ssh服务认证类型主要有两个：
基于口令的安全验证：
基于口令的安全验证的方式就是大家一直在用的，只要知道服务器的ssh连接账户、口令、IP及开发的端口，默认22，就可以通过ssh客户端登陆到这台远程主机上。此时，联机过程中所传输的数据都是加密的。
基于密钥的安全验证：
基于密钥的安全验证方式是指，需要依靠密钥，也就是必须事先建立一对密钥对，然后把公钥放在需要访问的目标服务器上，另外，还需要把私钥放到ssh的客户端或对应的客户端服务器上。
此时，如果想要连接到这个带有公钥的ssh服务器，客户端ssh软件或客户端服务器就会向ssh服务器发出请求，请求用联机的用户密钥进行安全验证。ssh服务器收到请求后，会先在ssh服务器上连接的用户家目录下寻找放上去的对应用户的公钥，然后把它和连接的ssh客户端发送过来的公钥进行比较，如果两个密钥一致，ssh服务器就用密钥加密“质询”并把它发给ssh客户端。ssh客户端收到“质询”之后就可以用自己的私钥解密，再把它发给ssh服务器。使用这种方式，需要知道联机用户的密钥文件，与地中基于口令验证的方式相比，第二种方式不需要再网络上传送口令密码，所有安全性更高了，这时我们也要注意保护我们的密钥文件，特别是私钥文件，一旦被黑客获取了，危险就很大了。
案例：批量分发管理（一把钥匙开多把锁）
测试场景：
主机名：nfs-server 网卡eth0:192.168.43.117 用途：中心分发服务器
主机名：lamp01 网卡eth0:192.168.43.118 用途： 接收客户端服务器
主机名：lamp02 网卡eth0:192.168.43.119 用途： 接收客户端服务器
主机名：backup 网卡eth0:192.168.43.200 用途： 接收客户端服务器
=================================================================
首先需要更改局域网机器的主机名与IP地址都要对应到hosts文件里去，方便访问解析快。
通过scp命令发向其他机器上。
scp -r /etc/hosts root@192.168.43.200: /etc
创建一个分发管理用户
创建一个密钥对：（分发机器上创建，切换到分发用户下创建一对密钥）
rsa与dsa密钥类型的区别：
rsa即可以进行加密，也可以进行数字签名实现认证，而dsa只能用于数字签名从而实现认证。
su – bqh01
ssh-keygen –t dsa
ssh-keygen是生产密钥的工具，-t参数指建立密钥的类型，这是是建立dsa类型密钥，也可以建立rsa类型密钥。
也可以用此命令直接生成一对密钥：ssh-keygen -t dsa -P "" -f ~/.ssh/id_dsa
此时我们需要把产生的公钥（锁）发给局域网中的各个机器上：
ssh-copy-id -i .ssh/id_dsa.pub bqh01@192.168.43.118
ssh-copy-id -i .ssh/id_dsa.pub bqh01@192.168.43.119
ssh-copy-id -i .ssh/id_dsa.pub bqh01@192.168.43.200
如果ssh修改了特殊端口，如8886，那么用上面的ssh-copy-id命令就无法进行分发公钥了，如果仍要用ssh-copy-id的话，可以用：
ssh-copy-id –I id_dsa.pub “-p 8886 bqh01@192.168.43.118” //特殊端口分发，要适当加引号。
我们可以上118服务器上查看是否分发过来了：
ok。
此时我们就可以批量管理各个机器了：
例如查看各个机器上的ip地址：可以写一个简单脚本
vi fenfa.sh
ssh -p22 bqh01@192.168.43.118 /sbin/ifconfig eth0
ssh -p22 bqh01@192.168.43.119 /sbin/ifconfig eth0
ssh -p22 bqh01@192.168.43.200 /sbin/ifconfig eth0
简单脚本： #!/bin/sh for n in 118 119 200 do ssh –p22 bqh01@192.168.43.$n /sbin/ifconfig eth0 done
ok。
接下来我们分发一个文件：先要把分发的文件拷贝到普通用户家目录下
vi fenfa.sh
scp -P22 hosts bqh01@192.168.43.118:~
scp -P22 hosts bqh01@192.168.43.119:~
scp -P22 hosts bqh01@192.168.43.200:~
简单脚本： #!/bin/sh for n in 118 119 200 do scp –P22 hosts bqh01@192.168.43.$n:~ done
我们从其他机器上查看是否分发过去了：
ok。
当我们批量分发到远程机器的其他目录下会出现以下错误提示：
错误：原因是bqh01没有/etc下的权限。批量分发时需要注意权限问题。
我们可以通过以下方法来解决：
1、 利用root做ssh key验证
2、 利用普通用户如bqh01sudo提权来做
3、设置suid对固定命令授权
例如：利用普通用户如bqh01来做，sudo提权拷贝分发的文件发到远程对应权限的目录下
把普通用户加入到sudoers里去，并授予rsync权限（注意：在所有机器上操作）
echo ‘bqh01 ALL=(ALL) NOPASSWD:/usr/bin/rsync’ >>/etc/sudoers
visudo -c
我们切换到普通用户下推送一下hosts到/etc/ceshi下试试看：
出现Connection to 192.168.43.118 closed.这种提示表表示执行成功
我们再从其他机器上查看是否推送过来了：
ok。
可以写一个分发脚本：
脚本优化：
#!/bin/sh
. /etc/init.d/functions
if [ $# -ne 2 ]
then
echo "USAGE:$0 localfile remotedir"
exit 1
fi
for n in 118 119 200
do
echo ===============192.168.43.$n==============
scp -P22 -r $1 bqh01@192.168.43.$n:~ &>/dev/null &&
ssh -t bqh01@192.168.43.$n sudo rsync $1 $2 &>/dev/null
if [ $? -eq 0 ]
then
action "fenfa $1 ok" /bin/true
else
action "fenfa $1 failed" /bin/false
fi
done
执行脚本后效果如下：
我们从其他机器上查看是否分发过来了：
ok。
当然我们可以用隧道模式传输：rsync -avz hosts -e 'ssh -p 22' bqh01@192.168.43.200:~
例如：设置suid对固定命令授权（同上方法，只是不用sudo提权，而是设置suid权限）
我们先去除之前推送过去的文件：
将目标主机上的rsync命令增加s权限（存在危险）
chmod 4755 /usr/bin/rsync
sh fenfa.sh hosts /etc/ceshi/
我们从其他机器上查看是否分发过来了：
ok。
ssh批量分发与管理方案小结：适用于（5-70台服务器）
1、利用root做ssh key验证
优点：简单，易用
缺点：安全差，同时无法禁止root远程连接这个功能。
企业应用：80%的中小型企业在用此方法。
2、利用普通用户如bqh01来做
先把分发的文件拷贝到服务器用户家目录下，然后sudo提权拷贝分发的文件发到远程对应权限的目录下
优点：安全，无需禁用root远程连接这个功能。
缺点：配置比较复杂。
3、同方法2，只是不用sudo，而是设置suid对固定命令授权
优点：相对安全
缺点：复杂，安全性较差。任何人都可以处理带有suid权限的命令。
在生产场景中ssh适用于：批量分发数据、代码、管理等用途。
=================================================================