Ubuntu Server 第七章 远程管理

sudo apt install telnetd #安装telnet服务，安装完成之后自动运行
systemctl status inetd.service #查看服务已经为"active (running)"状态
sudo netstat -pantu |grep 23 #检查端口发现端口也被开启侦听
vim /etc/issue.net #可修改Telnet服务的Banner的信息

sudo apt install openssh-server #安装
systemctl status sshd.service #查看服务状态
vim /etc/ssh/sshd_config #服务器端配置文件
vim /etc/ssh/ssh_config # 客户端配置文件默认配置文件
vim ~/.ssh/config #用户配置文件

ssh IP #打开另一个机器终端，使用SSH连接发现不用输入用户名，SSH默认情况下使用本机用户名
ssh -l user IP

vim /etc/ssh/sshd_config #打开服务器端配置文件，下面解释一些关键的参数
#Banner none #默认注释，可修改"/etc/issue.net"，和Telnet一样，重启生效
#Port 22 #默认22，修改为非知名端口提高安全性
#PubkeyAuthentication yes #默认注释不启用密钥登录，具体配置参考文末的参考链接。大致原理为生成一对公私钥，服务端使用公钥加密数据，客户端使用私钥解密返回数据验证身份。
#ListenAddress 0.0.0.0 #默认监听所有网卡的地址，可根据需要修改为指定网卡的地址
#PermitRootLogin prohibit-password #出于安全考虑，默认禁用Root账户登录
#PasswordAuthentication yes #可禁止使用口令认证，强制使用密钥认证

scp local_file remote_username@remote_ip:remote_folder #从本地复制到远程
scp a.txt IP: #默认使用的是本地账号，默认目录为主目录
scp -rv local_folder remote_ip:remote_folder #递归复制整个目录并以详细的方式显示输出
scp remote_username@remote_ip:remote_folder  local_file #参数调换，变成了从远程下载到本地
scp root@1.1.1.1:/tmp/file.txt . #拷贝文件到本地

sftp remote_username@remote_ip #基于SSH，所以链接参数与SSH相同。
sftp>  #输入密码成功验证会得到一个sftp的shell
sftp> get file #get文件即可下载文件到本地

ssh-keygen -t rsa -b 4069 #ssh-keygen是OpenSSH里的密钥生成工具，这里指定使用了RSA算法与生成4069长度的密钥对，生成过程中可设置私钥口令，生成两个文件id_rsa（私钥）、id_rsa.pub（公钥）。
ssh-keygen -p -f ~/.ssh/id_rsa #输入旧的口令，可修改私钥的口令，注意权限问题

ssh-copy-id remote_username@remote_ip #复制公钥文件到SSH服务端
ssh-copy-id -i ~/.ssh/id_rsa.pub remote_username@remote_ip #指定文件拷贝,同上，服务端在.ssh下会新建公钥文件"authorized_keys"
chmod 400 ~/.ssh/id_rsa #推荐SSH客户端公钥权限设置为所有者仅读
chmod 600 ~/.ssh/authorized_keys #推荐SSH服务端推荐设置为所有者仅读写
ssh remote_username@remote_ip #和普通SSH链接一样，不过下面要求输入私钥的密码，没有设置私钥密码将直接链接成功
Enter passphrase for key '/home/xiaowu/.ssh/id_rsa': #输入密码验证成功即可链接

tar -cj  local_folder | remote_username@remote_ip 'tar -xj' #利用管道将目录同时压缩后传输，传输后解压
sudo apt install cstream pv #安装两个工具实现对速度的限制和实时更新
tar -cj  local_folder | pv | cstream -t 200k | remote_username@remote_ip 'tar -xj' #同上
du -hs dirname #之前没有介绍，查看目录的命令

