現(xiàn)在遠(yuǎn)程服務(wù)器管理最常用的方式要數(shù)SSH(Secure Shell了)。SSH以其最簡便的方式連接連接，并對通訊過程進(jìn)行加密?；谒褂玫乃惴ǎ话阏J(rèn)為竊聽通過ssh通訊基本上不可能。SSH使用的客戶端，在Linux或Unix上一般是直接用ssh命令，在Windows 上在Cygwin或WSL等類Linux環(huán)境下也支持。Windows系統(tǒng)會(huì)用很多客戶端軟件，比如SecureCRT Xshell，我使用的是免費(fèi)開源的Putty。

[[286293]]

使用ssh有很多技巧，有些非常簡單，有些則超出了一個(gè)終端應(yīng)用的范疇。我們知道ssh可以安全地傳輸文件(scp)，也可以通過ssh掛載遠(yuǎn)程文件系統(tǒng);可以使用ssh瀏覽器中安全遨游網(wǎng)絡(luò)，還可以使用ssh隧道加密傳輸流量。本文蟲蟲給大家介紹一下SSH的一些技巧。我們假設(shè)讀者了解一些SSH基礎(chǔ)知識：用scp和sftp用于文件復(fù)制，ssh-copy-id用于設(shè)置無密碼證書登錄，當(dāng)然你不知道也沒關(guān)系，問下度娘10分鐘內(nèi)就可以搞定。

SSH別名

ssh命令行上有很多選項(xiàng)要記住，比如IP、端口、用戶名、私鑰(如果不是標(biāo)準(zhǔn)位置和名字的證書，或者多個(gè)證書時(shí)候)，但是實(shí)際上是可以偷懶的，甚至IP，端口我們都不需要記，只需要在~/.ssh /config文件中，可以創(chuàng)建一個(gè)別名，設(shè)置后這些選項(xiàng)即可。例如，假設(shè)要連接到一臺(tái)主機(jī)，我們給他設(shè)置別名為Chongchong：

Host chongchong  
HostName ijz.me  
Port 1234  
User cc  
IdentityFile ~/.ssh/chongchong_id  
ForwardX11 yes  
Compression yes  
TCPKeepAlive yes 

可以根據(jù)需要使用任意多個(gè)別名。至于添加多個(gè)"Host"配置行即可。可以在一個(gè)Host語句中添加多個(gè)別名。隨后的選項(xiàng)可以用于任何一個(gè)別名。

配置后我們只需連接ssh congchong，就會(huì)啟用所有配置的選項(xiàng)。

當(dāng)然，如果使用的是Putty客戶端，主要選項(xiàng)都在其配置的Session面板和SSH面板中?？赡軟]有太多選擇，但是可以嘗試一些。

幾個(gè)有用的配置項(xiàng)

1. ControlMaster

有一組非常有用的SSH配置項(xiàng)，包括設(shè)置master控制文件。例如：

ControlMaster auto  
ControlPath ~/.ssh/master-%r@%h:%p 

這可以使連接同一主機(jī)的多個(gè)會(huì)話共享一個(gè)TCP套接字。因?yàn)樵O(shè)置安全套接字需要花費(fèi)一些時(shí)間，如果在兩個(gè)主機(jī)之間進(jìn)行多個(gè)會(huì)話，該設(shè)置加快速度?？梢允褂门渲梦募械腍ost *項(xiàng)對所有主機(jī)設(shè)置。還可以將其用于全局選項(xiàng)。

需要注意的是，如果通過多個(gè)連接傳輸大量數(shù)據(jù)，則ControlMaster配置可能會(huì)影響傳輸，這時(shí)候可以使用-S none來臨時(shí)覆蓋掉全局設(shè)置關(guān)閉它。

另外，如果在關(guān)閉所有其他連接之前嘗試退出，則第一個(gè)ssh會(huì)話看起來可能會(huì)掛起?？梢詫Φ卿浀浇?jīng)常連接的主機(jī)時(shí)運(yùn)行一個(gè)隱藏的ssh會(huì)話，可以避免該問題。但是，更好的方法是設(shè)置ControlPersist yes。這會(huì)使原始會(huì)話無限期地進(jìn)入后臺(tái)?？梢詫λO(shè)置時(shí)間限制，比如設(shè)置ControlPersist為180(或其他數(shù)字)。表示三分鐘內(nèi)沒有連接，會(huì)自動(dòng)關(guān)閉連接。

這種方法的另一個(gè)缺點(diǎn)是，會(huì)產(chǎn)生很多的master垃圾文件?？梢栽O(shè)置登陸時(shí)候自動(dòng)清理，比如rc.local設(shè)置：

/bin/rm /home/*/.ssh/master-* || true >/dev/null 

如果使用Putty客戶端，可以在SSH選項(xiàng)面板中選中"Share SSH connections if possible"多選項(xiàng)來設(shè)置。

