ssh访问权限
A. linux ssh 免密码登录 为什么要给 .ssh 700 权限
.ssh是目录，所以要有执行权限，authorized_keys只需要读写权限即可，无需执行，虽然authorized_keys给了执行权限也不会有什么危险，但是从安全策略的权限最小化原理来说，给600足够了
B. SSH框架实现权限登陆，不知如何下手
写个login的action
1、在action中获得用户权限 用整形int来表示
2、然后service层 DAO层 根据用户名查询Tb_User 表中的数据。
3、对比查出数据的用户权限一不一致 ，不一致返回Error 成功跳转。
顺便说一下Spring的确使用权限验证的 可以去了解一下
C. 如何限制用户使用 SSH 登入系统
高级SSH技巧：
在这篇文章中我将为你展示一些简单的技巧，帮助你提高你的SSH服务的安全。SSH服务器配置文件是/etc/ssh/sshd_conf。在你对它进行每一次改动后都需要重新启动SSH服务，以便让改动生效。
1、修改SSH监听端口
默认情况下，SSH监听连接端口22，攻击者使用端口扫描软件就可以看到主机是否运行有SSH服务，将SSH端口修改为大于1024的端口是一个明智的选择，因为大多数端口扫描软件（包括nmap）默认情况都不扫描高位端口。
打开/etc/ssh/sshd_config文件并查找下面这样的行：
Port 22
修改端口号并重新启动SSH服务：
/etc/init.d/ssh restart
2、仅允许SSH协议版本2
有两个SSH协议版本，仅使用SSH协议版本2会更安全，SSH协议版本1有安全问题，包括中间人攻击（man-in-the-middle）和注入（insertion）攻击。编辑/etc/ssh/sshd_config文件并查找下面这样的行：
Protocol 2,1
修改为
Protocol 2
3、仅允许特定的用户通过SSH登陆
你不一个允许root用户通过SSH登陆，因为这是一个巨大的不必要的安全风险，如果一个攻击者获得root权限登陆到你的系统，相对他获得一个普通用户权限能造成更大的破坏，配置SSH服务器不允许root用户通过SSH登陆，查找下面这样的行：
PermitRootLogin yes
将yes修改为no，然后重新启动服务。现在，如果你想使用特权用户，你可以先以其他用户登陆，然后再转换到root。
创建一个没有实际权限的虚拟用户是一个明智的选择，用这个用户登陆SSH，即使这个用户遭到破解也不会引起什么破坏，当创建这个用户时，确保它属于wheel组，因为那样你才能切换到特权用户。
如果你想让一列用户都能通过SSH登陆，你可以在sshd_config文件中指定它们，例如：我想让用户anze、dasa、kimy能通过SSH登陆，在sshd_config文件的末尾我添加下面这样一行：
AllowUsers anze dasa kimy
4、创建一个自定义SSH banner
如果你想让任何连接到你SSH服务的用户看到一条特殊的消息，你可以创建一个自定义SSH banner，只需要创建一个文本文件（我的是/etc/ssh-banner.txt），然后输入你想的任何文本消息，如：
*This is a private SSH service. You are not supposed to be here.*
*Please leave immediately. *
编辑好后，保存这个文件，在sshd_config中查找下面这样一行：
#Banner /etc/issue.net
取消掉注释【将#去掉】，然后将路径修改为你自定义的SSH banner文本文件。
5、使用DSA公钥认证
代替使用用户名和密码对SSH进行认证，你可以使用DSA公钥进行认证，注意你既可以使用登陆名，也可以使用DSA公钥进行认证，使用DSA公钥认证可以预防你的系统遭受字典攻击，因为你不需要用登陆名和密码登陆SSH服务，而是需要一对DSA密钥，一个公钥和一个私钥，在你本地机器上保存私钥，将公钥放在服务器上。当你发起一个SSH登陆会话时，服务器检查密钥，如果它们匹配的话，你就可以直接进入shell，如果它们不匹配，你的连接将被自动断开。
在本例中的私人计算机叫‘工作站1’，服务器叫‘服务器1’。在两个机器上我有相同的home目录，如果服务器和客户端上的home目录不同将不能工作，实现，你需要在你的私人计算机上创建一对密钥，命令：~$