#kali 上执行
ssh -C -f -N -g -L listen_port:DST_Host:DST_port user@Tunnel_Host  #命令格式,详细说明参考文末链接
ssh -fN -L 2000:localhost:23 xiaowu@10.10.10.130 #10.10.10.130是Ubuntu Server,已经启动telnet服务
netstat -pantu |grep 2000 #查看端口是否开启
telnet 127.0.0.1 2000 #输入用户名和密码，发现自己登陆上了Ubntu Server
kill -9 PID #结束进程

umount mout_point #root用户取消挂载，一般需要加'sudo'
vim /etc/fstab #写入fstab文件，可实现自动挂载

Host    别名
    HostName        主机名
    Port            端口
    User            用户名
    IdentityFile    密钥文件的路径
    IdentitiesOnly 只接受SSH key 登录
    PreferredAuthentications 强制使用Public Key验证

sudo vim /etc/fail2ban/jail.conf #配置文件，fail2ban更新会将此文件覆盖
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local #fail2ban中jail.local的优先级大于jail.conf
sudo vim /etc/fail2ban/jail.local #配置文件修改
ignoreip = 127.0.0.1/8 ::1 #定义信任IP，不会受fail2ban策略影响
bantime  = 10m #超过尝试次数之后的禁止尝试时间，可设为"-1"永久禁止
findtime = 1 #检查日志的间隔时间
marretry = 5 #允许的尝试次数
#上面的参数可写在JAILS里，定义单个服务
ACTIONS #此后的参数定义触发规则之后的一些行为
destemail = root@localhost #触发尝试最大尝试次数之后发邮件通知
banaction = iptables-multiport #调用iptables禁用

JAILS #定义单个服务的配置行为，JAILS的配置优先于全局
SSH Servers #配置较多，这里不贴出。下文是具体的SSH防护措施
enabled = true #开启状态
filter = sshd #定义日志中的关键词
sudo systemctl restart fail2ban.service #最后，修改配置完成，重启服务生效
sudo fail2ban-client status #查看jail数量、状态
sudo fail2ban-client status sshd #可查看更详细的信息

sudo iptables -S #查看防火墙规则
sudo iptables -L -n #查看防火墙规则

sudo 

tail -f /var/log/auth.log #查看登录认证日志

sudo fail2ban-client set sshd unbanip {IP} #手动解禁IP，背后原理也是删除iptables中的规则
sudo iptables -D f2b-sshd -s 10.10.10.1 -j REJECT #命令作用是删除iptables中的规则
#某些情况下，解禁了IP之后，进行服务重启，重启时读取'var/log/auth.log'，在被禁时间（bantime)的IP会再次被禁

sudo apt install gnome-core xfce4 xfce4-goodies #安装图形化环境，重启之后便出现了图形化环境
sudo apt install tightvncserver #安装VNC服务端
vncserver #被要求输入密码，这个密码是你的连接密码，还可以选择设置只能查看的密码，同时生成xstartup文件
netstat -pantu | grep 590 #输入完成之后发现5901为起点的端口
vncserver kill :1 #端口后的数字和实例数字相同

mv ~/.vnc/xstartup ~/.vnc/xstartup.bak

vim ~/.vnc/xstartup 
#!/bin/bash
xrdp $HOME/.Sresources
startxfce4 &

chmod +x ~/.vnc/xstartup
vncserver #执行可看到返回实例
netstat -pantu | grep 590 #检查端口

#笔者使用VNC Viewer 测试成功，使用VNC客户端，输入IP地址+端口，输入密码认证，即可连接成功。
#如果想多个用户的话，推荐新建多个用户，使用"su user"切换到新建的用户主目录下编辑配置文件，启动实例
#虽然VNC本身有加密机制，不推荐长期开启，可以通过前面的SSH隧道来提升安全性

sudo hostnamectl set-hostname puppet #重启生效
sudo hostnamectl set-hostname client

sudo apt install puppetmaster
sudo apt install puppet

sudo vim /etc/hosts #在客户端、服务端手动指向IP，下一章介绍DNS记录
10.10.10.131 puppet.lab.com puppet
10.10.10.130 client.lab.com client

sudo mkdir -p  /modules/apache2/manifests/ #服务端
sudo vim /etc/apache2/manifests/init.pp
class apache2 {
    package {'apache2':
        ensure => installed,
    }
    service {'apache2':
        ensure => true,
        enable => true,
        require => Package['apache2'],
    }
} 
sudo vim /etc/puppet/manifests/site.pp #服务端
    node 'clent.lab.com'{
        include apache2
    }
sudo vim /etc/default/puppet #客户端
    START=yes
systemctl start puppet.service

sudo puppet agent--fingerprint #客户端证书签名请求测试
sudo puppet agent--test 

sudo puppet cert list #服务端请求查看签名
sudo puppet cert sign clent.lab.com

sudo systemctrl statys puppet.service #查看服务状态
cat /var/log/syslog #查看日志状态信息