Linux 远程连接解析：SSH 协议理论与应用

Linux 远程连接解析：SSH 协议理论与应用

在这里插入图片描述

在网络互联的时代，远程管理服务器已成为常态。SSH（Secure Shell）作为一种安全的网络协议，凭借其加密机制和灵活的功能，成为 Linux 系统远程操作的事实标准。本文将从协议原理到实战操作，全面剖析 SSH 技术，帮助你理解其背后的工作机制，掌握从基础连接到高级配置的全流程。

一、SSH 协议：远程安全通信的基石

1. SSH 协议的诞生与意义

在 SSH 出现之前，远程管理主要依赖 Telnet、FTP 等协议，但这些协议明文传输数据，密码和操作指令在网络中裸奔，极易被窃听或篡改（“中间人攻击”）。1995 年，芬兰学者 Tatu Ylönen 为解决这一问题开发了 SSH 协议，通过端到端加密实现了安全的远程通信，逐渐取代了传统协议。

如今，SSH 已发展到第 2 版（SSH-2），成为 Linux、Unix 系统远程管理的标配，支持远程登录、命令执行、文件传输等功能。

2. SSH 协议的核心组成

SSH 协议并非单一协议，而是由三个子协议协同工作：

  • 传输层协议（SSH-TRANS）：
    负责建立加密的网络连接，完成服务器身份验证、数据加密和压缩。它是整个 SSH 通信的基础，确保后续所有数据传输的安全性。
  • 用户认证协议（SSH-AUTH）：
    建立在传输层之上，用于验证客户端用户的身份（如密码认证、密钥认证）。只有通过认证，客户端才能获得服务器的操作权限。
  • 连接协议（SSH-CONN）：
    认证通过后，负责将加密的连接划分为多个 “逻辑通道”，支持同时进行多项操作（如一个通道执行命令，另一个通道传输文件），实现多任务并行。

3. SSH 的加密机制：双重保障的安全体系

SSH 的安全性源于其混合加密策略，结合了对称加密、非对称加密和哈希算法的优势：

（1）非对称加密：验证身份与交换密钥
  • 服务器身份验证：
    服务器在首次启动时会生成一对公私钥（默认存于 /etc/ssh/ 目录，如 ssh_host_rsa_key 和 ssh_host_rsa_key.pub）。客户端首次连接时，服务器会发送公钥，客户端验证后将公钥存入 ~/.ssh/known_hosts 文件（后续连接直接比对，防止 “中间人攻击”）。
  • 会话密钥协商：
    为避免非对称加密效率低的问题，SSH 仅用它来安全交换对称加密的密钥。客户端生成一个随机的 “会话密钥”，用服务器公钥加密后发送给服务器，服务器用私钥解密，双方从此使用该会话密钥进行对称加密通信。
（2）对称加密：高效加密传输数据

会话密钥生成后，客户端和服务器会使用对称加密算法（如 AES、ChaCha20）加密所有传输的数据（包括命令、输出、文件内容等）。对称加密速度快，适合大量数据传输，而会话密钥仅在本次连接中有效，进一步降低了泄露风险。

（3）哈希算法：确保数据完整性

SSH 还使用哈希算法（如 SHA-256）对传输的数据进行 “签名”，生成消息认证码（MAC）。接收方通过验证 MAC 确认数据未被篡改，防止传输过程中被恶意修改。

4. SSH 的认证机制：两种登录方式的原理

SSH 支持多种认证方式，最常用的是密码认证和密钥认证，两者的安全原理和适用场景不同：

（1）基于密码的认证
  • 原理：客户端发送用户名和密码，服务器验证密码是否与 /etc/shadow 中存储的哈希值匹配。
  • 优点：简单易操作，适合临时登录。
  • 缺点：密码可能被暴力破解（通过反复尝试弱密码），且每次登录都需输入密码，效率低。
（2）基于密钥的认证
  • 原理：依赖 “非对称密钥对”（公钥 + 私钥）。私钥仅存于客户端，公钥存于服务器的 ~/.ssh/authorized_keys 文件中。登录时，服务器用公钥加密一段随机数据，客户端用私钥解密后发回，服务器验证解密结果是否正确，无需传输密码。
  • 优点：安全性极高（私钥不传输，难以被破解），支持无密码登录，适合自动化脚本或频繁登录场景。
  • 缺点：配置步骤稍复杂，需妥善保管私钥（私钥泄露 = 账户被盗）。

