建立信任关系的基本操作

基本场景是想从一台Server服务器直接登录另一台，或者将Server服务器的数据不需密码验证直接拷贝至Client服务器，以下我们简称Server服务器为S（待发送的数据文件在这台服务器上），Client服务为C，信任关系的最简单操作方法如下：

1 在S服务器上，进入当前用户根目录下的隐藏目录 .ssh，命令如下：

（注：目录名前的点好”.”表示该文件夹是一个特殊的隐藏文件夹，ls命令下默认是看不到的，通过 ls –a 命令观察到）

2 生成S服务器的私钥和公钥：

ssh-keygen生成密钥用于信任关系生成

-此时会显示Generating public/private key pair. 并提示生成的公钥私钥文件的存放路径和文件名，默认是放在 /home/username/.ssh/id_rsa 这样的文件里的，通常不用改，回车就可以

然后Enter passphrase(empty for nopassphrase): 通常直接回车，默认不需要口令

Entersame passphrase again: 也直接回车

然后会显式密钥fingerprint生成好的提示，并给出一个RSA加密协议的方框图形。此时在.ssh目录下ls，就可以看到生成好的私钥文件id_rsa和公钥文件id_rsa.pub了

以下是各种补充说明：

注1：如果此时提示id_rsaalready exists，Overwrite(y/n) 则说明之前已经有人建好了密钥，此时选择n 忽略本次操作就行，可以直接用之前生成好的文件；当然选y覆盖一下也无妨

注2：公钥用于加密，它是向所有人公开的（pub是公开的单词public的缩写）；私钥用于解密，只有密文的接收者持有。

3 在Server服务器上加载私钥文件

仍然在.ssh目录下，执行命令：

系统如果提示：Identity added: id_rsa (id_rsa) 就表明加载成功了

下面有几个异常情况处理：

–如果系统提示：could not open a connection to your authentication agent

则需要执行一下命令：

然后再执行上述的ssh-add id_rsa命令

–如果系统提示id_rsa: No such file or directory

这是系统无法找到私钥文件id_rsa，需要看看当前路径是不是不在.ssh目录，或者私钥文件改了名字，例如如果建立的时候改成 aa_rsa，则这边命令中也需要相应改一下

-如果系统提示 command not found，那肯定是你命令敲错字符了

-提示Agent admitted failure to sign using the key，私钥没有加载成功，重试ssh-add

-注意id_rsa/id_rsa.pub文件不要删除，存放在.ssh目录下

4 把公钥拷贝至Client服务器上

很简单，例如 scp id_rsa.pub user@10.11.xx.xx:~/.ssh

5 ssh登录到Client服务器上，然后在Client服务器上，把公钥的内容追加到authorized_keys文件末尾（这个文件也在隐藏文件夹.ssh下，没有的话可以建立，没有关系）

以下是各种补充说明，遇到问题时可以参考：

注1：这里不推荐用文件覆盖的方式，有些教程直接scp id_rsa.pub 到Client服务器的authorized_keys文件，会导致之前建的其他信任关系的数据被破坏，追加到末尾是更稳妥的方式；

注2： cat 完以后，Client服务器上刚才拷贝过来的id_rsa.pub文件就不需要了，可以删除或移动到其它地方）

注3：ssh-keygen 命令通过-b参数可以指定生成的密钥文件的长度，如果不指定则默认为1024，如果ssh-keygen –b 4096（最长4096），则加密程度提高，但是生成和验证时间会增加。对一般的应用来说，默认长度已经足够胜任了。如果是rsa加密方式，那么最短长度为768byte

注4：authorized_keys文件的权限问题。如果按上述步骤建立关系后，仍然要验证密码，并且没有其他报错，那么需要检查一下authorized_keys文件的权限，需要作下修改： chmod g-w authorized_keys

OK，现在试试在Server端拷贝一个文件到Client服务器，应该无需交互直接就传过去了。

但是此时从Client传数据到Server服务器，仍然是需要密码验证的。如果需要两台服务器间能直接互传数据，则反过来按上述步骤操作一下就可以了

删除服务器间信任关系的方法

如果想取消两台服务器之间的信任关系，直接删除公钥或私钥是没有用的，需要在Client服务器上，打开 ~/.ssh/ authorized_keys 文件，找到对应的服务器的公钥字段并删除

