RHCE --- 第二节
第二章 chrony 服务器
1.1.重要性
由于IT系统中，准确的计时非常重要，有很多原因需要准确计时：
在网络传输中，数据包和日志需要准确的时间戳
各种应用程序中，如订单信息，交易信息等都需要准确的时间戳
Linux 的两个时钟
硬件时钟 RTC（Real Time Clock）：即 BIOS 时钟，也就是我们主板中用电池供电的时钟，是将时间写入 BIOS 中，系统断电后时间不会丢失，可以在开机时通过主板程序中进行设置
[root@master ~]# hwclock # 查看硬件时间
2026-05-04 17:07:29.912243+08:00
系统时钟（System Clock）：顾名思义也就是 Linux 系统内核时钟、软件时钟，是由 Linux 内核来提供的，系统时钟是基于内存，如果系统断电时间就会丢失
[root@master ~]# date # 查看系统时间
2026年 05月 04日 星期一 17:10:43 CST
[root@master ~]# date -s 10:00 # 修改为错误时间
2026年 05月 04日 星期一 10:00:00 CST
[root@master ~]# hwclock -s # 向硬件时间同步
[root@master ~]# date
2026年 05月 04日 星期一 17:11:19 CST
设置日期时间
timedatectl 命令设置
[root@master ~]# timedatectl # 显示当前时间
Local time: 一 2026-05-04 17:34:26 CST # 本地时间
Universal time: 一 2026-05-04 09:34:26 UTC # 世界时间
RTC time: 一 2026-05-04 09:34:26 # 硬件时间
Time zone: Asia/Shanghai (CST, +0800) # 时区
System clock synchronized: yes # 时间是否同步
NTP service: active # 时间同步服务已启动
RTC in local TZ: no # no 表示硬件时钟设置为协调世界时间（UTC）,yes 表示硬件时钟设置为本地时间
[root@master ~]# systemctl status chronyd # 查看时间同步服务状态（由于默认使用 chrony 服务同步时间，不再使用 ntp 服务）
[root@master ~]# timedatectl set-ntp no # 关闭时间同步，以方便修改日期时间
[root@master ~]# systemctl status chronyd
[root@master ~]# timedatectl set-time "2023-12-12" # 设置新日期
[root@master ~]# timedatectl set-time "12:12:12"
[root@master ~]# timedatectl
Local time: 二 2023-12-12 12:12:17 CST
Universal time: 二 2023-12-12 04:12:17 UTC
RTC time: 二 2023-12-12 04:12:18
Time zone: Asia/Shanghai (CST, +0800)
System clock synchronized: no
NTP service: inactive
RTC in local TZ: no
[root@master ~]# timedatectl list-timezones | grep Asia # 查看可用时区
[root@master ~]# timedatectl set-timezone Asia/Shanghai # 设置时区
date 命令设置
[root@master ~]# date # 显示
2026年 05月 04日 星期一 17:57:22 CST
[root@master ~]# date +"%Y-%m-%d %H:%M:%S" # 格式显示
# 设置日期时间
[root@master ~]# date -s 2023-11-15
2023年 11月 15日 星期三 00:00:00 CST
[root@master ~]# date -s 14:33:33
2023年 11月 15日 星期三 14:33:33 CST
[root@master ~]# date
2023年 11月 15日 星期三 14:33:38 CST
注意：以便于以后的实验正常执行，可恢复快照后继续
NTP
NTP：（Network Time Protocol，网络时间协议）是由 RFC 1305 定义的时间同步协议，用来在分布式时间服务器和客户端之间进行时间同步
NTP 基于 UDP 报文进行传输，使用的 UDP 端口号为123
NTP 可以对网络内所有具有时钟的设备进行时钟同步，使网络内所有设备的时钟保持一致，从而使设备能够提供基于同一时间的多种应用，对于运行 NTP 的本地系统，既可以接受来自其他时钟源的同步，又可以作为时钟源同步其他的时钟，并且可以和其他设备互相同步
NTP 其精度在局域网内可达0.1ms，在互联网上绝大多数地方其精度可以达到1-50ms
Chrony介绍
chrony 是一个开源的自由软件，它能帮助你保持系统时钟与时钟服务器（NTP）同步，因此让你的时间保持精准
chrony 由两个程序组成，分别是 chronyd 和 chronyc
chronyd：是一个后台运行的守护进程，用于调整内核中运行的系统时钟和时钟服务器同步； 它确定计算机增减时间的比率，并对此进行补偿
chronyc：提供了一个用户界面，用于监控性能并进行多样化的配置；它可以在 chronyd 实例 控制的计算机上工作，也可以在一台不同的远程计算机上工作