二、SSH 服务的工作流程：从连接到交互的全过程

一次完整的 SSH 连接包含 5 个阶段，每个阶段都有明确的分工：

  1. 版本协商阶段
    • 客户端向服务器发送 SSH 版本信息（如 SSH-2.0-OpenSSH_8.0），服务器返回自己的版本。
    • 双方确认使用相同的主版本（如 SSH-2），否则连接失败。
  2. 密钥与算法协商阶段
    • 服务器向客户端发送自己的公钥（用于身份验证）和支持的加密算法列表（如 AES、SHA-256 等）。
    • 客户端选择双方都支持的算法，并生成一个随机的 “会话密钥”，用服务器公钥加密后发送给服务器。
    • 服务器用私钥解密得到会话密钥，从此双方用该密钥进行对称加密通信。
  3. 服务器身份验证阶段
    • 客户端验证服务器公钥是否在 ~/.ssh/known_hosts 中（首次连接时需手动确认，防止中间人攻击）。
    • 验证通过后，确认连接的是目标服务器，而非伪造的 “钓鱼” 服务器。
  4. 用户身份认证阶段
    • 服务器要求客户端提供身份凭证（密码或密钥）：
      • 若为密码认证：客户端加密密码后发送，服务器解密并验证。
      • 若为密钥认证：服务器用客户端公钥加密随机数据，客户端用私钥解密并返回结果，服务器验证解密是否正确。
    • 认证失败则断开连接，成功则进入下一步。
  5. 会话交互阶段
    • 认证通过后，客户端可请求打开 “通道”（如终端会话、文件传输通道），服务器分配通道 ID 并确认。
    • 双方通过加密通道传输数据（命令、输出、文件等），直到客户端发送断开请求（如 exit 命令）。

三、SSH 相关工具的技术细节

SSH 协议衍生出多个实用工具，除了基础的 ssh 登录命令，还有 sftp、scp 等文件传输工具，它们共享 SSH 的加密机制，无需额外配置安全措施。

1. SFTP：基于 SSH 的文件传输协议

SFTP（SSH File Transfer Protocol）是 SSH 协议的扩展，专为文件传输设计，功能类似 FTP 但更安全。它的核心特点：

  • 全加密传输：所有操作（登录、上传、下载）都通过 SSH 加密通道进行，替代了明文传输的 FTP。
  • 交互式操作：支持类似 FTP 的命令（ls、cd、put、get 等），适合手动管理文件。
  • 权限控制：依赖系统用户权限，客户端只能操作自己有权限的文件，安全性可控。

2. SCP：基于 SSH 的 “一键式” 文件复制

SCP（Secure Copy）是简化版的文件传输工具，基于 SSH 协议实现，无需交互界面，适合脚本自动化操作：

  • 原理：建立 SSH 连接后直接复制文件，完成后自动断开，效率高于 SFTP。
  • 递归复制：通过 -r 参数可复制目录（包括子文件和子目录），底层通过 cp 命令实现。
  • 跨平台支持：不仅能在 Linux 之间传输，还支持与 Windows（如通过 PuTTY 的 pscp 工具）互传文件。

四、基础远程连接：用 SSH 登录服务器

1. 安装并启动 SSH 服务端

SSH 服务端程序为 openssh-server，客户端工具包含在 openssh-clients 中。以 CentOS 系统为例：

# 安装 SSH 服务端和客户端（一步到位）
yum -y install openssh openssh-server openssh-clients# 启动 SSH 服务
systemctl start sshd# 设置开机自启（确保重启后服务自动运行）
systemctl enable sshd# 检查服务状态（确认是否正常运行）
systemctl status sshd

