linux 常用命令(三)SSH
一、SSH 安装及免密登陆
(1) SSH 安装并配置
CentOS 默认已安装了 SSH client、SSH server,打开终端执行如下命令进行检验
rpm -qa | grep ssh
如果返回的结果如下图所示,包含了 SSH client 跟 SSH server,则不需要再安装
若需要安装,则可以通过 yum 进行安装:
yum -y install openssh-clients openssh-server openssh
注:sshd 在 openssh-server,ssh 在 openssh-clients,ssh-keygen 在 openssh 中。
接着执行如下命令测试一下 SSH 是否可用:
ssh localhost
此时会有如下提示(SSH 首次登陆提示),输入 yes 。然后按提示输入密码,这样就登陆到本机了。
[root@master home]# ssh localhost
The authenticity of host 'localhost (::1)' can't be established.
ECDSA key fingerprint is bd:66:a8:94:98:d5:0b:f3:bc:e9:5c:41:4c:ca:b3:d4.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 'localhost' (ECDSA) to the list of known hosts.
root@localhost's password:
Last login: Fri Apr 20 07:07:31 2018 from 192.168.2.1
但这样登陆是需要每次输入密码的,我们需要配置成 SSH 无密码登陆比较方便。
(2) SSH 免密登陆
首先在 client 端用 ssh-keygen 生成公私秘钥对,并将公钥追加到 server 端的 ~/.ssh/authorized_keys 文件中:
rm ./id_rsa* # 删除之前生成的公匙(如果有)
ssh-keygen -t rsa # 会有提示,都按回车就可以
ssh-keygen -t rsa -P '' -f ~/.ssh/id_rsa
scp ~/.ssh/id_rsa.pub hadoop@192.168.2.110:/home/hadoop/.ssh # 将生成的公钥拷贝到远程服务器上
cat id_rsa.pub >> authorized_keys # 加入授权
chmod 600 ./authorized_keys # 修改文件权限,否则无法登陆,亲测
ssh-copy-id hadoop@192.168.2.110 # 或直接远程授权,不需要拷贝
注意: 一定要 chmod 来一下,不然无法起作用。此时 client 再次 ssh server 就无需输入密码就可以直接登陆了。
1. sshd 在 openssh-server
2. ssh 在 openssh-clients
3. ssh-keygen 在 openssh
(3) SSH 配制
scp 是 secure copy 的简写,用于在 Linux 下进行远程拷贝文件,类似于 cp 命令,不过 cp 只能在本机中拷贝。执行 scp 时会要求输入 slave1 上 hadoop 用户的密码(hadoop)。
sudo vim /etc/ssh/sshd_config
RSAAuthentication yes # 启用 RSA 认证
PubkeyAuthentication yes # 启用公钥私钥配对认证方式
二、常用命令
scp ~/.ssh/id_rsa.pub hadoop@slave1:/home/hadoop/ # 远程拷贝
scp /home/hadoop/hadoop-2.7.6.tar.gz hadoop@slave1:`pwd` # 远程拷贝
ssh root@sdw2 'chown -R hadoop:hadoop /usr/local/hadoop' # 远程执行命令
三、踩过的坑
问题 1 :Authentication refused: bad ownership or modes for directory /home/oracle
/var/log/secure 日志看到是权限问题:Dec 21 14:54:55 SHLT-TB-ORACLEBAK sshd[12347]: Authentication refused: bad ownership or modes for directory /home/oracle (tailf /var/log/secure)
ssh -vvv 192.168.2.101 # 查看详细日志,用于排错
sshd为了安全,对属主的目录和文件权限有所要求。如果权限不对,则 ssh 的免密码登陆不生效。
用户目录权限为 755
rsa_id.pub 及authorized_keys权限一般为644
rsa_id权限必须为600。
四、互信脚本 - expect
用脚本实现 SSH 互信,依赖 expect 服务
yum install -y tcl tclx tcl-devel expect
4.1 expect 语法
vi ssh.sh
#!/usr/bin/expect
set timeout 30
spawn ssh test@192.168.140.111 # 执行 shell 命令
expect "password:"
send "pwd
"
interact # 执行完成后保持交互状态,而不是退出远程终端
(1) [#!/usr/bin/expect] 注意:这一行需要在脚本的第一行。
(2) [set timeout 30] 单位:s。
(3) [spawn ssh test@192.168.140.111] spawn 用来传递交互指令。
(4) [expect "password:"] 判断上次输出结果里是否包含“password:”的字符串。
(5) [send "pwd
"] 执行交互动作。
(6) [interact] 执行完成后保持交互状态,而不是退出远程终端。
useradd test
echo pwd | passwd --stdin test
执行 expect ssh.sh 后会登陆到 192.168.140.111 上。
4.2 ssh 互信脚本
#!/bin/expect
# 循环 1000 台机器的IP地址,生成密钥文件 authorized_keys
for ip in {cat ip.list}
do
ssh user@$ip ssh-keygen -t rsa &>/dev/null
expect{
"yes/no" { send "yes
";exp_continue}
"password:"{send "$passwd
";exp_continue}
}
cat ~/.ssh/id_rsa.pub > ~/.ssh/authorized_keys &> /dev/null
exit
if [ !-f ~/.ssh/authorized_keys ]; then
touch ~/.ssh/authorized_keys
fi
ssh user@$ip cat ~/.ssh/authorized_keys >> ~/.ssh/authorized_keys &> /dev/null
expect {
"yes/no" { send "yes
";exp_continue}
"password:"{send "$passwd
";exp_continue}
}
done
# scp authorized_keys 文件到各台机器上面。
for ip in {cat ip.list}
do
scp ~/.ssh/authorized_keys user@$ip:~/.ssh/
expect {
"yes/no" { send "yes
";exp_continue}
"password:"{send "$passwd
";exp_continue}
}
done
每天用心记录一点点。内容也许不重要,但习惯很重要!