注意：Chrony 与 NTP 都是时间同步软件，两个软件不能够同时开启，会出现时间冲突，openeuler 中默认使用 chrony 作为时间服务器，不再支持 NTP 软件包
[root@master ~]# systemctl status ntp # 查看 ntp 状态
安装与配置
安装：
[root@master ~]# yum install chrony -y # 安装时间同步工具
[root@master ~]# systemctl start chronyd # 启动时间同步服务
[root@master ~]# systemctl enable chronyd # 设置开机自启动
Chrony配置文件分析
主配置文件：/etc/chrony.conf
[root@master ~]# vim /etc/chrony.conf
# 使用 pool.ntp.org 项目中的公共服务器
# 或者使用 server 开头的服务器，理论上想添加多少时间服务器都可以
# iburst 表示的是首次同步的时候快速同步
pool pool.ntp.org iburst
# 根据实际时间计算出服务器增减时间的比率，然后记录到一个文件中，在系统重启后为系统做出最佳时间补偿调整
driftfile /var/lib/chrony/drift
# 如果系统时钟的偏移量大于1秒，则允许系统时钟在前三次更新中步进
# Allow the system clock to be stepped in the first three updates
# if its offset is larger than 1 second.
makestep 1.0 3
# 启用实时时钟（RTC）的内核同步
# Enable kernel synchronization of the real-time clock (RTC).
rtcsync
# 通过使用 hwtimestamp 指令启用硬件时间戳
# Enable hardware timestamping on all interfaces that support it.
#hwtimestamp *
# Increase the minimum number of selectable sources required to adjust
# the system clock.
#minsources 2
# 指定 NTP 客户端地址，以允许或拒绝连接到扮演时钟服务器的机器
# Allow NTP client access from local network.
#allow 192.168.0.0/16
# Serve time even if not synchronized to a time source.
#local stratum 10
# Require authentication (nts or key option) for all NTP sources.
#authselectmode require
# 指定包含 NTP 身份验证密钥的文件
# Specify file containing keys for NTP authentication.
#keyfile /etc/chrony.keys
# Save NTS keys and cookies.
ntsdumpdir /var/lib/chrony
# Insert/delete leap seconds by slewing instead of stepping.
#leapsecmode slew
# Get TAI-UTC offset and leap seconds from the system tz database.
#leapsectz right/UTC
# 指定日志文件的目录
# Specify directory for log files.
logdir /var/log/chrony
# 选择日志文件要记录的信息
# Select which information is logged.
#log measurements statistics tracking
同步时间服务器
授时中心
ntp.ntsc.ac.cn # 国家授时中心
ntp.aliyun.com # 阿里云
ntp.tencent.com # 腾讯云实验1
同步时间
第一步：先修改成错误时间
[root@master ~]# date -s 10:30
2026年 05月 04日 星期一 10:30:00 CST
第二步：编制 chrony 的配置文件
[root@master ~]# vim /etc/chrony.conf
# 定位第3行，删除后添加阿里的时间同步服务地址
server ntp.aliyun.com iburst
第三步：重启服务
[root@master ~]# systemctl restart chronyd
第四步：时间同步
[root@master ~]# chronyc sources -v
.-- Source mode '^' = server, '=' = peer, '#' = local clock.
/ .- Source state '*' = current best, '+' = combined, '-' = not combined,
| / 'x' = may be in error, '~' = too variable, '?' = unusable.
|| .- xxxx [ yyyy ] +/- zzzz
|| Reachability register (octal) -. | xxxx = adjusted offset,
|| Log2(Polling interval) --. | | yyyy = measured offset,
|| \ | | zzzz = estimated error.