安装完成后，SSH 服务默认监听 22 端口，可通过 netstat -tuln | grep 22 验证端口是否开放。

1. 最基本的 SSH 连接

只要知道目标服务器的 IP 地址和用户名，就能通过以下命令远程登录：

# 格式：ssh 用户名@服务器IP
ssh root@172.25.0.183

执行后会提示输入目标用户的密码，输入正确后即可进入远程服务器的命令行界面。

2. 连接时的小技巧

  • 指定端口：如果 SSH 服务修改了默认端口（比如改为 2222），连接时需用 -p 指定端口：

    ssh root@172.25.0.183 -p 2222

  • 首次连接提示：第一次连接新服务器时，会出现类似提示：

    The authenticity of host '172.25.0.183 (172.25.0.183)' can't be established.
ECDSA key fingerprint is SHA256:xxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

    这是因为客户端首次识别服务器的密钥，输入 yes 并回车即可（后续连接不会再提示）。

五、文件传输：不止于登录的 “附加技能”

SSH 不仅能远程登录，还自带文件传输工具。常用的有 sftp（交互式传输）和 scp（命令行直接传输），无需额外安装，安全又方便。

1. SFTP：交互式文件传输

SFTP（SSH File Transfer Protocol）是基于 SSH 的文件传输协议，操作类似 FTP，但所有数据都经过加密。

# 连接远程服务器（和 SSH 登录格式相同）
sftp root@172.25.0.183

连接成功后进入 SFTP 交互界面，常用命令：

  • 上传文件：put 本地文件路径 远程目录
    例：把本地 /tmp/aa.txt 传到远程服务器的 /var 目录：

    bash

    put /tmp/aa.txt /var

  • 下载文件：get 远程文件路径 本地目录
    例：把远程服务器的 /tmp/cc.log 下载到本地 /var 目录：

    get /tmp/cc.log /var

  • 其他常用命令：

    • ls：查看远程目录文件
    • lls：查看本地目录文件（加 l 表示本地）
    • cd 目录：切换远程目录
    • lcd 目录：切换本地目录
    • exit 或 quit：退出 SFTP 界面

2. SCP：命令行 “一键式” 传输

SCP（Secure Copy）是基于 SSH 的文件复制工具，无需进入交互界面，直接在命令行完成传输，适合脚本自动化操作。

上传本地文件到远程服务器
# 格式：scp 本地文件 用户名@服务器IP:远程目录
scp /tmp/aa.txt root@172.25.0.183:/var
从远程服务器下载文件到本地
# 格式：scp 用户名@服务器IP:远程文件 本地目录
scp root@172.25.0.183:/tmp/cc.log /var
传输目录（加 -r 参数递归复制）
# 上传本地目录到远程
scp -r /tmp/testdir root@172.25.0.183:/var# 下载远程目录到本地
scp -r root@172.25.0.183:/tmp/testdir /var

六、SSH 连接的 “安全密码”：加密与认证机制

SSH 的安全性源于其复杂的加密和认证流程，即使在公共网络中也能保证数据不被窃听或篡改。

1. 加密方式：双重保障

  • 对称加密：用于加密传输的数据。连接建立时，客户端和服务器会协商生成一个 “会话密钥”，后续所有数据都用这个密钥加密（双方共享，效率高）。
  • 非对称加密：用于验证服务器身份和传输会话密钥。服务器有一对公私钥，客户端通过公钥验证服务器身份，确保连接的是目标服务器而非 “中间人”。

