ssh代理的部署指南：分步构建无缝远程访问 (ssh代理端口)

SSH 代理是远程访问服务器的重要工具，它使您能够在无需反复输入密码的情况下通过安全连接访问多个服务器。

部署步骤

1. 在跳板服务器上生成密钥对

• 在您的跳板服务器上，使用以下命令生成密钥对：

ssh-keygen -t rsa

2. 复制公钥到目标服务器

• 使用以下命令将公钥复制到要访问的所有目标服务器上：

ssh-copy-id -i ~/.ssh/id_rsa.pub user@target_server

• 其中 user 是目标服务器上的用户名， target_server 是服务器的 IP 地址或主机名。

3. 在跳板服务器上配置 SSH代理

• 编辑跳板服务器上的 ~/.ssh/config 文件，并添加以下行：

Host ProxyCommand ssh -q -W %h:%p user@target_server

• 其中 user 是跳板服务器上的用户名， target_server 是目标服务器的 IP 地址或主机名。

4. 启动 SSH 代理

• 在跳板服务器上启动 SSH 代理：

ssh-agent bash

• 然后添加密钥：

ssh-add ~/.ssh/id_rsa

5. 在客户端上配置 SSH 代理

• 在您的客户端上，编辑 ~/.ssh/config 文件，并添加以下行：

Host ProxyCommand ssh -q -W %h:%p user@jump_server

• 其中 user 是跳板服务器上的用户名， jump_server 是跳板服务器的 IP 地址或主机名。

6. 测试连接

• 尝试从客户端连接到目标服务器：

ssh user@target_server

• 您不应该被提示输入密码。

重要提示

确保您的跳板服务器是安全的，并且没有受到攻击。定期轮换 SSH 密钥以提高安全性。在使用跳板服务器时，请始终使用 SSH 版本 2 或更高版本。

优点

无缝访问多个服务器，无需反复输入密码。提高安全性，因为您不必在每个服务器上存储密码。便于管理，因为您可以从一个位置集中管理所有 SSH 连接。

常见问题解答

• SSH 代理不能工作？ 检查您的配置，确保密钥正确并且所有服务器都可以相互访问。
• 为什么我的连接不安全？ 确保您使用的是 SSH 版本 2 或更高版本，并且您的跳板服务器是安全的。
• 如何禁用 SSH 代理？ 在跳板服务器上停止 SSH 代理，然后从客户端配置中删除 ProxyCommand 行。

结论

通过部署 SSH 代理，您可以实现对远程服务器的无缝访问，同时提高安全性。遵循这些步骤，您可以轻松设置 SSH 代理并享受简化管理和增强安全性的好处。

---

Linux环境中远程开启ssh端口和更改ssh用户根目录

远程密令临时开启ssh端口nux服务器，我们一般是通过ssh通道远程管理，这就需要我们开启ssh端口，如22。 但开启端口有被暴力破解的风险，你会说可以设置复杂的密码或使用证书避免。 就算破解不了密码，但openssh也可能会有漏洞，你会说可以更改ssh端口，但还是有可能被扫描出来。 还有一种选择，我们可以只允许指定IP访问ssh，通过vpn登录管理服务器，但局限很明显，万一紧急情况vpn登录不上去了怎么办。 下面给出一种个人觉得比较满意的解决方案，即使用iptables的recent模块，通过密令临时开启ssh端口。 当然，密令需要保管好，防止外泄。 1、iptables规则设定#指定78字节的icmp数据包(包含IP头部20字节，ICMP头部8字节)通过被加入sshopen列表。 代码如下:iptables -A INPUT -p icmp --icmp-type 8 -m length --length 78 -m recent --set --name sshopen --rsource -j ACCEPT#检查sshopen列表是否存在你的来源IP，如果存在，即从第一次使用密令开始15秒钟内开启ssh端口22,超过15秒端口自动关闭，不再允许新连接，已连接的不会断开。 代码如下:iptables -A INPUT -p tcp --dport 22 --syn -m recent --rcheck --seconds 15 --name sshopen --rsource -j ACCEPT2、临时开启ssh端口密令linux下:代码如下:ping -s 50 host3、我目前使用的iptables规则代码如下:-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT-A INPUT -p tcp -m tcp --dport 123 -j ACCEPT-A INPUT -p icmp -m icmp --icmp-type 8 -m length --length 50 -m recent --set --name sshopen --rsource -j ACCEPT-A INPUT -p tcp -m tcp --dport 22 --syn -m recent --rcheck --seconds 15 --name sshopen --rsource -j ACCEPT-A INPUT -i lo -j ACCEPT-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT-A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT-A OUTPUT -o lo -j ACCEPT-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT-A OUTPUT -p tcp -m tcp --dport 443 -j ACCEPT-A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT-A OUTPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT使用jailkit chroot更改ssh用户根目录安装jailkit代码如下:cd /tmpwgetxzf jailkit-2.16./configuremakemake installcp extra/jailkit /etc/init.d/jailkitchmod u+x /etc/init.d/jailkitchkconfig jailkit on初始化chroot环境代码如下:jk_init -v -j /home/chroot sftp scp jk_lsh netutils extendedshellservice jailkit start代码如下:useradd www. -mecho www.:password | chpasswdchroot用户代码如下:jk_jailuser -m -n -j /home/chroot --shell=/bin/bash www.