ssh-keygen -t
dsa，它将要求你为私钥输入一个密语，但是你可以保留为空，因为这不是一个推荐的做法。密钥对创建好了：你的私钥在~/.ssh/id_dsa，你的公钥在.ssh/id_dsa.pub。
接下来，拷贝~/.ssh/id_dsa.pub中的内容到‘服务器1’的~/.ssh/authorized_keys文件中，~/.ssh/id_dsa.pub的内容看起来象下面这样：
~$ cat .ssh/id_dsa.pub
ssh-dss
JYDusNGAIC0oZkBWLnmDu+
LZVSFhCI/Fm4yROHGe0FO7FV4lGCUIlqa55+QP9Vvco7qyBdIpDuNV0LAAAAFQC/9ILjqII7n
M7aKxIBPDrQwKNyPQAAAIEAq+OJC8+
9/ta
NIhBbqri10RGL5gh4AAACAJj1/rV7iktOYuVyqV3BAz3JHoaf+H/dUDtX+wuTuJpl+tfDf61rb
WOqrARuHFRF0Tu/Rx4oOZzadLQovafqrDnU/No0Zge+WVXdd4ol1YmUlRkqp8vc20ws5mLVP
/NuzY= [email protected]
如果文件~/.ssh/authorized_keys已经存在，请将上面的内容附加在该文件的后面。剩下的只是给该文件设置正确的权限了：
~$ chmod 600 ~/.ssh/authorized_keys
现在，配置sshd_config文件使用DSA密钥认证，确保你将下面三行前的注释去掉了：
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile %h/.ssh/authorized_keys
重新启动服务，如果你的配置没有错误，现在你就可以SSH到你的服务器，而且无需任何交互动作（如输入用户名和密码）就直接进入你的home目录了。
如果你只想使用DSA认证登陆，确保你在sshd_config中取消掉注释并修改PasswordAuthentication这一行，将yes改为no：
PasswordAuthentication no
任何在服务器上没有公钥的人试图连接到你的SSH服务，它就被拒绝，给它显示如下一个拒绝提示信息：
Permission denied (publickey).
6、使用TCP wrappers仅允许指定的主机连接
如果你想在你的网络上只允许特定的主机才能连接到你的SSH服务，但又不想使用或弄乱你的iptables配置，那这个方法非常有用，你可以使用 TCP
wrappers。在这个例子中对sshd进行TCP包裹，我将创建一条规则允许本地子网192.168.1.0/24和远程
193.180.177.13的自己连接到我的SSH服务。
默认情况下，TCP wrappers首先在/etc/hosts.deny中查找看主机是否允许访问该服务，接下来，TCP
wrappers查找/etc/hosts.allow看是否有规则允许该主机服务指定的服务，我将在/etc/hosts.deny中创建一个规则，如下：
sshd: ALL
这意味着默认情况下所有主机被拒绝访问SSH服务，这是应该的，否则所有主机都能访问SSH服务，因为TCP wrappers首先在hosts.deny中查找，如果这里没有关于阻止SSH服务的规则，任何主机都可以连接。
接下来，在/etc/hosts.allow中创建一个规则允许指定的主机使用SSH服务：
sshd: 192.168.1 193.180.177.13
现在，只有来自192.168.1.0/24和193.180.177.13的主机能够访问SSH服务了，其他主机在连接时还没有到登陆提示符时就被断开了，并收到错误提示，如下：
ssh_exchange_identification: Connection closed by remote host
7、使用iptables允许特定的主机连接
作为TCP wrappers的一个代替品，你可以使用iptables来限制SSH访问（但可以同时使用这个两个的），这里有一个简单的例子，指出了如何允许一个特定的主机连接到你的SSH服务：
~# iptables -A INPUT -p tcp -m state --state NEW --source 193.180.177.13 --dport 22 -j ACCEPT