2. 认证方式：两种登录选择

基于密码认证

最常用的方式，输入用户名和密码即可登录。优点是简单，缺点是密码可能被暴力破解（建议定期更换复杂密码）。

基于密钥认证

更安全的方式，通过 “密钥对”（公钥 + 私钥）认证。私钥保存在客户端，公钥存放在服务器，无需输入密码即可登录，且不怕暴力破解。

七、进阶：配置密钥认证，告别密码登录

密钥认证是企业级服务器的首选登录方式，步骤如下：

1. 在客户端生成密钥对

# 生成 RSA 密钥对（一路回车，无需设置密码，或按提示设置密钥密码增加安全性）
ssh-keygen -t rsa# 生成后，在 ~/.ssh 目录下会生成两个文件：
# - id_rsa：私钥（重要！妥善保管，不可泄露）
# - id_rsa.pub：公钥（可公开，需要上传到服务器）

2. 上传公钥到服务器

使用 ssh-copy-id 工具一键上传公钥（确保客户端已安装 openssh-clients）：

# 格式：ssh-copy-id -i 公钥路径 用户名@服务器IP
ssh-copy-id -i ~/.ssh/id_rsa.pub root@172.25.0.183

执行后输入服务器密码，公钥会自动添加到服务器的 ~/.ssh/authorized_keys 文件中（这个文件存储所有允许登录的客户端公钥）。

3. 验证密钥登录

ssh root@172.25.0.183

此时无需输入密码，直接登录成功，说明密钥认证配置完成！

八、扩展技巧：让远程操作更高效

1. 远程调用图形化程序

如果服务器有图形化界面（如安装了桌面环境），可通过 -X 参数在客户端显示服务器的图形程序：

# 登录时添加 -X，允许远程图形转发
ssh -X root@172.25.0.183# 例如，在远程服务器打开文本编辑器 gedit，窗口会显示在客户端
gedit
2. 限制 SSH 登录（提高安全性）

编辑 SSH 配置文件 /etc/ssh/sshd_config，可限制登录权限：

# 禁止 root 直接登录（推荐！登录后再 su - 切换）
PermitRootLogin no# 只允许指定用户登录（如只允许 user1 和 user2）
AllowUsers user1 user2@192.168.1.0/24  # 后面可加 IP 限制，只允许特定网段# 修改默认端口（减少被扫描的概率）
Port 2222  # 改为非默认端口

修改后重启服务生效：systemctl restart sshd。

总结

SSH 不仅是远程登录工具，更是一套完整的远程管理生态。从基础的 ssh 命令登录，到 sftp/scp 的文件传输，再到安全的密钥认证，掌握这些技能能让你轻松应对各种远程操作场景。记住：安全永远是第一位的，优先使用密钥认证，并合理配置 SSH 服务限制，让远程连接既高效又安全。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若转载，请注明出处：http://www.pswp.cn/pingmian/91324.shtml
繁体地址，请注明出处：http://hk.pswp.cn/pingmian/91324.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

ubuntu22.04系统入门 linux入门 简单命令基础复习 实现以及实践

ubuntu22.04系统入门 linux入门 简单命令基础复习 实现以及实践

以下有免费的4090云主机提供ubuntu22.04系统的其他入门实践操作 地址：星宇科技 | GPU服务器 高性能云主机 云服务器-登录 相关兑换码星宇社区---4090算力卡免费体验、共享开发社区-CSDN博客 兑换码要是过期了，可以私信我获取最新兑换码！&a…
阅读更多...
软考中级-信息安全工程师-每日一学（1）

软考中级-信息安全工程师-每日一学（1）

前提概要本文章主要用于分享软考中级-信息安全工程师-学习，以下是一些个人理解，请大家结合参考其他文章中的相关信息及个人经验进行归纳和补充，内容会存在一定错误，希望读者多多评论批评，本人在此先说感谢啦。1.密码学…
阅读更多...
EEG手工特征提取总结

EEG手工特征提取总结

目录一、引言EEG信号简介EEG特征提取的重要性本次汇报目的与内容概述二、EEG信号核心特征时域特征 (Time-Domain Features)频域特征 (Frequency-Domain Features)三、EEG信号高级特征时频域特征 (Time-Frequency Domain Features)空间域特征 (Spatial-Domain Features)复杂动力…
阅读更多...
React 路由守卫

