b57c614385aabridgevirbr0[root@RHEL7-1~]#nmcliconnectionaddcon-namedefaulttypeEthernetifnameens33Connection'default'(ffe127b2-ece7-40ed-b649-7082e86c0775)successfullyadded.212．創建新連接配置（2）刪除連接

[root@RHEL7-1~]#nmcliconnectiondeletedefaultConnection'default'(ffe127b2-ece7-40ed-b649-7082e86c0775)successfullydeleted.22（3）創建新的連接配置test2，指定靜態IP，不自動連接[root@RHEL7-1~]#nmcliconnectionaddcon-nametest2ipv4.methodmanualifnameens33autoconnectnotypeEthernetipv4.addresses00/24gw4Connection'test2'(7b0ae806-1bb7-41a3-92ad-5a1587eb367f)successfullyadded.（4）參數說明con-name：指定連接名字，沒有特殊要求。ipv4.methmod：指定獲取IP地址的方式。ifname：指定網卡設備名，也就是次配置所生效的網卡。autoconnect：指定是否自動啟動。ipv4.addresses：指定IPv4地址。gw4：指定網關。233．查看/etc/sysconfig/network-scripts/目錄[root@RHEL7-1~]#ls/etc/sysconfig/network-scripts/ifcfg-*/etc/sysconfig/network-scripts/ifcfg-ens33/etc/sysconfig/network-scripts/ifcfg-test2/etc/sysconfig/network-scripts/ifcfg-lo多出一個文件/etc/sysconfig/network-scripts/ifcfg-test2，說明添加確實生效了。244．啟用test2連接配置[root@RHEL7-1~]#nmcliconnectionuptest2Connectionsuccessfullyactivated(D-Busactivepath:/org/freedesktop/NetworkManager/ActiveConnection/6)[root@RHEL7-1~]#nmcliconnectionshowNAMEUUIDTYPEDEVICEtest27b0ae802-1bb7-41a3-92ad-5a1587eb367f802-3-ethernetens33virbr0f30a1db5-d30b-47e2-a8b1-b57c614385aabridgevirbr0ens339d5c53ac-93b5-41bb-af37-4908cce6dc31802-3-ethernet--255．查看是否生效[root@RHEL7-1~]#nmclideviceshowens33GENERAL.DEVICE:ens33……基本的IP地址配置成功。266．修改連接設置（1）修改test2為自動啟動[root@RHEL7-1~]#nmcliconnectionmodifytest2connection.autoconnectyes（2）修改DNS為

[root@RHEL7-1~]#nmcliconnectionmodifytest2ipv4.dns（3）添加DNS14[root@RHEL7-1~]#nmcliconnectionmodifytest2+ipv4.dns1427（4）看下是否成功[root@RHEL7-1~]#cat/etc/sysconfig/network-scripts/ifcfg-test2TYPE=EthernetPROXY_METHOD=noneBROWSER_ONLY=noBOOTPROTO=noneIPADDR=00PREFIX=24GATEWAY=DEFROUTE=yesIPV4_FAILURE_FATAL=noIPV6INIT=yesIPV6_AUTOCONF=yesIPV6_DEFROUTE=yesIPV6_FAILURE_FATAL=noIPV6_ADDR_GEN_MODE=stable-privacyNAME=test2UUID=7b0ae802-1bb7-41a3-92ad-5a1587eb367fDEVICE=ens33ONBOOT=yesDNS1=DNS2=1428（5）刪除DNS[root@RHEL7-1~]#nmcliconnectionmodifytest2-ipv4.dns（6）修改IP地址和默認網關[root@RHEL7-1~]#nmcliconnectionmodifytest2ipv4.addresses00/24gw454

（7）還可以添加多個IP[root@RHEL7-1~]#nmcliconnectionmodifytest2+ipv4.addresses50/24[root@RHEL7-1~]#nmcliconnectionshow"test2"[root@RHEL7-1~]#nmcliconnectionmodifytest2-ipv4.dns14297．nmcli命令和/etc/sysconfig/network-scripts/ifcfg-*文件的對應關系nmcli命令/etc/sysconfig/network-scripts/ifcfg-*文件ipv4.methodmanualBOOTPROTO=noneipv4.methodautoBOOTPROTO=dhcpipv4.addresses/24IPADDR=PREFIX=24gw454GATEWAY=54ipv4.dnsDNS0=ipv4.dns-searchDOMAIN=ipv4.ignore-auto-dnstruePEERDNS=noconnection.autoconnectyesONBOOT=yesconnection.ideth0NAME=eth0erface-nameeth0DEVICE=eth0802-3-ethernet.mac-address...HWADDR=...302.2項目設計與準備本項目在RHEL7-1上要完成的任務如下：①創建會話；②綁定兩塊網卡；③配置遠程服務。31本項目在RHEL7-1上要完成的任務如下：①創建會話；②綁定兩塊網卡；③配置遠程服務。32任務2-1創建網絡會話實例