2. BatchMode

配置文件中還使用很多配置選項(xiàng)。例如，BatchMode告訴ssh該連接是無人值守應(yīng)用，避免不必要的提示用戶輸入密碼或其他交互性的內(nèi)容。如果認(rèn)證項(xiàng)設(shè)置不全就會(huì)直接報(bào)錯(cuò)退出。

3. SendEnv

可以在SSH連接時(shí)發(fā)送環(huán)境變量發(fā)送給遠(yuǎn)程主機(jī)。例如，希望在工作站和服務(wù)器上始終保持LS_COLORS相同，但是會(huì)經(jīng)常更改，并且不希望使用相同的配置文件?？梢蕴砑酉旅媾渲茫?/p>

4. SendEnv LS_COLORS

Putty可以從其configure頁的"Connect/Data"選項(xiàng)卡中設(shè)置環(huán)境變量。

5. TCPKeepAlive

在網(wǎng)絡(luò)端，如果希望服務(wù)器和客戶端在空閑時(shí)不會(huì)斷開，則可以設(shè)置TCPKeepAlive指定為yes。如果連接處于空閑狀態(tài)，則不會(huì)斷開連接。。

遠(yuǎn)程命令執(zhí)行

這是SSH最有用的技巧。我們時(shí)常要登陸主機(jī)僅僅是為了執(zhí)行一些命令，如果為了個(gè)別命令或者批量操作需要(當(dāng)然可以用ansible等)，要登陸主機(jī)在操作就有點(diǎn)不方便了。實(shí)際上，如果只是為了執(zhí)行命令或者腳本，完全可以不用登陸到遠(yuǎn)程主機(jī)，直接用ssh命令就可以。

簡單命令執(zhí)行

SSH遠(yuǎn)程執(zhí)行命令的格式為：

ssh [用戶名]@[遠(yuǎn)程主機(jī)名或 IP] [命令或腳本] 

比如我們要獲取遠(yuǎn)程主機(jī)運(yùn)行信息，可以使用uptime：

ssh chongchong uptime 

結(jié)果：

11:23:55 up 28 days, 23:41, 0 users, load average: 2.46, 1.16, 0.49 

比如我們需要獲取遠(yuǎn)程主機(jī)的磁盤情況，可以使用

ssh chongchong df -h 

執(zhí)行多條命令

其他命令也類似，如果命令較長或者涉及多個(gè)命令需要把命令部分用引號括?。?/p>

比如要獲取主機(jī)情況和主機(jī)磁盤情況：

ssh chongchong "uptime && df -h" 

或者使用：

ssh chongchong "uptime ; df -h" 