并确保没有其他的主机可以访问SSH服务：
~# iptables -A INPUT -p tcp --dport 22 -j DROP
保存你的新规则，你的任务就完成了，规则是立即生效的
8、SSH时间锁定技巧
你可以使用不同的iptables参数来限制到SSH服务的连接，让其在一个特定的时间范围内可以连接，其他时间不能连接。你可以在下面的任何例子中使用/second、/minute、/hour或/day开关。
第一个例子，如果一个用户输入了错误的密码，锁定一分钟内不允许在访问SSH服务，这样每个用户在一分钟内只能尝试一次登陆：
~# iptables -A INPUT -p tcp -m state --syn --state NEW --dport 22 -m limit --limit 1/minute --limit-burst 1 -j ACCEPT
~# iptables -A INPUT -p tcp -m state --syn --state NEW --dport 22 -j DROP
第二个例子，设置iptables只允许主机193.180.177.13连接到SSH服务，在尝试三次失败登陆后，iptables允许该主机每分钟尝试一次登陆：
~# iptables -A INPUT -p tcp -s 193.180.177.13 -m state --syn --state NEW
--dport 22 -m limit --limit 1/minute --limit-burst 1 -j ACCEPT
~# iptables -A INPUT -p tcp -s 193.180.177.13 -m state --syn --state NEW --dport 22 -j DROP
D. linux系统下怎么只有root可以SSH， 其他用户不可以SSH登录不进去。我现在有使用VSftp
一般为了进行权限管理，很多系统会设置只有加入 ssh 组的用户才可以 ssh 远程访问。你把普通用户加入对应的组就可以了。ssh 组这个并不绝对，具体看系统了。
不光是 ssh ，media 组、disk、storage、sound 等等的很多组都有这个设计功能。
具体你可以看你的 Linux 发行版手册。
vsftp 也是一样，不过 vsftp 不光可以使用系统用户，vsftp 好像还有自己的用户管理系统，这个用户数据与系统用户不是同一套数据。
不过，可以用 root 进行远程 ssh 是很危险的。建议禁用 root 的远程登录功能，设置一个普通用户可以远程 ssh ，并且这个用户可以 sudo 到 root 权限，印象里 sudo 默认是 wheel 组的权限。当然这个可以设置，包括精确到用户。
E. 铁威马F2-221，我可以使用Telenet 或SSH访问吗
可以。Telenet 与SSH 访问系统默认是关闭的，你需要自行开启。
你可以通过Telnet/SSH 访问TNAS。在使用root 或者 admin 账号登录时，登录密码与admin 用户的密码相同。
注意：在使用SSH访问前，请确认你是否有SSH访问的权限。如果没有，请你与TNAS 设备的管理员联系。很高兴您能一直采纳我的回答，希望一直为您提供帮助
F. 如何限制SSH用户访问Linux中指定的目录
ssh登录的用户和本地登录的用户是一样的，如果是用root用户登录的，你就无法限制它访问指定的目录，因为linux系统中root用户的权限最大；如果是以普通用户的身份登录的，那对他的限制和限制本地登录用户的方法是一样的，可以设置用户组或者是修改目录的权限和所有者。
G. 安装配置ssh服务
安装SSH 仅允许client客户端进行ssh访
H. 怎么可以无密码ssh 访问linux
1、用ssh-keygen创建公钥
（1）在服务器1上执行下面的命令：
[plain] view plain print?
[root@Server1 ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key(/root/.ssh/id_rsa):
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in/root/.ssh/id_rsa.
Your public key has been saved in/root/.ssh/id_rsa.pub.