Linux下的SSH端口转发配置方法

通常情况下两个不同的网络之间总会开放某一些特定的端口用于通讯使用，而SSH所使用的22端口通常就在开放之列。基于SSH的端口转发就是利用SSH作为中间的代理，达到绕过两个网络之间的限制，顺利的进行任意的端口的访问。

端口转发可以分为三种，正向端口转发，反向端口转发和动态端口转发。

为了展示这三种端口转发方式的用法我们先假设存在有2个网域Office和Prod，在网域Office中有两个主机A和B，在网域Prod中两个主机C和D，这两个网域之间除了主机A能够访问C的22端口之外，其他所有的访问都被网络规则所禁止，也就是说A机器无法访问C的除22之外的所有其他端口，也无法访问到D主机；而主机C和D根本就无法访问A或者B中的任意一台主机。

top任务一：正向端口转发

现在开始我们的第一个任务：假设主机D上面安装有数据库服务，监听的端口是8888，如果我想通过Office域中的主机A直接访问D主机中的数据库那该怎么办呢？这就要用到SSH的正向端口功能了。在这先要说明一下，在Linux中，所有的端口转发的操作都可以通过使用自带的工具ssh来完成。

完成任务一的命令很简单，如下：

复制代码

代码如下:

ssh -L :8888 -N

现在解释一下上面的命令：

参数-L

表示在本地开启监听的端口，后面紧跟的参数格式为::，表示将本地的8000端口转发到远程主机D的8888端口。

这个参数指定要使用ssh登录的主机以及登录的用户名，这里使用的主机和前一个参数中的主机必须是在同一个网域当中，并且能相互访问，当然也可以是同一个机器。

参数-N

不执行远程的命令。这个参数在这里是可选的。

现在在主机A上面运行上面的命令之后输入正确的密码，然后我们先登录主机A查看一下当前端口的状态：

复制代码

代码如下:

oracle@host-a[orcl]:~$ netstat -natp|grep 8000

(Not all processes could be identified, non-owned process info

will not be shown, you would have to be root to see it all.)

tcp 0 0 127.0.0.1:8000 0.0.0.0:* LISTEN 3767/ssh

tcp 0 0 ::1:8000 :::* LISTEN 3767/ssh

可以看到在主机A上已经存在8000端口准备随时接受连接了，不过要注意的是这里监听的网络是127.0.0.1(::1)，也就是说这种连接仅限于本地操作。

接下来就是配置下TNSNAMES了，配置如下：

复制代码

代码如下:

(DESCRIPTION=

(ENABLE=BROKEN)

(ADDRESS_LIST=

(FAILOVER=ON)

(LOAD_BALANCE=YES)

(ADDRESS=(PROTOCOL=TCP)(HOST=localhost)(PORT=8000))

(CONNECT_DATA=

(SID=orcl)

然后tnsping测试一下：

复制代码

代码如下:

oracle@host-a[orcl]:~$ tnsping orcl

TNS Ping Utility for Linux: Version 11.1.0.7.0 - Production on 05-JUL-2010 09:13:25

Copyright (c) 1997, 2008, Oracle. All rights reserved.

Used parameter files:

Used TNSNAMES adapter to resolve the alias

Attempting to contact (DESCRIPTION= (ENABLE=BROKEN) (ADDRESS_LIST= (FAILOVER=ON) (LOAD_BALANCE=YES) (ADDRESS=(PROTOCOL=TCP)(HOST=localhost)(PORT=8000))) (CONNECT_DATA= (SID=orcl)))

OK (340 msec)

大功告成。

top任务二：反向端口转发

因为网域Prod不能以任何的方式访问网域Office，假设这两个网域所处的物理位置完全的不同，那当那一天处于网域Prod的时候又想操作处于网域Office中的主机A，那怎么办呢？这就是要用到反向端口转发的时候了。