遠(yuǎn)程抓包

設(shè)想一個(gè)更復(fù)雜的例子，我們需要對遠(yuǎn)程主機(jī)用抓包，然后再本地用Wireshark分析：

ssh root@someserver 'tcpdump -c 1000 -nn -w - not port 1234' | wireshark -k -i - 

當(dāng)命令行下需要使用tshark的操作。

ssh root@someserver 'tcpdump -c 1000 -nn -w - not port 1234' | wireshark -i - 

結(jié)果：

…  
3.759005 112.215.162.105 -> 112.252.251.70 TCP 78 [TCP Dup ACK 840#2] outlaws > 65522 [ACK] Seq=49 Ack=90193 Win=126 Len=0 TSval=2402288138 TSecr=2506305501 SLE=91561 SRE=94297  
3.759022 112.252.251.70 -> 112.215.162.105 TCP 1434 65522 > outlaws [ACK] Seq=95665 Ack=49 Win=309 Len=1368 TSval=2506305583 TSecr=2402288138  
3.761937 fe80::6d94:f636:7715:26dc -> ff02::1:2 DHCPv6 150 Solicit XID: 0x58568d CID: 000100011dd4af3b00155d6d3404  
3.762006 Cisco_d3:c7:bf -> Broadcast ARP 60 Who has 103.218.185.171? Tell 103.218.185.1  
3.762374 121.50.168.101 -> 121.50.168.255 NBNS 92 Name query NB XENNO.INFO<00>  
3.768515 169.254.2.31 -> 169.254.255.255 NBNS 92 Name query NB FSIGNS.DUBA.NET<00>  
3.780159 Cisco_d3:c7:bf -> Broadcast ARP 60 Who has 202.74.234.238? Tell 202.74.234.1  
3.796134 Cisco_d3:c7:bf -> Broadcast ARP 60 Who has 112.252.251.93? Tell 112.252.251.1  
3.801334 112.215.162.105 -> 112.252.251.70 TCP 78 [TCP Dup ACK 840#3] outlaws > 65522 [ACK] Seq=49 Ack=90193 Win=126 Len=0 TSval=2402288179 TSecr=2506305501 SLE=91561 SRE=95665  
3.801394 112.252.251.70 -> 112.215.162.105 TCP 1434 [TCP Fast Retransmission] 65522 > outlaws [ACK] Seq=90193 Ack=49 Win=309 Len=1368 TSval=2506305625 TSecr=2402288179  
3.804767 185.216.140.36 -> 157.119.69.59 TCP 60 51426 > 52622 [SYN] Seq=0 Win=1024 Len=0  
3.806149 Cisco_d3:c7:bf -> Broadcast ARP 60 Who has 103.248.220.121? Tell 103.248.220.1  
3.807153 Cisco_d3:c7:bf -> Broadcast ARP 60 Who has 103.248.221.171? Tell 103.248.221.1  
3.809116 fe80::a563:2c5c:97df:13ca -> ff02::1:2 DHCPv6 148 Solicit XID: 0x5c67c7 CID: 000100011dd4af3b00155d6d3404  
3.811726 Cisco_d3:c7:bf -> Broadcast ARP 60 Who has 202.74.232.203? Tell 202.74.232.1  
3.812418 Cisco_d3:c7:bf -> Broadcast ARP 60 Who has 157.119.71.127? Tell 157.119.71.1  
3.819393 fe80::910c:1871:e52f:9b82 -> ff02::1:2 DHCPv6 152 Solicit XID: 0x8a263a CID: 00010001205a760c00155df47d05  
3.838355 Cisco_d3:c7:bf -> Broadcast ARP 60 Who has 202.74.234.147? Tell 202.74.234.1  
3.840331 45.249.181.172 -> 239.255.255.250 SSDP 216 M-SEARCH * HTTP/1.1  
3.840570 58.215.162.105 -> 142.252.251.70 TCP 66 outlaws > 65522 [ACK] Seq=49 Ack=95665 Win=117 Len=0 TSval=2402288220 TSecr=2506305625  
3.840608 142.252.251.70 -> 58.215.162.105 TCP 1434 65522 > outlaws [ACK] Seq=97033 Ack=49 Win=309 Len=1368 TSval=2506305664 TSecr=2402288220  
… 

執(zhí)行腳本

我們先寫一個(gè)簡單腳本獲取遠(yuǎn)程主機(jī)一些信息，包括主機(jī)名、uptime，內(nèi)存，磁盤和內(nèi)核信息：

#!/bin/bash 
  
 
echo "---------主機(jī)名--------------------------------------------"  
hostnamectl  
echo -e "\n"  
echo "---------系統(tǒng)信息------------------------------------------"  
uptime  
echo -e "\n"  
echo "---------可用內(nèi)存------------------------------------------"  
free -m  
echo -e "\n"  
echo "---------磁盤信息------------------------------------------"  
df -h  
echo -e "\n"  
echo "---------內(nèi)核版本-------------------------------------------"  
uname -a  
echo -e "\n"  
echo "------------------------------------------------------------" 

然后使用下面語句執(zhí)行：

ssh chongchong 'bash -s' < host-info.sh 

也可以使用管道形式，但是會(huì)有提示信息：

cat host-info.sh | ssh chongchong 

SSH速度測試

最好一個(gè)技巧，SSH連接需要速度快才爽。那么究竟SSH連接快不快，我們可以配合pv來測速：

yes | pv | ssh chongchong "cat >/dev/null" 

sshfs掛載遠(yuǎn)程目錄

如果SSH連接很快，我們就可以基于SSH將遠(yuǎn)程主機(jī)的目錄用sshfs掛載到本地來。掛載的目錄是一個(gè)FUSE文件系統(tǒng),可以作為常規(guī)用戶程序而不是內(nèi)核文件系統(tǒng)。

mkdir ~/remoteshared  
sshfs <user>@<host>:/remotepath ~/remoteshared 

注意普通用戶要用sshfs掛載遠(yuǎn)程目錄，需要先把用戶添加到fuse用戶組，否則會(huì)報(bào)錯(cuò)：

fuse: failed to exec fusermount: Permission denied 

我們使用：

usermod -a -G fuse cc 

這樣我們就可以使用sshfs了：

sshfs chongchong:/tmp ./data 

好了，現(xiàn)在就可以在data對遠(yuǎn)程主機(jī)的/tmp目錄做操作了。注意這有個(gè)前期就是你的ssh連接需要很快，否則，你對該目錄(父目錄)操作(比ls)會(huì)非常慢。這時(shí)可以使用：

fusermount -u data 

刪除該掛載。

注意sshfs的掛載也會(huì)在df中顯示：

df -h  
Filesystem Size Used Avail Use% Mounted on  
/dev/sda3 886G 16G 825G 2% /  
tmpfs 8.0G 0 8.0G 0% /dev/shm  
/dev/sda1 485M 87M 374M 19% /boot  
chongchong:/tmp 7.7G 2.7G 5.0G 35% /home/cc/data 

總結(jié)

本文中我們SSH使用中很有用但是鮮為人知的一些技巧，希望能對大家有所幫助。當(dāng)然SSH的技巧不止這些，以后有機(jī)會(huì)再給大家介紹其他內(nèi)容。