Linux SSH 远程登陆命令

ssh命令是openssh套件中的客户端连接工具，可以给予ssh加密协议实现安全的远程登录服务器。

语法

ssh(选项)(参数)

选项

-1：强制使用ssh协议版本1；
-2：强制使用ssh协议版本2；
-4：强制使用IPv4地址；
-6：强制使用IPv6地址；
-A：开启认证代理连接转发功能；
-a：关闭认证代理连接转发功能；
-b：使用本机指定地址作为对应连接的源ip地址；
-C：请求压缩所有数据；
-F：指定ssh指令的配置文件；
-f：后台执行ssh指令；
-g：允许远程主机连接主机的转发端口；
-i：指定身份文件；
-l：指定连接远程服务器登录用户名；
-N：不执行远程指令；
-o：指定配置选项；
-p：指定远程服务器上的端口；
-q：静默模式；
-X：开启X11转发功能；
-x：关闭X11转发功能；
-y：开启信任X11转发功能。

参数

• 远程主机：指定要连接的远程ssh服务器；
• 指令：要在远程ssh服务器上执行的指令。
  1、查看SSH客户端版本

  有的时候需要确认一下SSH客户端及其相应的版本号。使用ssh -V命令可以得到版本号。需要注意的是，Linux一般自带的是OpenSSH: 下面的例子即表明该系统正在使用OpenSSH：

  ?

  1 2	$ ssh -V OpenSSH_3.9p1, OpenSSL 0.9.7a Feb 19 2003

  下面的例子表明该系统正在使用SSH2：

  ?

  1 2	$ ssh -V ssh: SSH Secure Shell 3.2.9.1 (non-commercial version) on i686-pc-linux-gnu

  2、连接到远程主机：

  命令格式 ：

  ?

  1 2	ssh name@remoteserver #或者 ssh remoteserver -l name

  说明：以上两种方式都可以远程登录到远程主机，server代表远程主机，name为登录远程主机的用户名。

  3、连接到远程主机指定的端口：

  命令格式：

  ?

  1 2	ssh name@remoteserver -p 2222 #或者 ssh remoteserver -l name -p 2222

  说明：p 参数指定端口号，通常在路由里做端口映射时，我们不会把22端口直接映射出去，而是转换成其他端口号，这时就需要使用-p端口号命令格式。

  4、通过远程主机1跳到远程主机2：

  命令格式：

  ?

  1	ssh -t remoteserver1 ssh remoteserver2

  说明：当远程主机remoteserver2无法直接到达时，可以使用-t参数，然后由remoteserver1跳转到remoteserver2。在此过程中要先输入remoteserver1的密码，然后再输入remoteserver2的密码，然后就可以操作remoteserver2了。

  5、通过SSH运行远程shell命令：

  命令格式：

  ?

  1	ssh -l name remoteserver ‘command'

  说明：连接到远程主机，并执行远程主机的command命令。例如：查看远程主机的内存使用情况。

  ?

  1	$ ssh -l root 192.168.1.100 svmon -G

  6、修改SSH监听端口：

  默认情况下，SSH监听连接端口22，攻击者使用端口扫描软件就可以看到主机是否运行有SSH服务，将SSH端口修改为大于1024的端口是一个明智的选择，因为大多数端口扫描软件（包括nmap）默认情况都不扫描高位端口。打开/etc/ssh/sshd_config文件并查找下面这样的行：

  Port 22

  去掉该行前面的# 号，然后修改端口号并重新启动SSH服务：

  ?

  1	$ /etc/init.d/ssh restart

  7、仅允许SSH协议版本2：

  有两个SSH协议版本，仅使用SSH协议版本2会更安全，SSH协议版本1有安全问题，包括中间人攻击（man-in-the-middle）和注入（insertion）攻击。编辑/etc/ssh/sshd_config文件并查找下面这样的行：

  ?

  1 2 3

  # Protocol 2，1 修改为 Protocol 2

  8、禁止root用户登录：

  通常情况下，不采用直接用root用户登录到远程主机，由于root用户拥有超级权限，这样会带来安全隐患，所以，一般我们用普通用户登录，当需要管理远程主机时，再切换到root用户下。打开/etc/ssh/sshd_config文件并查找下面这样的行：

  ?

  1	#PermitRootLogin yes

  将#号去掉，然后将yes修改成no，重启ssh服务，这样就可以禁止root用户登录。

  将#号去掉，然后将bannertest.txt文件的全路径替换/some/path，然后保存，重启ssh服务。当客户端登录时，就会看到bannertest.txt文件中的提示信息。

  9、进行端口映射：

  假如公司内网有台web服务器，但是只对内不对外，这样，外网就无法访问，可以用ssh进行端口映射来实现外网访问内网的web服务器。假如web服务器名为webserver，webserver可以用ssh访问到远端主机remoteserver，登录到webserver，然后用下面命令进行映射

  命令格式：

  ?

  1	ssh -R 3000:localhost:80 remoteserver

  执行完成后，在remoteserver机器上，执行netstat -an | grep 3000，查看有没有开通3000端口。并执行以下命令观察是否可以打开webserver上的网页

  ?

  1	$ w3m http://127.0.0.1:3000

  如果能打开界面，说明映射成功.但是，这只限于本机访问web服务器，即只能remoteserver机器访问webserver。因为3000端口绑定的是remoteserver机器的127.0.0.1端口。可以编辑remoteserver机器上的/etc/ssh/sshd_config文件并添加如下内容：
  添加 GatewayPorts yes 内容，把监听端口3000绑定到 0.0.0.0 地址上，这样外部的所有机器都能访问到这个监听端口，然后保存退出。并重启ssh服务。完成后其它机器就可以在浏览器中输入 http://remoteserver:3000来访问webserver了。

  10、设置登录时提示信息

  首先编辑一个文件，如bannertest.txt，文件内容自行定义。然后打开/etc/ssh/sshd_config文件并查找下面这样的行：

  ?

  1	#Banner /some/path