RHEL和CentOS系統默認使用NetworkManager來提供網絡服務，這是一種動態管理網絡配置的守護進程，能夠讓網絡設備保持連接狀態。

nmcli是一款基于命令行的網絡配置工具，功能豐富，參數眾多。它可以輕松地查看網絡信息或網絡狀態：[root@RHEL7-1~]#nmcliconnectionshowNAMEUUIDTYPEDEVICEens339d5c53ac-93b5-41bb-af37-4908cce6dc31802-3-ethernet--

RHEL7系統支持網絡會話功能，允許用戶在多個配置文件中快速切換（非常類似于firewalld防火墻服務中的區域技術）。2.3項目實施33[root@RHEL7-1~]#nmcliconnectionaddcon-namecompanyifnameens33autoconnectnotypeethernetip4/24gw4Connection'company'(69bf7a9e-1295-456d-873b-505f0e89eba2)successfullyadded.可以使用nmcli命令并按照“connectionaddcon-nametypeifname”的格式來創建網絡會話。假設將公司網絡中的網絡會話稱之為company，將家庭網絡中的網絡會話稱之為home，依次創建各自的網絡會話。（1）使用con-name參數指定公司所使用的網絡會話名稱company，然后依次用ifname參數指定本機的網卡名稱。用autoconnectno參數設置該網絡會話默認不被自動激活，以及用ip4及gw4參數手動指定網絡的IP地址：34（2）使用con-name參數指定家庭所使用的網絡會話名稱home。我們想從外部DHCP服務器自動獲得IP地址，因此這里不需要進行手動指定。[root@RHEL7-1~]#nmcliconnectionaddcon-namehometypeethernetifnameens33Connection'home'(7a9f15fe-2f9c-47c2-a232-fc310e1af2c9)successfullyadded.35（3）在成功創建網絡會話后，可以使用nmcli命令查看創建的所有網絡會話：[root@RHEL7-1~]#nmcliconnectionshowNAMEUUIDTYPEDEVICEens339d5c53ac-93b5-41bb-af37-4908cce6dc31802-3-ethernetens33virbr0a3d2d523-5352-4ea9-974d-049fb7fd1c6ebridgevirbr0company70823d95-a119-471b-a495-9f7364e3b452802-3-ethernet--homecc749b8d-31c2-492f-8e7a-81e95eacc733802-3-ethernet--36（4）使用nmcli命令配置過的網絡會話是永久生效的，這樣當我們下班回家后，順手啟用home網絡會話，網卡就能自動通過DHCP獲取到IP地址了。[root@RHEL7-1~]#nmcliconnectionuphomeConnectionsuccessfullyactivated(D-Busactivepath:/org/freedesktop/NetworkManager/ActiveConnection/6)[root@RHEL7-1~]#ifconfigens33:flags=4163<UP,BROADCAST,RUNNING,MULTICAST>mtu1500inet4netmaskbroadcast55inet6fe80::c70:8b8f:3261:6f18prefixlen64scopeid0x20<link>ether00:0c:29:66:42:8dtxqueuelen1000(Ethernet)RXpackets457bytes41358(40.3KiB)RXerrors0dropped0overruns0frame0TXpackets131bytes17349(16.9KiB)TXerrors0dropped0overruns0carrier0collisions0……37（5）如果大家使用的是虛擬機，請把虛擬機系統的網卡（網絡適配器）切換成橋接模式，如圖2-17所示，然后重啟虛擬機系統即可。圖2-17設置虛擬機網卡的模式38（6）如果回到公司，可以停止home會話，啟動company會話（連接）。[root@RHEL7-1~]#nmcliconnectiondownhomeConnection'home'successfullydeactivated(D-Busactivepath:/org/freedesktop/NetworkManager/ActiveConnection/4)[root@RHEL7-1~]#nmcliconnectionupcompanyConnectionsuccessfullyactivated(D-Busactivepath:/org/freedesktop/NetworkManager/ActiveConnection/6)[root@RHEL7-1~]#ifconfigens33:flags=4163<UP,BROADCAST,RUNNING,MULTICAST>mtu1500inetnetmaskbroadcast55inet6fe80::7ce7:c434:4c95:7ddbprefixlen64scopeid0x20<link>ether00:0c:29:66:42:8dtxqueuelen1000(Ethernet)RXpackets304bytes41920(40.9KiB)RXerrors0dropped0overruns0frame0TXpackets429bytes47058(45.9KiB)TXerrors0dropped0overruns0carrier0collisions0……39（7）如果要刪除會話連接，請執行nmcli命令，執行“Editaconnection”命令，然后選中要刪除的會話，按“Delete”按鈕即可，如圖2-18所示。圖2-18刪除網絡會話連接40任務2-2綁定兩塊網卡第1步：在虛擬機系統中再添加一塊網卡設備，請確保兩塊網卡都處在同一個網絡連接中（即網卡模式相同），如圖2-18和圖2-19所示。41第2步：使用Vim文本編輯器來配置網卡設備的綁定參數。[root@RHEL7-1~]#vim/etc/sysconfig/network-scripts/ifcfg-ens33TYPE=EthernetBOOTPROTO=noneONBOOT=yesUSERCTL=noDEVICE=ens33MASTER=bond0SLAVE=yes[root@RHEL7-1~]#vim/etc/sysconfig/network-scripts/ifcfg-ens38TYPE=EthernetBOOTPROTO=noneONBOOT=yesUSERCTL=noDEVICE=ens38MASTER=bond0SLAVE=yes42第2步：使用Vim文本編輯器來配置網卡設備的綁定參數。還需要將綁定后的設備命名為bond0并把IP地址等信息填寫進去，這樣當用戶訪問相應服務的時候，實際上就是由這兩塊網卡設備在共同提供服務。[root@RHEL7-1