React 路由守卫

下面，我们来系统的梳理关于 React Router 路由守卫 的基本知识点：一、路由守卫概述 1.1 什么是路由守卫 路由守卫是一种在用户导航到特定路由之前或离开特定路由时执行逻辑的机制。它允许开发者控制用户访问权限、验证条件或执行数据预加载等操作。 1.2 …
阅读更多...
7月31日作业

7月31日作业

1&#xff1a;请使用函数模板&#xff0c;写一个能够针对所有数据类型的数据的快速排序函数 并多写几个数组做测试代码#include <iostream> #include <cstring> #include <cstdlib> #include <unistd.h> #include <sstream> #include <vector…
阅读更多...
客户服务自动化：如何用CRM减少50%人工工单？

客户服务自动化：如何用CRM减少50%人工工单？

通过CRM系统实现客户服务自动化&#xff0c;企业可以显著减少人工工单的数量&#xff0c;提升整体服务效率。那么如何利用CRM系统实现客户服务自动化&#xff1f;帮助企业从根本上解决人工工单处理的难题&#xff0c;提升服务质量&#xff0c;优化资源配置&#xff0c;最终实现…
阅读更多...
常用设计模式系列（十四）—模板方法模式

常用设计模式系列（十四）—模板方法模式

常用设计模式系列&#xff08;十四&#xff09;—模板方法模式 第一节 前言 之前我完成了创建型设计模式和结构型设计模式&#xff0c;我们今天将踏入设计模式的第三章&#xff1a;行为型设计模式&#xff0c;你是否还记得什么是行为型设计模式吗&#xff1f;行为型模式&#x…
阅读更多...
DoRA详解：从LoRA到权重分解的进化

DoRA详解：从LoRA到权重分解的进化

DoRA​​是一种用于​​大语言模型&#xff08;LLM&#xff09;微调​​的技术&#xff0c;全称为 ​​"Weight-Decomposed Low-Rank Adaptation"​​&#xff08;权重分解的低秩自适应&#xff09;。它是对现有微调方法&#xff08;如 ​​LoRA​​&#xff09;的改…
阅读更多...
RocksDB关键设计详解

RocksDB关键设计详解

0 说明 近日工作中使用了 RocksDB。RocksDB 的优点此处无需多说&#xff0c;它的一个 feature 是其有很多优化选项用于对 RocksDB 进行调优。欲熟悉这些参数&#xff0c;必须对其背后的原理有所了解&#xff0c;本文主要整理一些 RocksDB 的 wiki 文档&#xff0c;以备自己参考…
阅读更多...
Kotlin -＞ 普通Lambda vs 挂起Lambda

Kotlin -＞ 普通Lambda vs 挂起Lambda

1. 普通Lambda vs 挂起Lambda的本质区别 1.1 普通Lambda&#xff08;同步执行&#xff09; val lambda: (Int) -> String { it.toString() }// 编译器生成&#xff1a; class Lambda$1 : Function1<Int, String> {override fun invoke(p1: Int): String {return p1.t…
阅读更多...
Apache Ignite 中如何配置和启用各类监控指标

Apache Ignite 中如何配置和启用各类监控指标

这段文档是关于 Apache Ignite 中如何配置和启用各类监控指标&#xff08;Metrics&#xff09; 的详细说明。核心思想是&#xff1a;“指标收集有性能开销&#xff0c;因此默认不开启所有指标&#xff0c;需要你按需手动开启。” 下面我们来逐层拆解、通俗易懂地理解这些内容。…
阅读更多...
uniapp x swiper/image组件mode=“aspectFit“ 图片有的闪现后黑屏

uniapp x swiper/image组件mode=“aspectFit“ 图片有的闪现后黑屏

部分安卓机针对大写.JPG 有的竖图正常&#xff0c;横图/正方形不对。解决方案&#xff1a;加border-radius: 1rpx;就行<!-- 图片预览弹出框 --><fui-backdrop v-model:visible"imgPreviewVisible" :closable"true" onclick"imgPreviewVisibl…
阅读更多...
conda安装jupter

