什么是SSH（Secure Shell）
**Secure Shell（安全外壳协议，简称SSH）**是一种加密的网络传输协议，可在不安全的网络中为网络服务提供安全的传输环境。SSH通过在网络中创建安全隧道来实现SSH客户端与服务器之间的连接。
SSH使用客户端-服务器模型，标准端口为22。服务器端需要开启SSH守护进程以便接受远端的连接，而用户需要使用SSH客户端与其创建连接。
SSH最常见的用途是远程登录系统，人们通常利用SSH来传输命令行界面和远程执行命令。
如果一个用户从本地计算机，使用SSH协议登录另一台远程计算机，我们就可以认为，这种登录是安全的，即使被中途截获，密码也不会泄露。
最早的时候，互联网通信都是明文通信，一旦被截获，内容就暴露无疑。1995年，芬兰学者Tatu Ylonen设计了SSH协议，将登录信息全部加密，成为互联网安全的一个基本解决方案，迅速在全世界获得推广，目前已经成为Linux系统的标准配置。
需要指出的是，SSH只是一种协议，存在多种实现，既有商业实现，也有开源实现。本文针对的实现是OpenSSH，它是自由软件，应用非常广泛。
SSH的过程
SSH的整个过程是这样的：
- 远程主机收到用户的登录请求，把自己的公钥发给用户。
- 用户使用这个公钥，将自己输入的登录密码加密后，发送给远程主机。
- 远程主机用自己的私钥，解密输入的登录密码，如果密码正确，就同意用户登录。
这个过程本身是安全的，但是实施的时候存在一个风险：如果有人截获了登录请求，然后冒充远程主机，将伪造的公钥发给用户，那么用户很难辨别真伪。因为不像HTTPS协议，SSH协议的公钥是没有证书中心（CA）公证的，也就是说，都是自己签发的。
可以设想，如果攻击者插在用户与远程主机之间（比如在公共的WIFI区域），用伪造的公钥，获取用户的登录密码。再用这个密码登录远程主机，那么SSH的安全机制就荡然无存了。这种风险就是著名的**“中间人攻击”（Man-in-the-middle attack）**。
SSH基本使用
$ ssh [用户名]@[IP地址]
如果本地用户名与远程用户名一致，登录时可以省略用户名。
$ ssh [用户名]
SSH的默认端口是22，也就是说，你的登录请求会送进远程主机的22端口。使用p参数，可以修改这个端口。
$ ssh [用户名]@[IP地址] -p 端口号
$HOME/.ssh/id_rsa.pub中保存了本机SSH的公钥。$HOME/.ssh/id_rsa中保存了本机SSH的私钥。$HOME/.ssh/known_hosts中保存了本机之前接受的所有远程主机的公钥（本机之前连接过的远程主机公钥集合）。$HOME/.ssh/authorized_keys中保存了所有被允许来访问本机的远程主机的公钥（可连接本机的远程主机的公钥集合）。
通过密码登录
如果你是第一次登录对方主机，系统会出现下面的提示：
$ ssh user@host
The authenticity of host 'host (12.18.429.21)' can't be established.
RSA key fingerprint is 98:2e:d7:e0:de:9f:ac:67:28:c2:42:2d:37:16:58:4d.
Are you sure you want to continue connecting (yes/no)?
这段话的意思是，无法确认host主机的真实性，只知道它的公钥指纹，问你还想继续连接吗？
所谓"公钥指纹"，是指公钥长度较长（这里采用RSA算法，长达1024位），很难比对，所以对其进行MD5计算，将它变成一个128位的指纹。上例中是98:2e:d7:e0:de :9f:ac:67:28:c2:42:2d:37:16:58:4d，再进行比较，就容易多了。
很自然的一个问题就是，用户怎么知道远程主机的公钥指纹应该是多少？回答是：没有好办法！
远程主机可以在自己的网站上贴出公钥指纹（这其实类似于一些开源软件会在其网站上把发布的binary file对应的MD5列出来），以便用户自行核对。
假定经过风险衡量以后，用户决定接受这个远程主机的公钥。
Are you sure you want to continue connecting (yes/no)? yes
系统会出现一句提示，表示host主机已经得到认可。
Warning: Permanently added 'host,12.18.429.21' (RSA) to the list of known hosts.