~]#

vim

/etc/sysconfig/network-scripts/ifcfg-bond0TYPE=EthernetBOOTPROTO=noneONBOOT=yesUSERCTL=noDEVICE=bond0IPADDR=PREFIX=24DNS=NM_CONTROLLED=no43第3步：讓Linux內核支持網卡綁定驅動。[root@RHEL7-1~]#vim/etc/modprobe.d/bond.confaliasbond0bondingoptionsbond0miimon=100mode=644第4步：重啟網絡服務后網卡綁定操作即可成功。[root@RHEL7-1

~]#

systemctl

restart

network[root@RHEL7-1

~]#

ifconfigbond0:flags=5123<UP,BROADCAST,MASTER,MULTICAST>mtu1500inetnetmaskbroadcast55ether86:08:25:89:b4:6dtxqueuelen1000(Ethernet)RXpackets0bytes0(0.0B)RXerrors0dropped0overruns0frame0TXpackets0bytes0(0.0B)TXerrors0dropped0overruns0carrier0collisions0

45第4步：重啟網絡服務后網卡綁定操作即可成功。ens33:flags=4163<UP,BROADCAST,RUNNING,MULTICAST>mtu1500ether00:0c:29:66:42:8dtxqueuelen1000(Ethernet)RXpackets119bytes12615(12.3KiB)RXerrors0dropped0overruns0frame0TXpackets0bytes0(0.0B)TXerrors0dropped0overruns0carrier0collisions0

ens38:flags=4163<UP,BROADCAST,RUNNING,MULTICAST>mtu1500ether00:0c:29:66:42:97txqueuelen1000(Ethernet)RXpackets48bytes6681(6.5KiB)RXerrors0dropped0overruns0frame0TXpackets0bytes0(0.0B)TXerrors0dropped0overruns0carrier0collisions0……46第4步：重啟網絡服務后網卡綁定操作即可成功。可以在本地主機執行ping命令檢查網絡的連通性。為了檢驗網卡綁定技術的自動備援功能，我們突然在虛擬機硬件配置中隨機移除一塊網卡設備，可以非常清晰地看到網卡切換的過程（一般只有1個數據丟包或不丟包）。然后另外一塊網卡會繼續為用戶提供服務。47第4步：重啟網絡服務后網卡綁定操作即可成功。[root@RHEL7-1~]#pingPING()56(84)bytesofdata.64bytesfrom:icmp_seq=1ttl=64time=0.171ms64bytesfrom:icmp_seq=2ttl=64time=0.048ms64bytesfrom:icmp_seq=3ttl=64time=0.059ms64bytesfrom:icmp_seq=4ttl=64time=0.049msping:sendmsg:Networkisunreachable---pingstatistics---8packetstransmitted,7received,12%packetloss,time7006msrttmin/avg/max/mdev=0.042/0.073/0.109/0.023ms48任務2-3配置遠程控制任務1.配置sshd服務