conda安装jupter

conda自带的jupter本来在base里没有在pytorch环境中 安装jupter conda install nb_conda 此扩展程序在 Jupyter 文件浏览器中添加了一个 Conda 选项卡。选择 Conda 选项卡将显示&#xff1a; 当前存在的 Conda 环境列表当前配置的通道中可用的 Conda 包列表&#xff08;htt…
阅读更多...
嵌入式操作系统快速入门（1）：快速入门操作系统常见基础概念

嵌入式操作系统快速入门（1）：快速入门操作系统常见基础概念

快速体会操作系统常见基础概念 1 初识基本概念 1.1 操作系统 一个软件程序&#xff1b;用于解决计算机多任务执行时的资源争抢问题&#xff1b;管理计算机中的各种资源&#xff0c;确保计算机正常完成各种工作&#xff08;任务&#xff09;&#xff0c;解决多任务环境中任务的调…
阅读更多...
网络安全-同形异义字攻击：眼见并非为实（附案例详解）

网络安全-同形异义字攻击：眼见并非为实（附案例详解）

什么是同形异义字攻击&#xff1f;对人眼而言&#xff0c;一切看起来完全正常。但实际上&#xff0c;例如单词 Ηоmоgraph 并不完全等同于单词 Homograph。它们之间的差异非常细微&#xff0c;难以察觉。Ηоmоgraph 实际上包含了几个非拉丁字母。在本例中&#xff0c;我们将…
阅读更多...
windows服务器 maven 配置环境变量，验证maven环境变量是否配置成功

windows服务器 maven 配置环境变量，验证maven环境变量是否配置成功

前置条件&#xff1a;先确认对应版本的jdk已安装配置好&#xff0c;可使用java -version检测; 我使用的apache-maven-3.6.3是对应jdk1.8 1.找到系统变量配置窗口 以windows server2019为例&#xff0c;右键计算机属性&#xff0c; 高级系统设置–》环境变量–》系统变量2.新建M…
阅读更多...
安装 docker compose v2版 笔记250731

安装 docker compose v2版 笔记250731

安装 docker compose v2版 笔记250731 简述 v2版是插件形式 确认系统要求, 已安装 Docker Engine&#xff08;版本 20.10.5 或更高&#xff09; 安装方式可分为 apt 或 yum 安装 (能自动升级) apt install docker-compose-pluginyum install docker-compose-plugin 手动二…
阅读更多...
PHP 5.5 Action Management with Parameters (English Version)

PHP 5.5 Action Management with Parameters (English Version)

PHP 5.5 Action Management with Parameters (English Version) Here’s a PHP 5.5 compatible script that uses URL parameters instead of paths for all operations: <?php // Start session for persistent storage session_start();// Initialize the stored actio…
阅读更多...
GR-3(4B) 技术报告--2025.7.23--字节跳动 Seed

GR-3(4B) 技术报告--2025.7.23--字节跳动 Seed

0. 前言 前两天字节发布了GR-3&#xff0c;粗略的看了一下&#xff0c;在某些方面超过了SOTA pi0&#xff0c;虽然不开源&#xff0c;但是也可以来看一看。 官方项目页 1. GR-3模型 1.1 背景 在机器人研究领域&#xff0c;一直以来的目标就是打造能够帮助人类完成日常任务…
阅读更多...
Linux网络编程：UDP 的echo server

Linux网络编程：UDP 的echo server

目录 前言&#xff1a; 一、服务端的实现 1、创建socket套接字 2、绑定地址信息 3、执行启动程序 二、用户端的实现 总结&#xff1a; 前言&#xff1a; 大家好啊&#xff0c;前面我们介绍了一些在网络编程中的一些基本的概念知识。 今天我们就借着上节课提到的&#…
阅读更多...
最新文章

Copyright @ 2022~2023