然后，会要求输入密码。
Password: (enter password)
如果密码正确，就可以登录了。
当远程主机的公钥被接受以后，它就会被保存在文件 $HOME/.ssh/known_hosts 之中。下次再连接这台主机，系统就会认出它的公钥已经保存在本地了，从而跳过警告部分，直接提示需要输入密码。
每个SSH用户都有自己的known_hosts文件，此外系统也有一个这样的文件，通常是/etc/ssh/ssh_known_hosts，保存一些对所有用户都可信赖的远程主机的公钥。
通过公钥登录
使用密码登录，每次都必须输入密码，非常麻烦。好在SSH还提供了公钥登录，可以省去输入密码的步骤。
所谓"公钥登录"，原理很简单，就是用户将自己的公钥储存在远程主机上。
当用户登录远程主机的时候，远程主机会向用户发送一段随机字符串，用户用自己的私钥加密后，再发回给远程主机。远程主机用事先储存在主机上的的公钥进行解密，如果成功，就证明用户是可信的，直接允许登录shell，不再要求密码。
Github、Gitlab其实就是保存当前主机的公钥，因而每次执行 git 相关操作的时候（比如 git push/pull ）就不再需要我们每次都输入密码。而事实上，是使用公钥来完成身份校验的。
如果当前主机已经生成过公钥了，则可以直接跳过下面步骤。
公钥生成的方法
这种方法要求用户必须提供自己的公钥。如果没有现成的，可以直接用ssh-keygen生成一个：
$ ssh-keygen
运行上面的命令以后，系统会出现一系列提示，可以一路回车。其中有一个问题是，要不要对私钥设置口令（passphrase），如果担心私钥的安全，这里可以设置一个。
运行结束以后，在$HOME/.ssh/目录下，会新生成两个文件：id_rsa.pub和id_rsa。前者文件中保存的是你的公钥，后者中是你的私钥。
通过公钥登录（免密码登录）
这时再输入下面的命令，将公钥传送到远程主机host上面：
$ ssh-copy-id <user>@<host>
# e.g.
$ ssh-copy-id weishi@192.168.16.227
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: ".ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
Number of key(s) added: 1
Now try logging into the machine, with: "ssh 'weishi@192.168.16.227'"
and check to make sure that only the key(s) you wanted were added.
如果本机有多个公钥，也可以用 -i 来指定一个特定的你想使用的公钥的路径：
$ ssh-copy-id -i ~/.ssh/id_rsa.pub pi@192.168.2.148
好了，从此以后，你再进行 SSH 登录远程主机时，就不需要输入密码了（因为远程主机中保存了当前主机的公钥，因而可以直接验证当前主机的身份，而不需要它提供登录密码）。
如果还是不行，就打开远程主机的/etc/ssh/sshd_config这个文件，检查下面几行前面"#“注释是否取掉。
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
然后，重启远程主机的ssh服务。
# ubuntu系统
$ service ssh restart
# debian系统
$ /etc/init.d/ssh restart
Demo
Ubuntu下使用允许远程主机进行SSH登录
如果你只是想登陆别的机器的SSH，只需要安装 openssh-client（ubuntu有默认安装，如果没有则 sudo apt-get install openssh-client），
本机开放SSH服务，就需要安装openssh-server。
# ubuntu默认是不启用root用户也不允许root远程登录的。所以需要先启用root用户
# 启用root用户
$ sudo passwd root
# 查看当前的ubuntu是否安装了ssh-server服务
$ dpkg -l | grep ssh
# 安装ssh-server服务
$ sudo apt-get install openssh-server
# 再次查看安装的服务：
$ dpkg -l | grep ssh
# 然后确认ssh-server是否启动了
$ ps -e | grep ssh
# 如果看到sshd，那说明ssh-server已经启动了。
# 如果没有则可以这样启动
$ sudo /etc/init.d/ssh start
# Or
$ sudo service ssh start
禁止SSH登录
配置文件：
ssh-server配置文件位于 /etc/ssh/sshd_config，在这里可以定义SSH的服务端口，默认端口是22，你可以自己定义成其他端口号，如222。
把配置文件中的”PermitRootLogin without-password”加一个”#”号，把它注释掉，再增加一句”PermitRootLogin yes”。
查找 AllowUsers ，如果没有则加上。
This keyword can be followed by a list of user name patterns, separated by spaces. If specified, login is allowed only for user names that match one of the patterns.
Only user names are valid; a numerical user ID is not recognized. By default, login is allowed for all users.
If the pattern takes the form USER@HOST then USER and HOST are separately checked, restricting logins to particular users from particular hosts. HOST criteria may additionally contain addresses to match in CIDR address/masklen format. The allow/deny users directives are processed in the following order: DenyUsers, AllowUsers.
See PATTERNS in ssh_config(5) for more information on patterns.
# allow all users
AllowUsers *
# allow sw user only
AllowUsers sw
上面表达的意思就是只允许 sw 和root用户远程登录。
# 重启 openssh server
$ sudo service ssh restart
Reference
- man ssh
- https://man7.org/linux/man-pages/man5/sshd_config.5.html
- https://www.ssh.com/ssh/sshd_config/
- https://zh.wikipedia.org/wiki/Secure_Shell
- https://en.wikipedia.org/wiki/Ssh_(Secure_Shell)
- 如何使用SSH登录远程服务器 - https://blog.csdn.net/u011054333/article/details/52443061
- SSH原理与运用（一）：远程登录 - http://www.ruanyifeng.com/blog/2011/12/zen_and_the_art_of_motorcycle_maintenance.html
- SSH原理与运用（二）：远程操作与端口 - http://www.ruanyifeng.com/blog/2011/12/ssh_port_forwarding.html
- https://www.jianshu.com/p/ffe227aa13fb