|| | | \
MS Name/IP address Stratum Poll Reach LastRx Last sample
===============================================================================
^* 203.107.6.88 2 6 17 7 -3159us[-5571us] +/- 35ms第五步：查看时间是否同步
[root@master ~]# timedatectl
Local time: 一 2026-05-04 18:51:17 CST
Universal time: 一 2026-05-04 10:51:17 UTC
RTC time: 一 2026-05-04 10:51:17
Time zone: Asia/Shanghai (CST, +0800)
System clock synchronized: yes
NTP service: active
RTC in local TZ: no
[root@master ~]# date
2026年 05月 04日 星期一 18:51:22 CST
实验2
搭建本地时间同步服务器
架构
| 性质 | IP地址 | 同步对象 |
| 服务端server | 192.168.48.130 | ntp.aliyun.com |
| 客户端node1 | 192.168.48.131 | 192.168.48.130 |
要求
服务端 server 向阿里时间服务器进行时间同步
客户端 node1 向服务端 server 进行时间同步
第一步：定位服务端 server
# 安装软件
[root@master ~]# yum install chrony -y # 默认已安装
# 编辑配置文件，定位第3行，修改为阿里的时间服务地址
[root@master ~]# vim /etc/chrony.conf
server ntp.aliyun.com iburst
# 重启服务
[root@master ~]# systemctl restart chronyd
# 测试
[root@master ~]# chronyc sources -v
[root@master ~]# timedatectl status
# 设置允许客户端时间同步
[root@master ~]# vim /etc/chrony.conf
allow 192.168.182.147/24 # 设置谁可以访问本机进行同步
[root@master ~]# systemctl restart chronyd
第二步：定位客户端 node1
# 安装软件
[root@master ~]# yum install chrony -y
# 编辑配置文件
[root@master ~]# vim /etc/chrony.conf
server 192.168.182.148 iburst
# 重启服务
[root@master ~]# systemctl restart chronyd
# 测试
[root@master ~]# chronyc sources -v
.-- Source mode '^' = server, '=' = peer, '#' = local clock.
/ .- Source state '*' = current best, '+' = combined, '-' = not combined,
| / 'x' = may be in error, '~' = too variable, '?' = unusable.
|| .- xxxx [ yyyy ] +/- zzzz
|| Reachability register (octal) -. | xxxx = adjusted offset,
|| Log2(Polling interval) --. | | yyyy = measured offset,
|| \ | | zzzz = estimated error.
|| | | \
MS Name/IP address Stratum Poll Reach LastRx Last sample
===============================================================================
^* 192.168.182.148 3 6 17 23 +2610ns[+3320ns] +/- 32ms
[root@master ~]# timedatectl status
Local time: 一 2026-05-04 19:21:33 CST
Universal time: 一 2026-05-04 11:21:33 UTC
RTC time: 一 2026-05-04 11:21:33
Time zone: Asia/Shanghai (CST, +0800)
System clock synchronized: yes
NTP service: active
RTC in local TZ: no
注意：客户端同步失败的原因
检查网络连通性，需要能 ping 通
检查服务端的 allow 参数
需要重启服务
chronyc命令
查看时间服务器：
[root@master ~]# chronyc sources -v
.-- Source mode '^' = server, '=' = peer, '#' = local clock.
/ .- Source state '*' = current best, '+' = combined, '-' = not combined,
| / 'x' = may be in error, '~' = too variable, '?' = unusable.
|| .- xxxx [ yyyy ] +/- zzzz
|| Reachability register (octal) -. | xxxx = adjusted offset,
|| Log2(Polling interval) --. | | yyyy = measured offset,
|| \ | | zzzz = estimated error.
