两台 LINUX 主机 SSH互信配置具体操作过程

搭建 Linux 集群、数据库多节点环境时，经常要在服务器之间远程登录、用 scp 传输文件。如果每一次操作都要输入密码，手动操作麻烦，脚本自动执行更是行不通，这时就需要配置 SSH 互信。下面把 SSH 互信的作用、原理和完整实操步骤整理出来，跟着操作就能实现服务器双向免密登录。

做 ssh 互信的目的

1. 在做集群的时候是需要 SSH 互信，它有利于在另一节点方便操作。
2. 当使用 scp 远程拷贝操作时，需要输入目标服务器的用户名和密码，这个时候可以做 linux 服务器之间 ssh 互信配置， 这样在多个 linux 服务器之间做操作时就可以免密登陆。

ssh 互信配置的原理

简单来说，就是各自服务器存放了目标主机的证书，当执行登陆时，自动完成认证，从而不需要再输入任何密码。

ssh 互信配置步骤

1. 各节点生成自己的公钥和私钥对。
2. 将自己的公钥文件发送给对方。
3. 验证互信配置是否成功。

配置 ssh 互信

这里以 MYDB01 和 MYDB02 两台 LINUX 主机为例：

生成公钥私钥对

在两台主机上分别生成，提示输入信息时直接回车：

MYDB01 主机：

[root@MYDB01 ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:lQex2+SbdmGGNBvU8vjaTKVCbfAmk8Eva+C6BPJ49G0 root@MYDB01
The key's randomart image is:
+---[RSA 2048]----+
|          oo..   |
|           == .  |
|          + *@   |
|         ..BB=B .|
|    . o S..o=O+o |
|     = o .. +=+. |
|    . o o.E.+*.  |
|     . ... ...o  |
|        ..       |
+----[SHA256]-----+

MYDB02 主机：

[root@MYDB02 ~]# ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:8DGfMHFZDrEOOYhcpFGXI8tndQXTE4FampR6cTowAo4 root@MYDB02
The key's randomart image is:
+---[RSA 2048]----+
|    o++ o.+=+=+o |
|   + =oo=+*+=.o  |
|  E =.o+OB.X.  . |
|      oo+XB.     |
|       oS.+.     |
|                 |
|                 |
|                 |
|                 |
+----[SHA256]-----+

这样，就创建了公钥和密钥，会生成**id_rsa 和 id_rsa.pub**两个文件。

生成 ssh 密钥后，密钥将默认存储在家目录下的**.ssh/目录**中。

私钥和公钥的权限分别为**600 和 644**。

.ssh 目录权限必须是 700

选项：

-t rsa|dsa 默认是 rsa 格式。

接着可以查看生成的公钥和私钥文件：

[root@MYDB01 ~]# cd /root/.ssh
[root@MYDB01 .ssh]# pwd
/root/.ssh
[root@MYDB01 .ssh]# ll -sh
总用量 12K
4.0K -rw-------  1 root root 1.7K 2 月  14 16:17 id_rsa
4.0K -rw-r--r--  1 root root  393 2 月  14 16:17 id_rsa.pub

将自己的公钥文件发送给对方

命令格式：

ssh-copy-id

这个命令的作用是：将 id_rsa.pub 文件内容传输至对方的 .ssh 目录中，生成文件名为 authorized_keys 文件，并且会设置远程主机用户目录的**.ssh 和.ssh/authorized_keys**权限。

在 MYDB01 上执行以下操作：

[root@MYDB01 .ssh]# ssh-copy-id 192.168.250.194
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@192.168.250.194's password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh '192.168.250.194'"
and check to make sure that only the key(s) you wanted were added.

这里在 MYDB02 主机上查看：

[root@MYDB02 ~]# cd /root/.ssh
[root@MYDB02 .ssh]# ll
总用量 12
-rw------- 1 root root  393 2 月  14 16:41 authorized_keys
-rw------- 1 root root 1679 2 月  14 16:20 id_rsa
-rw-r--r-- 1 root root  393 2 月  14 16:20 id_rsa.pub
[root@MYDB02 .ssh]# cat authorized_keys
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCtQ+pBp1T9fHAkrifEShaOAfBJFT+HdljR8mBxl7wZ1a91g3Zuzu35gJKsUjD+NqP9JcdyKapE309SHPvosvsJjLfccF4PaEZAgqHryu+S3cBn8zqA6fm62hsx/qI4I80PV0btcqfwphsD+5+vgkDJWAsUGQtqZdmMClAIy5gs0He0K2jpciKHvxWWClB3+dTJ0e9yIuIkV7lM+jqVIqYFJD0bRyy0zgNsY5/cLYFllM42TQDos93hVdqGXOHREpWo01KX2Jd8MKj4yNeiqgnj2mDtiNFWOUSkAbHpcKInuUOErJMqkV7MP0er5UKY/NemDzuORr2RxYqSTWaz/T7N root@MYDB01

上面的操作只是单方面信任，主机 MYDB01 登录主机 MYDB02 不需输入密码，反过来不行，所以还需下面操作：

在主机 MYDB02 上将其钥复制到主机 MYDB01 上：

[root@MYDB02 .ssh]# ssh-copy-id 192.168.250.193
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
The authenticity of host '192.168.250.193 (192.168.250.193)' can't be established.
ECDSA key fingerprint is SHA256:vThEoRhUOECeD5jhE+m8TZA2+6OoElIoNOQ3XqtopZw.
ECDSA key fingerprint is MD5:97:40:b2:35:6e:07:5a:61:1f:73:f1:b2:6e:54:5b:7d.
Are you sure you want to continue connecting (yes/no)? y
Please type 'yes' or 'no': yes
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@192.168.250.193's password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh '192.168.250.193'"
and check to make sure that only the key(s) you wanted were added.

验证互信

分别在 MYDB01 主机和 MYDB02 主机上通过 SSH 登录，看是否需要输入密码：

在 MYDB01 主机上登录 MYDB02 主机：

[root@MYDB01 .ssh]# ssh 192.168.250.194
Last login: Tue Feb 14 15:41:56 2023 from 103.183.158.21

无密登录成功。

同样，在 MYDB02 主机上登录 MYDB01 主机：

[root@MYDB02 .ssh]# ssh 192.168.250.193
Last failed login: Tue Feb 14 16:48:54 CST 2023 from 192.168.250.194 on ssh:notty
There was 1 failed login attempt since the last successful login.
Last login: Tue Feb 14 15:41:34 2023 from 103.183.158.21

结语

到此两台服务器双向 SSH 互信就全部配置完成。有一点需要留意，只单向推送公钥只能实现单方免密，集群环境一般都要双向互信。另外.ssh 目录和密钥文件权限不能乱改，权限不对会直接导致免密失效。配置完成后，不管是手动远程管理，还是编写自动化运维脚本，都不用反复输入密码，集群运维会省心不少。

以上关于两台 LINUX 主机 SSH互信配置具体操作过程的文章就介绍到这了，更多相关内容请搜索码云笔记以前的文章或继续浏览下面的相关文章，希望大家以后多多支持码云笔记。