0


Windows下配置SSH实现免密访问和远程端口转发

一、背景介绍

最近想要配置自家的电脑用作服务器,方便自己远程访问。

由于没有静态IP,最开始想使用DDNS,从花生壳注册了一个域名,然后在路由配置端口转发,配置完成后,发现家里网络是光猫拨号的,路由器自动获取ip,转发的依然是内网ip,局域网可以访问,但是外网仍然访问不了,后面改成路由器拨号,依然没有公网ip。后面就想着通过一个公网上的服务器做跳板,网上找了一圈,决定使用ssh技术进行转发连接,本路记录ssh实现过程中的一些问题。

二、ssh简介

window下有自动OpenSSH工具可以实现ssh连接管理。

安装方法参考:安装 OpenSSH | Microsoft Learn

OpenSSH 是安全 Shell (SSH) 工具的开放源代码版本,Linux 及其他非 Windows 系统的管理员使用此类工具跨平台管理远程系统。 OpenSSH 在 2018 年秋季已添加至 Windows,并包含在 Windows 10 和 Windows Server 2019 中。

SSH 基于客户端-服务器体系结构,用户在其中工作的系统是客户端,所管理的远程系统是服务器。 OpenSSH 包含一系列组件和工具,用于提供一种安全且简单的远程系统管理方法,其中包括:

  • sshd.exe,它是远程所管理的系统上必须运行的 SSH 服务器组件

  • ssh.exe,它是在用户的本地系统上运行的 SSH 客户端组件

  • ssh-keygen.exe,为 SSH 生成、管理和转换身份验证密钥

  • ssh-agent.exe,存储用于公钥身份验证的私钥

  • ssh-add.exe,将私钥添加到服务器允许的列表中

  • ssh-keyscan.exe,帮助从许多主机收集公用 SSH 主机密钥

  • sftp.exe,这是提供安全文件传输协议的服务,通过 SSH 运行

  • scp.exe 是在 SSH 上运行的文件复制实用工具

本部分中的文档重点介绍了如何在 Windows 上使用 OpenSSH,包括安装以及特定于 Windows 的配置和用例。

  • 有关常见 OpenSSH 功能的其他详细文档,请参阅 OpenSSH.com。

三、SSH访问

  1. 连接前准备

使用ssh访问前需要确认远程主机上安装了OpenSSH服务器,本地主基上安装了OpenSSH客户端。

基本信息:

  • 本地主机的IP(局域网内的):Local_IP

  • 服务器的IP(公网IP):Server_IP

  • 服务器可登录的用户名:UserName

  • 服务器用户的密码:123456

  • ssh密钥对(后续创建)

  1. 启动ssh服务器

2.1 服务管理启动服务

通过win+r调出运行界面,然后输入services.msc打开服务管理器。

找到OpenSSH SSH Server服务启动,一般建议设置为自动启动

2.2 使用命令直接启动服务

以管理员运行PowerShell或者命令行,然后运行如下命令:

# 启动服务
Start-Service sshd

# 设置为自启动:
Set-Service -Name sshd -StartupType 'Automatic'

注:sshd是OpenSSH的服务名

3.连接到SSH服务器

3.1 使用名称和密码连接

直接在powershell中用ssh访问

ssh username@server_IP

# 连接成功后会收到如下提示
The authenticity of host 'servername (10.00.00.001)' can't be established.
ECDSA key fingerprint is SHA256:(<a large string>).
Are you sure you want to continue connecting (yes/no)?

#输入 yes
#然后输入密码,注意输入密码时不会显示密码。

3.2 使用密钥对访问(免密登录)

3.2.1 关于密钥对

密钥对指的是由特定的身份验证协议使用的公钥和私钥文件。

SSH 公钥身份验证使用不对称加密算法来生成两个密钥文件 – 一个为“私钥”文件,一个为“公钥”文件。 私钥文件等效于密码,在所有情况下都应当保护它们。 如果有人获取了你的私钥,则他们可以像你一样登录到你有权登录的任何 SSH 服务器。 公钥放置在 SSH 服务器上,并且可以共享,不会危害私钥的安全。