|| | | \
MS Name/IP address Stratum Poll Reach LastRx Last sample
===============================================================================
^* 203.107.6.88 2 7 377 103 +5047us[+5021us] +/- 31mschronyc sources 输出分析
M：表示信号源的模式；^ 表示服务器；= 表示对等方；# 表示本地连接的参考时钟
S：此列指示源的状态
| * | chronyd 当前同步到的源 |
| + | 表示可接受的信号源，与选定的信号源组合在一起 |
| - | 表示被合并算法排除的可接受源 |
| ? | 表示已失去连接的源 |
| x | 表示 chronyd 认为是虚假行情的时钟（其时间与大多数其他来源不一致） |
| ~ | 表示时间似乎具有太多可变性的来源 |
Name/IP address：显示服务器源的名称或IP地址
Stratum：表示源的层级，层级1表示本地连接的参考时钟，第2层表示通过第1层级计算机的时钟实现同步，依次类推
Poll：表示源轮询频率，以秒为单位，值是基数2的对数，例如值为6表示每64秒进行一次测量，chronyd 会根据当时的情况自动改变轮询频率
Reach：表示源的可达性的锁存值（八进制数值），该锁存值有8位，并在当接收或丢失一次时进行一次更新，值337表示最后八次传输都收到了有效的回复
LastRx：表示从源收到最近的一次的时间，通常是几秒钟，字母 m，h，d，或 y 分别表示分钟，小时，天或年
Last sample：表示本地时钟与上次测量时源的偏移量，方括号左侧的数字表示原始测量值，方括号右侧表示偏差值，+/- 指示器后面的数字表示测量中的误差范围；正偏移表示本地时钟位于源时钟之前
其它命令
查看时间服务器的状态
[root@master ~]# chronyc sourcestats -v
查看时间服务器是否在线
[root@master ~]# chronyc activity -v
同步系统时钟
[root@master ~]# chronyc -a makestep
常见时区
UTC 整个地球分为二十四时区，每个时区都有自己的本地时间；在国际无线电通信场合，为了统一起见，使用一个统一时间，称为通用协调时（UTC，Universal Time Coordinated）
GMT 格林威治标准时间（Greenwich Mean Time）指位于英国伦敦郊区的格林尼治天文台的标准时间，因为本初子午线被定义在通过那里的经线（UTC 与 GMT 时间基本相同）
CST 中国标准时间（China Standard Time）GMT + 8 = UTC + 8 = CST
DST 夏令时（Daylight Saving Time）指在夏天太阳升起的比较早时，将时间拨快一小时，以提早日光的使用
第三章 远程登录服务
简介
概念
远程连接服务器通过文字或图形接口方式来远程登录系统，让你在远程终端前登录 linux 主机以取得可操作主机接口（shell），而登陆后的操作感觉就像坐在系统前面一样
功能：
分享主机的运算能力
服务器类型：有限度开放连接
工作站类型：只对内网开放
分类
文字接口：
明文传输：Telnet、RSH 等，目前非常少用
# 使用 wireshark 抓包分析工具验证 telnet 明文传输
[root@master ~]# yum install telnet-server -y # 安装 telnet
[root@master ~]# systemctl start telnet.socket # 启动服务
# 使用 xshell 新建 telnet 连接
# 在 https://www.wireshark.org/download.html 下载安装 wireshar
# 启动 wireshark，选择捕捉 VMnet8 网卡
# 在 xshell 中输入 ip a 或其它命令
# 在 wireshark 选择记录后单击鼠标右键->追踪流->TCP流 
# 可以看到是明文传输
加密传输：SSH 为主，已经取代明文传输
# 关闭上述 telnet 连接，建立 ssh 连接，查看是否为加密传输
图形接口：
XDMCP、VNC、XRDP等
文字接口连接服务器：
SSH（Secure Shell Protocol，安全壳程序协议）由 IEIF 的网络小组（Network Working Group）所制定，可以通过数据包加密技术将等待传输的数据包加密后在传输到网络上
ssh 协议本身提供两个服务功能：
一个是类似 telnet 的远程连接使用 shell 的服务器
另一个就是类似 ftp 服务的 sftp-server，提供更安全的 ftp 服务
连接加密技术简介
目前常见的网络数据包加密技术通常是通过"非对称密钥系统"来处理的
主要通过两把不一样的公钥与私钥来进行加密与解密的过程
密钥解析：
公钥（public key）：提供给远程主机进行数据加密的行为，所有人都可获得你的公钥来将数据加密
私钥（private key）：远程主机使用你的公钥加密的数据，在本地端就能够使用私钥来进行解密；私钥只有自己拥有
SSH工作过程：
服务端与客户端要经历如下五个阶段：
| 过程 | 说明 |
| 版本号协商阶段 | SSH目前包括SSH1和SSH2两个版本，双方通过版本协商确定使用的版本 |
| 密钥和算法协商阶段 | SSH支持多种加密算法，双方根据本端和对端支持的算法，协商出最终使用的算法 |
| 认证阶段 | SSH客户端向服务器发起认证请求，服务器端对客户端进行认证 |