反向端口转发的基本思想就是从主机A建立到主机C的ssh连接的同时在主机C上打开一个端口可以反向连接到主机B上面的某一个端口，当然从主机控制上面来说连接到主机B的22(ssh端口)是最实惠的了，现在要做的就是在主机A上面运行如下的命令：

复制代码

代码如下:

ssh -R :22 -N

同样的，先解释下上面的命令：

参数-R

创建一个反向的端口转发，后面紧跟的参数格式为 ::，这里监听的端口是8888，反向连接要到C主机原来根本无法访问的主机B的22端口。

这个参数指定要使用ssh登录的主机以及登录的用户名，这里使用的主机和前一个参数中的主机必须是在同一个网域当中，并且能相互访问，当然也可以是同一个机器。

参数-N

不执行远程的命令。这个参数在这里是可选的。

在主机A上面执行上面的命令成功之后就可以登录到主机C检查一下效果了，首先是检查8888端口的开发状态：

复制代码

代码如下:

oracle@host-c:~$ netstat -natp |grep 8888

(No info could be read for -p: geteuid()=1001 but you should be root.)

tcp 0 0 127.0.0.1:8888 0.0.0.0:* LISTEN -

tcp6 0 0 ::1:8888 :::* LISTEN -

然后就是测试下这个端口的可用性，执行如下的命令：

复制代码

代码如下:

oracle@host-c:~$ ssh -p 8888 oracle@localhost

Last login: Mon Jul 5 02:34:50 2010 from 172.24.43.103

至此现在已经成功的使用唯一开放的ssh端口建立了一个本来是完全不可能的连接。这种方法是非常有用的，具体在什么时候用就靠大家的发挥了。

top任务三：动态端口转发

动态端口转发实际上是建立一个ssh加密的SOCKS4/5代理通道，任何支持SOCKS4/5协议的程序都可以使用这个加密的通道来进行代理访问，现在这种方法最常用的地方就是翻墙了，使用的方法也很简单，命令如下：

复制代码

代码如下:

ssh -D 8888 -N

命令解释：

参数-D

建立一个动态的SOCKS4/5的代理通道，紧接着的是本地监听的端口号。

这个参数指定要使用ssh登录的主机以及登录的用户名，这里使用的主机和前一个参数中的主机必须是在同一个网域当中，并且能相互访问，当然也可以是同一个机器。

参数-N

不执行远程的命令。这个参数在这里是可选的。

因为这种方法对于办公方面没有什么帮助，所以也就不再多说。

延伸阅读

SSH Tutorial for Linux Secure Shell Port forwarding

linux ssh是什么?Linu怎么修改SSH端口号?

linux ssh是什么?LINUX 在安装完毕linux,默认的情况下ssh是开放的,容易受到黑客攻击,简单,有效的操作之一就是修改默认端口号。而通过SSH连接可以远程管理Linux等设备，默认linuxssh端口是22端口，如何修改SSH默认端口，如何增加SSH端口呢？，下面小编给大家展示一下！

工具/原料

Xshell putty 等远程工具 Linux系统

SSH是什么？

SSH 为 Secure Shell

由 IETF 的网络工作小组（Network Working Group）所制定；

SSH 是建立在应用层和传输层基础上的一种安全协议。

SSH传输数据是 加密的 ，可以有效防止传输过程被截取数据保障安全。

SSH的数据是经过 压缩的 ，所以可以加快传输的速度

查看SSH服务

首先查看一下当前linux是否已经安装SSH软件包，使用 rpm -qa|grep ssh

2.确认ssh服务已经开启，下面小编以centos 系统为例

3.找到SSh服务配置文件路径一般都是在 /etc/ssh这个目录下面 sshd_config 这个文件

编辑修改SSH端口号

1.使用VI /vim编辑器，打开sshd_config这个文件，搜索找到 port字段。如下图

2 将光标定位到port 22这行 yy 然后键盘 P复制一行， insert插入编辑22端口为2222

3设置好之后如下图，wq保存退出， 表示已经增加了一个2222端口号啦

4.设置好之后，当然需要重启SSH服务了。

5.如果您有设置防火墙，请修改增加防火墙规则，或者直接关闭防火墙也行

注意事项

SSH端口默认是22，如果要修改直接编辑22端口注意前面的“#”要去掉，然后保存重启

如果是增加端口号，直接按照小编的方法，增加一个port端口即可

若对本页面资源感兴趣，请点击下方或右方图片，注册登录后

搜索本页相关的【资源名】【软件名】【功能词】或有关的关键词，即可找到您想要的资源

如有其他疑问，请咨询右下角【在线客服】，谢谢支持！