3.2.2 生成密钥对

ssh-keygen -t ed25519

如上,-t是用于指定算法,包括DSA、RSA、ECDSA、Ed25519等,未指定时默认为RSA算法。

# 以下设置以ed25519算法生成密钥对
PS C:\WINDOWS\system32> ssh-keygen -t ed25519
# 提示生成密钥的信息
Generating public/private ed25519 key pair.
# 此处用于设置密钥文件的存储位置,默认为前面括号中的文件名称
# 若要设置名称,后方需要写入文件所在路径以及文件名称才可,不能只写一个名称
Enter file in which to save the key (C:\Users\xxx/.ssh/id_ed25519):
# 由于我原来生成过,所以要确认是否覆盖
C:\Users\xxx/.ssh/id_ed25519 already exists.
Overwrite (y/n)? y # 回复y确认覆盖
# 以下时设置创建密码时是否加密私钥的密码,直接按Enter是不加密
Enter passphrase (empty for no passphrase):
# 确认密码
Enter same passphrase again:
# 密码确认通过后会生成密钥对
Your identification has been saved in C:\Users\xxx/.ssh/id_ed25519.
Your public key has been saved in C:\Users\xxx/.ssh/id_ed25519.pub.
The key fingerprint is:
SHA256:gSHnvI7PnKlI/QgZUzvbbFoY+o+l0pIhgSlHkytgkbI xxx@PC-xxx
The key's randomart image is:
+--[ED25519 256]--+
| .o.. o          |
|oo+  = o         |
|=+ o. + .        |
|E o. . . .       |
|.+o + . S        |
|. .* X           |
| .=+= B          |
| .++.& o         |
|  .oBoO          |
+----[SHA256]-----+

创建成功后可以在文件夹下看到密钥对,无扩展名的是私钥,带“.pub”的是公钥。

3.2.3 管理私钥

私钥的管理一般使用ssh-agent来管理,通过ssh-add添加私钥。

# 获取服务
Get-Service ssh-agent | Set-Service -StartupType Manual

# 启动服务器
Start-Service ssh-agent

# 运行服务
Get-Service ssh-agent

# 将私钥添加到ssh-agent,注意需要添加对应私钥的路径
ssh-add ~\.ssh\id_ed25519

注:要想免密登录,启动Agent服务,建议设置成自动启动。

3.2.4 部署公钥

连接到ssh服务器之后可以通过scp将公钥文件复制到服务器,然后执行命令加载公钥

# 连接服务器后创建公钥存储目录,注意mkdir一般只能创建一级目录
ssh UserName@Server_IP mkdir C:\ProgramData\ssh\

# 使用scp拷贝公钥到服务器上
scp C:\Users\username\.ssh\id_ed25519.pub UserName@Server_IP:C:\ProgramData\ssh\administrators_authorized_keys

# 访问公钥文件,生效公钥
ssh --% UserName@Server_IP icacls.exe "C:\ProgramData\ssh\administrators_authorized_keys" /inheritance:r /grant "Administrators:F" /grant "SYSTEM:F"

一般可能服务器会有多个公钥,先通过cd命令切换到公钥所在路径,然后可通过cat指令将公钥添加到公钥文件中,添加完之后重启ssh服务器(也可不重启,具体看情况,我是重启才有效)。

cat zero.pub >> administrators_authorized_keys

若公钥无法正常识别时,需要修改ssh_config文件配置,修改配置信息PubkeyAuthentication yes和

AuthorizedKeysFile.ssh/authorized_keys:

若是管理员账户访问时需要配试匹配管理员账户信息:

3.2.5 免密访问

当公钥和私钥均部署完毕后,再在本地主机上通过ssh访问服务器时即可不用输入密码,当然首次登录一般还是需要进行密码确认。

Agent服务需要设置成自动启动,否则重启电脑后仍然需要密码登录,或者启动Agent服务后才能这正常免密访问。

4、SSH文件传输

ssh文件传输可使用sftp或者scp进行操作,

sftp [-46aCfpqrv] [-B buffer_size] [-b batchfile] [-c cipher]
         [-D sftp_server_path] [-F ssh_config] [-i identity_file] [-l limit]
         [-o ssh_option] [-P port] [-R num_requests] [-S program]
         [-s subsystem | sftp_server] destination

scp [-346BCpqrv] [-c cipher] [-F ssh_config] [-i identity_file]
          [-l limit] [-o ssh_option] [-P port] [-S program] source ... target