| 会话请求阶段 | 认证通过后，客户端向服务器端发送会话请求 |
| 交互会话阶段 | 会话请求通过后，服务器端和客户端进行信息的交互 |
版本协商阶段
服务器端打开端口22，等待客户端连接
客户端向服务器端发起TCP初始连接请求，TCP连接建立后，服务器向客户端发送第一个报文，包括版本标志字符串，格式为 SSH-<主协议版本号>.<次协议版本号>.<软件版本号>，协议版本号由主协议版本号和次协议版本号组成，软件版本号主要是为调试使用
客户端收到报文后，解析该数据包，如果服务器的协议版本号比自己的低，且客户端能支持服务端的低版本，就使用服务器端的低版本协议号，否则使用自己的协议版本号
客户端回应服务器一个报文，包含了客户端决定使用的版本号；服务器比较客户端发来的版本号，决定是否能通客户端一起工作；如果协商成功，则进入密钥和算法协商阶段，否则服务器断开TCP连接
注意：上述报文都是采用明文方式传输
密钥和算法协商阶段
服务器端和客户端分别发送算法协商报文给对端，报文中包含自己支持的公钥算法列表、加密算法列表、MAC（Message Authentication Code，消息验证码）算法列表、压缩算法列表等等
服务器端和客户端根据对端和本端支持的算法列表得出最终使用的算法
服务器端和客户端利用DH交换（Diffie-Hellman Exchange）算法，主机密钥对等参数，生成会话密钥和会话ID
由此，服务器端和客户端就取得了相同的会话密钥和会话ID；对于后续传输的数据，两端都会使用会话密钥进行加密和解密，保证了数据传送的安全；在认证阶段，两端会使用会话用于认证过程
会话密钥的生成：
客户端需要使用适当的客户端程序来请求连接服务器，服务器将服务器的公钥发送给客户端（服务器的公钥产生过程：服务器每次启动sshd服务时，该服务会主动去找 /etc/ssh/ssh_host* 文件，若系统刚装完，由于没有这些公钥文件，因此sshd会主动去计算出这些需要的公钥文件，同时也会计算出服务器自己所需要的私钥文件）
服务器生成会话ID，并将会话ID发给客户端
若客户端第一次连接此服务器，则会将服务器的公钥数据记录到客户端的用户主目录内的 ~/.ssh/known_hosts；若是已经记录过该服务器的公钥数据，则客户端会去比对此次接收到的与之前的记录是否有差异；客户端生成会话密钥，并用服务器的公钥加密后，发送给服务器
服务器用自己的私钥将收到的数据解密，获得会话密钥
服务器和客户端都知道了会话密钥，以后传输都将被会话密钥加密
认证阶段（两种认证方法）：
基于口令的认证（password认证）：客户端向服务器发送 password 认证请求，将用户名和密码加密后发送给服务器，服务器将该信息解密后得到用户名和密码的明文，与设备上保存的用户名和密码进行比较，并返回认证成功或失败消息
基于密钥的认证（publickey 认证）：
客户端产生一对公共密钥，将公钥保存到将要登录的服务器上的那个账号的家目录的 .ssh/authorized_keys 文件中
认证阶段：客户端首先将公钥传给服务器端，服务器端收到公钥后与本地该账号家目录下的 authorized_keys 中的公钥进行对比，如果不相同，则认证失败；否则服务端生成一段随机 字符串，并先后用客户端公钥和会话密钥对其加密，发送给客户端；客户端收到后将解密后 的随机字符串用会话密钥发送给服务器；如果发回的字符串与服务器之前生成的一样，则认 证通过，否则，认证失败
注： 服务端对客户端进行认证，如果认证失败，则向客户端发送认证失败消息，其中包含可以再次认证的方法列表；客户端从认证方法列表中选取一种认证方法再次进行认证，该过程反复进行；直到认证成功或者认证次数达到上限，服务器关闭连接为止
SSH服务配置
安装ssh
[root@master ~]# yum install openssh-server
配置文件分析
[root@master ~]# vim /etc/ssh/sshd_config
21.#Port 22 # 默认监听22端口，可修改
22.#AddressFamily any # IPV4和IPV6协议家族用哪个，any表示二者均有
23.#ListenAddress 0.0.0.0 # 指明监控的地址，0.0.0.0表示本机的所有地址（默认可修改）
24.#ListenAddress :: # 指明监听的IPV6的所有地址格式
26.HostKey /etc/ssh/ssh_host_rsa_key # rsa私钥认证，默认
27.#HostKey /etc/ssh/ssh_host_ecdsa_key # ecdsa私钥认证
28.HostKey /etc/ssh/ssh_host_ed25519_key # ed25519私钥认证
34.#SyslogFacility AUTH # ssh登录系统的时会记录信息并保存在/var/log/secure
36.#LogLevel INFO # 日志的等级
40.#LoginGraceTime 2m # 登录的宽限时间，默认2分钟没有输入密码，则自动断开连接
41.PermitRootLogin yes # 允许管理员root登录
42.#StrictModes yes # 是否让sshd去检查用户主目录或相关文件的权限数据
43.#MaxAuthTries 6 # 最大认证尝试次数，最多可以尝试6次输入密码；之后需要等待某段时间后才能再次输入密码
44.#MaxSessions 10 # 允许的最大会话数
50.AuthorizedKeysFile .ssh/authorized_keys # 选择基于密钥验证时，客户端生成一对公私钥之后，会将公钥放到 .ssh/authorizd_keys 里面
66.PasswordAuthentication yes # 登录ssh时是否进行密码验证