The key fingerprint is:
7b:aa:08:a0:99:fc:d9:cc:d8:2e:4b:1a:c0:6b:da:e4root@Server1
The key's randomart image is:
+--[ RSA 2048]----+
| |
| |
| |
|. |
|o. S |
|++. . |
|+=o. . . |
|o+=oB. o |
|..E==*... |
+-----------------+
输入后，会提示创建.ssh/id_rsa、id_rsa.pub的文件，其中第一个为密钥，第二个为公钥。过程中会要求输入密码，为了ssh访问过程无须密码，可以直接回车 。
（2）补充说明：
ssh-keygen:生成秘钥
其中：
-t指定算法
-f 指定生成秘钥路径
-N 指定密码
2、查看钥匙
[plain] view plain print?
[root@Server1 ~]# ls -l .ssh
总用量 8
-rw-------. 1 root root 1675 12月 10 22:20 id_rsa
-rw-r--r--. 1 root root 394 12月 10 22:20 id_rsa.pub
可以发现 ssh目录下的两枚钥匙。
3.将公钥复制到被管理机器Server2和Server3下的.ssh目录下（先确保存在这个目录）
[plain] view plain print?
[root@server1 .ssh]# scp [email protected]:~/.ssh/
The authenticity of host '192.168.1.3(192.168.1.3)' can't be established.
RSA key fingerprint is93:eb:f9:47:b1:f6:3f:b4:2e:21:c3:d5:ab:1d:ae:65.
Are you sure you want to continueconnecting (yes/no)? yes
Warning: Permanently added '192.168.1.3'(RSA) to the list of known hosts.
[email protected]'s password:
id_rsa.pub
[root@server1 .ssh]# scp [email protected]:~/.ssh/authorized_keys
The authenticity of host '192.168.1.4(192.168.1.4)' can't be established.
RSA key fingerprint is93:eb:f9:47:b1:f6:3f:b4:2e:21:c3:d5:ab:1d:ae:65.
Are you sure you want to continueconnecting (yes/no)? yes
Warning: Permanently added '192.168.1.4'(RSA) to the list of known hosts.
[email protected]'s password:
id_rsa.pub
到Server2和Server3目录下执行下面的命令
[plain] view plain print?
#cat id_dsa.pub >> ~/.ssh/authorized_keys
4、设置文件和目录权限：
设置authorized_keys权限
[plain] view plain print?
$ chmod 600 authorized_keys
设置.ssh目录权限
[plain] view plain print?
$ chmod 700 -R .ssh
5、验证使用SSH IP地址的方式无密码访问
[plain] view plain print?
[root@server1 .ssh]# ssh 192.168.1.3
Last login: Tue Dec 10 22:34:02 2013
[root@Server2 ~]#
[root@Server2 ~]#
[root@Server2 ~]#
I. linux下ssh连接限制的问题
问题1：如果你开通的ssh权限是针对用户而不是针对组开通的，那默认就是一个账号一个人登陆啦！问题2：据我所知，ssh目前好像还没有限速的功能，只是用于给用户远程操控的，安全方面可以通过服务本身和系统内部的定义来控制。限速度方面，一般都是用ftp来做的。
J. 云平台访问一台主机需要开通哪些权限
如果是通过命令行使用密钥对访问：使用Linux命令行的SSH访问时，打开Linux终端，将下载的pem文件赋予权限600（执行# chmod 600 Downloads/CIDC-U-xxxxx.pem），输入# ssh -i Downloads/CIDC-U-xxxxx.pem IP地址，即可登录云主机。
对于已经绑定公网ip的Windows主机，用户可以在Windows系统使用远程桌面连接该主机。
1、开始菜单-远程桌面连接，也可以使用快捷键Win+R来启动运行窗口，输入mstsc后回车启动远程桌面连接。
2、在弹出的远程桌面连接对话框中，输入该云主机绑定的公网IP地址，点击连接。
3、成功连接到云主机后，输入用户名（默认为administrator）和密码就可以进行操作了。
注：该主机关联的安全组需添加打开TCP的3389端口。