SSH（Secureshell）是一種能夠以安全的方式提供遠程登錄的協議，也是目前遠程管理Linux系統的首選方式。

想要使用SSH協議來遠程管理Linux系統，則需要部署配置sshd服務程序。sshd是基于SSH協議開發的一款遠程管理服務程序，不僅使用起來方便快捷，而且能夠提供了以下兩種安全驗證的方法。基于口令的驗證—用賬戶和密碼來驗證登錄。基于密鑰的驗證—需要在本地生成密鑰對，然后把密鑰對中的公鑰上傳至服務器，并與服務器中的公鑰進行比較；該方式相較來說更安全。49參

數作

用Port22默認的sshd服務端口ListenAddress設定sshd服務器監聽的IP地址Protocol2SSH協議的版本號HostKey/etc/ssh/ssh_host_keySSH協議版本為1時，DES私鑰存放的位置HostKey/etc/ssh/ssh_host_rsa_keySSH協議版本為2時，RSA私鑰存放的位置HostKey/etc/ssh/ssh_host_dsa_keySSH協議版本為2時，DSA私鑰存放的位置PermitRootLoginyes設定是否允許root管理員直接登錄StrictModesyes當遠程用戶的私鑰改變時直接拒絕連接MaxAuthTries6最大密碼嘗試次數MaxSessions10最大終端數PasswordAuthenticationyes是否允許密碼驗證PermitEmptyPasswordsno是否允許空密碼登錄（很不安全）sshd服務配置文件中包含的重要參數如表2-1所示。現有計算機的情況如下。計算機名為RHEL7-1，角色為RHEL7服務器，IP為/24。計算機名為RHEL7-2，角色為RHEL7客戶機，IP為0/24。需特別注意兩臺虛擬機的網絡配置方式一定要一致，本例中都改為：橋接模式。50[root@RHEL7-2~]#sshTheauthenticityofhost'()'can'tbeestablished.ECDSAkeyfingerprintisSHA256:f7b2rHzLTyuvW4WHLjl3SRMIwkiUN+cN9y1yDb9wUbM.ECDSAkeyfingerprintisMD5:d1:69:a4:4f:a3:68:7c:f1:bd:4c:a8:b3:84:5c:50:19.Areyousureyouwanttocontinueconnecting(yes/no)?yesWarning:Permanentlyadded''(ECDSA)tothelistofknownhosts.root@'spassword:此處輸入遠程主機root管理員的密碼Lastlogin:WedMay3005:36:532018from192.168.10.[root@RHEL7-1~]#[root@RHEL7-1~]#exitlogoutConnectiontoclosed.在RHEL7系統中，已經默認安裝并啟用了sshd服務程序。接下來使用ssh命令在RHEL7-2上遠程連接RHEL7-1，其格式為“ssh[參數]主機IP地址”。要退出登錄則執行exit命令。在RHEL7-2上操作。51如果禁止以root管理員的身份遠程登錄到服務器，則可以大大降低被黑客暴力破解密碼的概率。下面進行相應配置。（1）在RHEL7-1SSH服務器上。首先使用vim文本編輯器打開sshd服務的主配置文件，然后把第38行#PermitRootLoginyes參數前的井號（#）去掉，并把參數值yes改成no，這樣就不再允許root管理員遠程登錄了。記得最后保存文件并退出。[root@RHEL7-1~]#vim/etc/ssh/sshd_config……3637#LoginGraceTime2m38PermitRootLoginno39#StrictModesyes

……52（2）一般的服務程序并不會在配置文件修改之后立即獲得最新的參數。如果想讓新配置文件生效，則需要手動重啟相應的服務程序。最好也將這個服務程序加入到開機啟動項中，這樣系統在下一次啟動時，該服務程序便會自動運行，繼續為用戶提供服務。[root@RHEL7-1