67.#PermitEmptyPasswords no # 登录ssh时是否允许密码为空
129.Subsystem sftp /usr/libexec/openssh/sftp-server -l INFO -f AUTH # 支持 SFTP，如果注释掉，则不支持stfp连接
AllowUsers user1 user2 # 登录白名单（默认没有这个配置，需要自己手动添加），允许远程登录的用户；如果名单中没有的用户，则提示拒绝登录
ssh实验
实验1
修改ssh服务器端的端口号
第一步：服务端操作，编辑配置文件，修改端口号
[root@master ~]# vim /etc/ssh/sshd_config # 定位第21行，去掉#后修改端口号
21.Port 2222
第二步：服务端操作，重启服务
[root@master ~]# systemctl restart sshd # 注意：ssh的服务名为shhd
[root@master ~]# yum install net-tools # 安装网络工具才可使用netstat命令
[root@master ~]# netstat -ntlp # 查看端口号是否已修改
[root@master ~]# ip a # 查看本机IP地址
第三步：客户端操作，ssh登录服务端
[root@master ~]# ssh root@192.168.182.148
# 尝试登录被拒绝，22端口已关闭
ssh: connect to host 192.168.182.148 port 22: Connection refused
# 注意：Windows的xshell使用 ssh root@192.168.182.148:2222 格式访问
[root@master ~]# ssh -p 2222 root@192.168.182.148 # 指明以2222端口登录服务器
The authenticity of host '[192.168.182.148]:2222 ([192.168.182.148]:2222)' can't be established.
ED25519 key fingerprint is SHA256:K7nvJFkfIh+p9YytEGR44wLbTfpB0Y52oVou0UdG6nc.
This key is not known by any other names
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes # 输入yes
Warning: Permanently added '[192.168.182.148]:2222' (ED25519) to the list of known hosts.
root@192.168.182.148's password: # 输入服务端账户密码
Activate the web console with: systemctl enable --now cockpit.socket
Register this system with Red Hat Insights: insights-client --register
Create an account or view all your systems at https://red.ht/insights-dashboard
Last login: Tue May 30 13:57:25 2023 from 192.168.48.1
[root@server ~]#
[root@master ~]# exit # 注销，回到node1主机，或者使用ctrl+d进行注销
注销
Connection to 192.168.182.148 closed.
实验2
拒绝root账户远程登录
方法：使用配置文件中的Permitrootlogin参数进行实现
参数值：
| 参数类型 | 是否允许ssh登录 | 登录方式 | 交互shell |
|
yes |
允许 | 无限制 | 无限制 |
| no | 不允许 | 无 | 无 |
| prohibit-password | 允许 | 仅允许使用密码 | 无限制 |
| froced-commands only | 允许 | 仅允许密钥 | 授权的口令 |
[root@master ~]# vim /etc/ssh/sshd_config
PermitRootLogin no # yes修改为no
第二步：服务端重启服务
[root@master ~]# systemctl restart sshd
第三步：客户端，测试
[root@node1 ~]# ssh root@192.168.182.148
root@192.168.182.148's password: # 拒绝root连接ssh
Permission denied, please try again.实验3
允许特定账户进行ssh登录，其他账户无法登录
第一步：服务端添加新用户
[root@master ~]# useradd test
[root@master ~]# passwd test
第二步：服务端修改主配置文件
[root@master ~]# vim /etc/ssh/sshd_config
AllowUsers test # 第一行添加
[root@master ~]# systemctl restart sshd
第三步：客户端测试
[root@master ~]# ssh test@192.168.182.147
The authenticity of host '192.168.182.147 (192.168.182.147)' can't be established.