每个段落的开头是ssh-rsa字样，段尾是Server服务器的帐号和ip（如下图红框），需要细心的找一下后删除整段

 密钥文件内容和删除Linux服务器间信任关系的方法

各种可能遇到的情况和处理方法

–提示 port 22: Connection refused

可能的原因：没有正确安装最新的openssh-server，安装方法如下

不支持apt安装的，可以手工下载：

wget http://ftp.ssh.com/pub/ssh/ssh-3.2.9.1.tar.gz

–关于目录和文件的权限设置

.ssh目录的权限必须是700，同时本机的私钥的权限必须设置成600：

否则ssh服务器会拒绝登录

关于RSA和DSA加密算法

在ssh-keygen命令中，-t参数后指定的是加密算法，可以选择rsa或者dsa

RSA 取名自算法的三位提出者Ron Rivest, Adi Shamir, and Leonard Adleman的姓名首字母，作为一种非对称加密算法，RSA的安全性基于及其困难的大整数分解（两个素数的乘积的还原问题）。关于RSA算法原理的文章很多，感兴趣的朋友可以找来读一读。

DSA = Digital Signature Algorithm，基于有限域离散对数难题，是Schnorr和ElGamal签名算法的变种，一般用于数字签名和认证，被美国标准局（NIST）采纳为数字签名标准DSS（Digital Signature Standard），based on discrete logarithmscomputation.

DES = Digital EncryptionStandard. Obsolete standard.

RSA算法好在网络容易实现密钥管理,便进行数字签名,算法复杂,加/解速度慢,采用非对称加密。在实际用于信任关系建立中，这两种方法的差异很微小，可以挑选其一使用。

关于SSH协议的介绍

SSH全称SecureSHell，顾名思义就是非常安全的shell的意思，SSH协议是IETF（Internet Engineering Task Force）的Network Working Group所制定的一种协议。SSH的主要目的是用来取代传统的telnet和R系列命令（rlogin,rsh,rexec等）远程登陆和远程执行命令的工具，实现对远程登陆和远程执行命令加密。防止由于网络监听而出现的密码泄漏，对系统构成威胁。

ssh协议目前有SSH1和SSH2，SSH2协议兼容SSH1。目前实现SSH1和SSH2协议的主要软件有OpenSSH和SSH Communications Security Corporation　公司的SSHCommunications 软件。前者是OpenBSD组织开发的一款免费的SSH软件，后者是商业软件，因此在linux、FreeBSD、OpenBSD、NetBSD等免费类UNIX系统种，通畅都使用OpenSSH作为SSH协议的实现软件。因此，本文重点介绍一下OpenSSH的使用。需要注意的是OpenSSH和SSH Communications的登陆公钥/私钥的格式是不同的，如果想用SSHCommunications产生的私钥/公钥对来登入到使用OpenSSH的linux系统需要对公钥/私钥进行格式转换。

第一次登陆后，ssh就会把登陆的ssh指纹存放在用户home目录的.ssh目录的know_hosts文件中，如果远程系统重装过系统，ssh指纹已经改变，你需要把.ssh 目录下的know_hosts中的相应指纹删除，再登陆回答yes，方可登陆。请注意.ssh目录是开头是”.”的隐藏目录，需要ls –a参数才能看到。而且这个目录的权限必须是700,并且用户的home目录也不能给其他用户写权限，否则ssh服务器会拒绝登陆。如果发生不能登陆的问题，请察看服务器上的日志文件/var/log/secure。通常能很快找到不能登陆的原因。

最后

以上就是鲜艳面包为你收集整理的Linux服务器之间建立信任关系，ssh免密码登录建立信任关系的基本操作删除服务器间信任关系的方法各种可能遇到的情况和处理方法关于RSA和DSA加密算法关于SSH协议的介绍的全部内容，希望文章能够帮你解决Linux服务器之间建立信任关系，ssh免密码登录建立信任关系的基本操作删除服务器间信任关系的方法各种可能遇到的情况和处理方法关于RSA和DSA加密算法关于SSH协议的介绍所遇到的程序开发问题。

如果觉得靠谱客网站的内容还不错，欢迎将靠谱客网站推荐给程序员好友。