最简单的操作就是指定文件两个文件路径直接拷贝。

若需要大量操作,还可以使用WinSCP软件来操作,网址如下:

WinSCP :: Official Site :: Free SFTP and FTP client for Windows

四、端口转发

ssh的精华功能是用作端口转发,可以通过端口转发将不安全连接转换成加密的数据连接,大大提高数据安全性。

  1. ssh参数

ssh [-46AaCfGgKkMNnqsTtVvXxYy] [-B bind_interface]
           [-b bind_address] [-c cipher_spec] [-D [bind_address:]port]
           [-E log_file] [-e escape_char] [-F configfile] [-I pkcs11]
           [-i identity_file] [-J [user@]host[:port]] [-L address]
           [-l login_name] [-m mac_spec] [-O ctl_cmd] [-o option] [-p port]
           [-Q query_option] [-R address] [-S ctl_path] [-W host:port]
           [-w local_tun[:remote_tun]] destination [command]

常用参数如下:

  • -f:后台执行ssh指令

  • -C:允许压缩数据

  • -N:不执行远程指令

  • -R:远程端口转发

  • -L:本地端口转发

  • -D:动态转发

  • -g:允许远端主机连接本地转发的端口

  • -v:调试模式运行,可以打印一些日志信息

2.本地端口转发

通过-L参数进行本地端口转发,可实现对本地端口的访问转发到远程服务器上。

ssh -L [本地IP]本地端口:目标主机IP(或主机名):目标端口 Username@Server_IP

通过本地端口转发,可以实现对本地主机的某个端口进行访问时,通过远程服务器中转,变成访问远程的服务器。

当远程端口省略时默认绑定到127.0.0.1。

3.远程端口转发

ssh -R [远程IP:]远程端口:目标IP:目标端口 UserName@Server_IP

进行远程端口转发时,发起放必须在目标主机中发起,将对远程服务器主机指定端口的访问转发到本地主机上。

进行远程端口转发时,需要保证,服务器的安全组规则开放了端口:

window可以通过“netstat ”查看端口配置情况,ip为0.0.0.0:3389匹配设置的远程ip时就标识配置成功。

PS C:\Windows\system32> netstat -ano|findstr "3389"
  TCP    0.0.0.0:3389           0.0.0.0:0              LISTENING       1516
  TCP    [::]:3389              [::]:0                 LISTENING       1516
  UDP    0.0.0.0:3389           *:*                                    1516
  UDP    [::]:3389              *:*                                    1516

配置成功后可以在服务器的资源监视器查看对应端口的使用情况,若端口防火墙状态不是允许,需要在防火墙添加对应端口的入站规则,否则远程端口配置成功了,也无法正常转发,因为服务器该端口无法正常访问。

五、自动启动ssh

ssh运行依赖于客户端,一旦客户端关闭,ssh就会断开连接,可通过autossh等工具进行配置,自动连接ssh。

我打算使用python编辑一个小工具调用powershell自动连接ssh,然后添加成服务程序,设置自动启动(这个后面再整)。

六、问题处理

  1. WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the RSA key sent by the remote host is
SHA256:j2ygTU2u24P3v6ZG7RMqz66RRuNvvjpoWA1qEQO75pw.
Please contact your system administrator.
Add correct host key in C:\\Users\\xxx/.ssh/known_hosts to get rid of this message.
Offending RSA key in C:\\Users\\xxx/.ssh/known_hosts:10
RSA host key for ip(地址) has changed and you have requested strict checking.
Host key verification failed.

处理方法:执行ssh-keygen -R XXX(ip地址)指令

标签: windows ssh 服务器

本文转载自: https://blog.csdn.net/u010839204/article/details/129581304
版权归原作者 鱼听禅 所有, 如有侵权,请联系我们删除。

“Windows下配置SSH实现免密访问和远程端口转发”的评论:

还没有评论