伺服器安全

ssh 登入驗證：使用公鑰登入和谷歌認證

server 端 配置檔案

<code>Port 3208</code>

<code>Protocol 2</code>

<code>ListenAddress 0.0.0.0</code>

<code>SyslogFacility AUTHPRIV</code>

<code>RSAAuthentication </code><code>yes</code>

<code>PubkeyAuthentication </code><code>yes</code>

<code>PermitRootLogin no</code>

<code>PermitEmptyPasswords no</code>

<code>PasswordAuthentication </code><code>yes</code>

<code>ChallengeResponseAuthentication no</code>

<code>GSSAPIAuthentication no</code>

<code>#是否在使用者登出後自動銷毀使用者憑證緩存</code>

<code>GSSAPICleanupCredentials </code><code>yes</code>

<code>UsePAM </code><code>yes</code>

<code>AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES</code>

<code>AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT</code>

<code>AcceptEnv LC_IDENTIFICATION LC_ALL</code>

<code>X11Forwarding no</code>

<code>UseDNS no</code>

<code>ClientAliveInterval 60</code>

<code>Subsystem       </code><code>sftp</code>    <code>/usr/libexec/openssh/sftp-server</code>

client 端配置檔案

<code>ListenAddress ip</code>

1.生成公鑰與私鑰

<code>ssh</code><code>-keygen -t rsa</code>

<code>Generating public</code><code>/private</code> <code>rsa key pair.</code>

<code>Enter </code><code>file</code> <code>in</code> <code>which</code> <code>to save the key (</code><code>/home/client/</code><code>.</code><code>ssh</code><code>/id_rsa</code><code>): </code><code>#此處直接按回車即可</code>

<code>Created directory </code><code>'/home/client/.ssh'</code><code>.</code>

<code>Enter passphrase (empty </code><code>for</code> <code>no passphrase): </code><code>#此處直接按回車即可</code>

<code>Enter same passphrase again: </code><code>#此處直接按回車即可</code>

<code>Your identification has been saved </code><code>in</code> <code>/home/client/</code><code>.</code><code>ssh</code><code>/id_rsa</code><code>.</code>

<code>Your public key has been saved </code><code>in</code> <code>/home/client/</code><code>.</code><code>ssh</code><code>/id_rsa</code><code>.pub</code>

2. 将公鑰檔案追加到server端使用者目錄的./ssh/authorized_keys中 ，.ssh目錄權限必須是0700

<code>cat</code> <code>id_rsa.pub &gt;&gt; authorized_keys</code>

<code>chmod</code> <code>600 authorized_keys</code>

3.server 端 和client 端 無密碼登入

<code>scp</code> <code>.</code><code>/id_rsa</code><code>.pub [email protected]:</code><code>/home/client/</code><code>.</code><code>ssh</code><code>/authorized_keys</code>

<code>#注意一下目标機的authorized_keys的權限是-rw-r--r--，如果不是需要執行chmod 644 authorized_keys修改檔案的權限</code>

<code></code>

谷歌驗證器

<code>安裝GOOGLE-AUTHENTICATOR驗證器</code>

<code>1.安裝epel源</code>

<code>rpm -ivh http:</code><code>//dl</code><code>.fedoraproject.org</code><code>/pub/epel/6/x86_64/epel-release-6-8</code><code>.noarch.rpm</code>

<code>2.安裝git級二維碼工具</code>

<code>yum </code><code>install</code> <code>-y git qrencode</code>

<code>3.安裝開發包工具</code>

<code>yum groupinstall -y </code><code>"Development Tools"</code> <code>pam-devel</code>

<code>4.安裝google-authenticator</code>

<code>git clone https:</code><code>//github</code><code>.com</code><code>/google/google-authenticator</code><code>.git</code>

<code>cd</code> <code>google-authenticator</code><code>/libpam/</code>

<code>sh bootstrap.sh</code>

<code>.</code><code>/configure</code> <code>&amp;&amp; </code><code>make</code> <code>&amp;&amp; </code><code>make</code> <code>install</code>

<code>cp</code> <code>-</code><code>v</code> <code>/usr/local/lib/security/pam_google_authenticator</code><code>.so </code><code>/lib64/security/</code>

<code>5.生成基于計數的認證token（可以忽略時間錯誤）</code>

<code>google-authenticator（n,y,y,y）</code>

<code>6.更改</code><code>ssh</code><code>級pam設定</code>

<code>## 修改PAM</code>

<code>vi</code> <code>/etc/pam</code><code>.d</code><code>/sshd</code>

<code>auth required pam_google_authenticator.so</code>

<code>## 修改SSH配置</code>

<code>ChallengeResponseAuthentication </code><code>yes</code>

<code>service sshd restart</code>

<code>修改</code><code>ssh</code><code>的鑒權方式，改為鍵盤互動。</code>

<code>注意： 這裡要把應急驗證碼記錄下，防止驗證壞掉以後無法登陸，也可以把</code><code>ssh</code><code>的公鑰下載下傳下來做備用登陸方式</code>

本文轉自 shouhou2581314 51CTO部落格，原文連結：http://blog.51cto.com/thedream/1833011，如需轉載請自行聯系原作者