ED25519 key fingerprint is SHA256:n17VHZV4tjSLpaiCLcgmaR8oD+THS+4lhoEG0PNCjhQ.
This key is not known by any other names
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes # 输入yes
Warning: Permanently added '192.168.182.147' (ED25519) to the list of known hosts.
Authorized users only. All activities may be monitored and reported.
test@192.168.182.147's password:
Authorized users only. All activities may be monitored and reported.
Welcome to 5.10.0-216.0.0.115.oe2203sp4.x86_64
System information as of time: 2026年 04月 25日 星期六 11:56:42 CST
System load: 0.01
Memory used: 12.8%
Swap used: 0%
Usage On: 10%
IP address: 192.168.182.147
Users online: 3
To run a command as administrator(user "root"),use "sudo <command>".
[test@master ~]$ 注销 # 按下ctrl+d进行注销
[root@node1 ~]# ssh root@192.168.48.130 # 测试其它账户可否登录
root@192.168.48.130's password:
Permission denied, please try again
实验4
ssh-keygen
ssh-keygen是用于生成、管理、转换密钥的工具
格式：
[root@master ~]# ssh-keygen -t rsa
分析
-t：指定密钥类型
rsa：使用rsa公钥加密算法，可以产生公钥和私钥
执行后会在对应账户中产生一个隐藏目录.ssh，其中有2个文件
id_rsa：私钥文件
id_rsa.pud：公钥文件
虚拟之间实现密钥的登录（免密登录）
预处理：2台机子都恢复快照
第一步：定位客户端，制作公私钥对
[root@master ~]# ssh-keygen -t rsa # 一路回车
第二步：定位客户端，将公钥上传到服务器端
[root@master ~]# ssh-copy-id root@192.168.182.147 # 输入服务端的账户及IP地址
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
Authorized users only. All activities may be monitored and reported.
root@192.168.182.147's password: # 输入服务端root账户的密码
Number of key(s) added: 1
Now try logging into the machine, with: "ssh 'root@192.168.182.147'"
and check to make sure that only the key(s) you wanted were added.
# 注意：客户端将公钥上传到服务端后，服务器的 /root/.ssh/authorized_keys 文件会存储客户端的公钥数据第三步：客户端测试
[root@node1 ~]# ssh root@192.168.182.148
Activate the web console with: systemctl enable --now cockpit.socket
Register this system with Red Hat Insights: insights-client --register
Create an account or view all your systems at https://red.ht/insights-dashboard
Last login: Wed Mar 22 11:31:31 2023
[root@server ~]# 第四步：由于是要实现服务端与客户端相互免密，则将上述操作在服务端再执行一遍
实验5
xshell使用密钥登录
之前xshell使用的是密码登录，现在通过密钥的配置，实现无密码登录
# 注意：先在服务器端检查 /root/.ssh/authorized_keys 是否存在，它是存储公钥的文件，若不存在需要新建
# 服务端操作
[root@master ~]# cd /root
[root@master ~]# ls -a
[root@master ~]# mkdir .ssh
[root@master ~]# cd .ssh
[root@master .ssh]# vim authorized_keys
# 有时需要注意.ssh目录的权限
打开xshell开始操作，新建密钥
下一步：
下一步：
设置密钥文件名加密密码（可不设）
产生公钥，并另存为文件
将windows中保存的公钥文件以记事本的方式打开，复制内容，拷贝到Linux服务器端的 /root/.ssh/authorized_keys 文件中后保存退出，并重启服务：
[root@master .ssh]# systemctl restart sshd
xshell中新建会话：
点击用户身份验证，选择 Public Key 方式验证登录，点击链接
设置以什么身份登录：
输入密钥密码
成功
openEuler 是由开放原子开源基金会孵化的全场景开源操作系统项目，面向数字基础设施四大核心场景（服务器、云计算、边缘计算、嵌入式），全面支持 ARM、x86、RISC-V、loongArch、PowerPC、SW-64 等多样性计算架构
更多推荐
11
0- 0
已为社区贡献3条内容
所有评论(0)