~]#

systemctl

restart

sshd[root@RHEL7-1

~]#

systemctl

enable

sshd（3）當root管理員再來嘗試訪問sshd服務程序時，系統會提示不可訪問的錯誤信息。仍然在RHEL7-2上測試。[root@RHEL7-2

~]#

ssh

root@0's

password:此處輸入遠程主機root管理員的密碼Permission

denied,

please

try

again.注意：為了不影響下面的實訓，請將/etc/ssh/sshd_config配置文件的更改恢復到初始狀態。

532.安全密鑰驗證

加密是對信息進行編碼和解碼的技術，在傳輸數據時，如果擔心被他人監聽或截獲，就可以在傳輸前先使用公鑰對數據加密處理，然后再行傳送。這樣，只有掌握私鑰的用戶才能解密這段數據，除此之外的其他人即便截獲了數據，一般也很難將其破譯為明文信息。

在生產環境中使用密碼進行口令驗證存在著被暴力破解或嗅探截獲的風險。如果正確配置了密鑰驗證方式，那么sshd服務程序將更加安全。下面使用密鑰驗證方式，以用戶student身份登錄SSH服務器，具體配置如下。[root@RHEL7-1~]#useraddstudent[root@RHEL7-1~]#passwdstudent54（2）在客戶端主機RHEL7-2中生成“密鑰對”。查看公鑰id_rsa.pub和私鑰id_rsa。[root@RHEL7-2~]#ssh-keygenGeneratingpublic/privatersakeypair.Enterfileinwhichtosavethekey(/root/.ssh/id_rsa)://按回車鍵或設置密鑰的存儲路徑Enterpassphrase(emptyfornopassphrase)://直接按回車鍵或設置密鑰的密碼Entersamepassphraseagain://再次按回車鍵或設置密鑰的密碼Youridentificationhasbeensavedin/root/.ssh/id_rsa.Yourpublickeyhasbeensavedin/root/.ssh/id_rsa.pub.Thekeyfingerprintis:SHA256:jSb1Z223Gp2j9HlDNMvXKwptRXR5A8vMnjCtCYPCTHsroot@RHEL7-1Thekey'srandomartimageis:+---[RSA2048]----+|.o...||+..*oo.||=E.ooBo||o.+oB..o||.Sooo+==||o.o...==||.oo.=o||o..=o+||..o.oo|+----[SHA256]-----+[root@RHEL7-2~]#cat/root/.ssh/id_rsa.pubssh-rsaAAAAB3NzaC1yc2EAAAADAQABAAABAQCurhcVb9GHKP4taKQMuJRdLLKTAVnC4f9Y9H2Or4rLx3YCqsBVYUUn4gSzi8LAcKPcPdBZ817Y4a2OuOVmNW+hpTR9vfwwuGOiU1Fu4Sf5/14qgkd5EreUjE/KIPlZVNX904blbIJ90yu6J3CVz6opAdzdrxckstWrMSlp68SIhi517OVqQxzA+2G7uCkplh3pbtLCKlz6ck6x0zXd7MBgR9S7nwm1DjHl5NWQ+542Z++MA8QJ9CpXyHDA54oEVrQoLitdWEYItcJIEqowIHM99L86vSCtKzhfD4VWvfLnMiO1UtostQfpLazjXoU/XVp1fkfYtc7FFl+uSAxIO1nJroot@RHEL7-2[root@RHEL7-2~]#cat/root/.ssh/id_rsa55（3）把客戶端主機RHEL7-2中生成的公鑰文件傳送至遠程主機：[root@RHEL7-2

~]#

ssh-copy-id

student@/usr/bin/ssh-copy-id:INFO:attemptingtologinwiththenewkey(s),tofilteroutanythatarealreadyinstalled/usr/bin/ssh-copy-id:INFO:1key(s)remaintobeinstalled--ifyouarepromptednowitistoinstallthenewkeysstudent@'spassword://此處輸入遠程服務器密碼

Numberofkey(s)added:1

Nowtryloggingintothemachine,with:"ssh'student@'"andchecktomakesurethatonlythekey(s)youwantedwereadded.56（4）對服務器RHEL7-1進行設置（65行左右），使其只允許密鑰驗證，拒絕傳統的口令驗證方式。將“PasswordAuthenticationyes”改為“PasswordAuthenticationno”。記得在修改配置文件后保存并重啟sshd服務程序。[root@RHEL7-1

~]#

vim

/etc/ssh/sshd_config

……

74

62

#

To

disable

tunneled

clear

text

passwords,

change

to

no

here!

63

#PasswordAuthentication

yes

64

#PermitEmptyPasswords

no