ssh优化：
1、修改默认端口；
2、禁止root连接；
3、禁止空密码登陆；
4、禁止DNS
UseDNS no；
5、是否允许使用基于 GSSAPI 的用户认证
GSSAPIAuthentication no；
6、只监听本地IP；
7、用密钥登陆不用密码登陆；
客户端ssh,连接完可以在用户下执行命令，也可以在连的时候执行命令:
ssh -p22 [email protected]
第一次连接会产生一个KEY到 ~/.ssh/know_hosts
sftp加密ftp:
#缺点：必须系统用户，没法锁定目录，可以随意切换目录，两个缺点都比较危险
sftp -oPort=22 [email protected]
#不加路径传到root的home目录，加路径传到指定路径
put /etc/hosts
#下载文件到指定路径，不指定则下载到登陆前路径
get yum.conf /opt
scp全量复制，用起来基本可以被rsync替代,-r递归，-p保持属性:
scp -P22 -r -p /tmp/ [email protected]:/scp/
知道端口或进程查详情
lsof -i tcp:22
netstat -lntup|grep 22
netstat -lntup|grep sshd
#centos7:
ssa（待研究）
避免权限过大，用普通用户登录
批量方案(分发、部署、执行命令、配置修改)：
ssh key |puppet |saltstack
ssh key:
创建用户和密码
useradd skey &&\
echo ‘12345678‘|passwd --stdin skey
在分发机上在普通用户下创建公钥私钥：一把钥匙（私钥）打开多个锁（公钥）
1、su - skey
2、ssh-keygen -t dsa
3、ls ~/skey/.ssh
4、ssh-copy-id -i .ssh/id_dsa.pub [email protected]
ssh-copy-id -i .ssh/id_das.pub "-p 12345 [email protected]"
客户机：
1、ls ~/.ssh|wc -l (生成authorized_keys文件，文件名由/etc/ssh/sshd_config里配置) 权限为600
2、生成记录在分发机上的know_hosts文件
分发机分发文件：
1、scp -P22 sshkeytest [email protected]:~
2、ssh 192.168.137.7 whoami #执行一次后不需要密码
touch sshallsend.sh &&\
cat >sshallsend.sh<<eof
#!/bin/sh
. /etc/init.d/functions
[ \$# -eq 1 ]||{
echo "USAGE:\$0 {FILENAME|DIRECTORY}"
exit 1
}
for n in 7 8 9
do
#r复制目录，p保持属性
scp -rp \$1 [email protected]\${n}:~ &>/dev/null
[ \$? -eq 0 ]&&{
action "\$0 192.168.137.\${n} is ok" /bin/true
}||{
action "\$0 192.168.137.\${n} is faile" /bin/faile
}
done
eof
cat >testfor <<eof
for n in 7 8 9
do
echo \${n}
echo \$?
done
eof