CentOS 6.5系统怎么一步步安装并启动sshd服务？

在服务器管理和运维领域，安全、高效的远程访问是基石，SSH（Secure Shell）协议凭借其加密通信和强大的功能，成为了连接和管理远程Linux服务器的标准工具，其核心组件是SSH守护进程，即sshd，尽管在许多标准的CentOS 6.5安装中，openssh-server软件包（提供sshd）通常是默认安装的，但在某些最小化安装或特定定制场景下，可能需要手动进行安装和配置，本文将详细、系统地介绍在CentOS 6.5系统上检查、安装、配置并启动sshd服务的完整流程，确保您能够建立一个安全、可靠的远程连接通道。

检查SSH服务状态

在进行任何安装操作之前，首要任务是确认系统中是否已经安装了OpenSSH服务器以及其当前运行状态，这可以避免不必要的重复操作,并帮助诊断潜在问题。

1. 检查软件包是否安装：通过rpm命令查询系统中已安装的软件包，并使用grep进行筛选。

   rpm -qa | grep openssh-server

   如果该命令有输出，例如openssh-server-5.3p1-122.el6.x86_64，则表示sshd服务已经安装，如果没有任何输出,则说明需要进行安装。

2. 检查服务运行状态：即使软件包已安装，服务也可能处于停止状态，可以使用service命令来检查。

   service sshd status

   如果服务正在运行，通常会显示sshd (pid xxxx) is running...，如果服务未安装或未启动，系统会提示sshd: unrecognized service或sshd is stopped。

安装OpenSSH服务器

如果通过上述步骤确认系统未安装openssh-server，接下来就需要使用YUM（Yellowdog Updater, Modified）包管理器进行安装，YUM能够自动处理软件包的依赖关系,极大地简化了安装过程。

在执行安装前，请确保您的CentOS 6.5系统已经正确配置了YUM软件源，这可以是官方的CentOS Vault源（因为6.5已非常陈旧）,也可以是内部的镜像源或本地源。

执行以下命令来安装OpenSSH服务器：

yum install openssh-server -y

命令解析：

• yum install：指示YUM执行安装操作。
• openssh-server：指定要安装的软件包名称。
• -y：这是一个可选但非常实用的参数，它会在安装过程中自动回答所有提示为“yes”，避免手动确认,特别适合自动化脚本执行。

安装过程中，YUM会分析依赖关系，列出需要安装的软件包（如openssh、openssl等），下载并安装它们，看到“Complete!”字样即表示安装成功。

配置SSH服务（sshd_config）

安装完成后，为了提升安全性和满足特定需求，对sshd进行配置是至关重要的一步，其主配置文件位于/etc/ssh/sshd_config，在修改此文件之前,建议先进行备份：

cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

使用文本编辑器（如vi或nano）打开配置文件：

vi /etc/ssh/sshd_config

以下是一些常用且重要的配置项,建议根据您的安全策略进行调整：

配置项	默认值	建议修改	说明
Port	22	修改为高位端口（如2222）	更改默认端口可以有效规避大部分自动化扫描和暴力破解攻击。
PermitRootLogin	yes	no	禁止root用户直接登录，这是强烈推荐的安全实践，应使用普通用户登录后通过sudo提权。
PasswordAuthentication	yes	no（在配置好密钥登录后）	禁用密码认证，强制使用更安全的SSH密钥对进行身份验证。
PubkeyAuthentication	yes	保持yes	启用公钥认证，这是SSH密钥登录的基础。
UsePAM	yes	保持yes	启用可插拔认证模块，通常建议保持开启，以支持更多认证方式。

修改完成后,保存并退出编辑器。

启动服务并设置开机自启

配置文件修改完毕后，需要启动sshd服务使其生效,并设置其在系统重启后自动运行。

1. 启动SSH服务：

   service sshd start

   执行后，系统会提示Starting sshd: [ OK ],表示服务已成功启动。

2. 设置开机自启：使用chkconfig工具将sshd服务添加到系统的运行级别中,确保服务器重启后SSH服务可用。

   chkconfig sshd on

   您可以使用chkconfig --list sshd来查看设置是否成功，正常情况下会看到所有运行级别（2-5）都显示为“启用”。

配置防火墙规则

CentOS 6.5默认使用iptables作为防火墙管理工具，如果您修改了SSH的默认端口，或者防火墙默认策略过于严格，必须明确放行SSH服务的TCP端口,否则客户端将无法连接。

1. 添加防火墙规则（假设您将SSH端口修改为2222）：

   iptables -I INPUT -p tcp --dport 2222 -j ACCEPT

   如果使用默认的22端口，则将2222替换为22。

2. 保存防火墙规则：添加的规则仅在当前运行时有效，重启后会丢失,必须执行保存操作。

   service iptables save

   系统会将当前规则保存到/etc/sysconfig/iptables文件中。

   

3. 重启防火墙使规则生效：

   service iptables restart

   至此，服务器端的sshd安装与配置已全部完成，您现在可以从另一台计算机使用SSH客户端（如PuTTY或命令行ssh工具）连接到您的CentOS 6.5服务器了。

---

相关问答FAQs

问题1：我在客户端连接服务器时，提示“Connection refused”（连接被拒绝），这是什么原因造成的？

解答： “Connection refused”是一个常见的网络连接错误，通常意味着服务器在指定的IP地址和端口上主动拒绝了连接请求,可能的原因和排查步骤如下：

1. 服务未启动：首先登录服务器（如果是本地访问），执行service sshd status确认sshd服务是否正在运行，如果未运行，使用service sshd start启动它。
2. 防火墙拦截：检查服务器的iptables防火墙规则，执行iptables -L -n | grep [您的SSH端口]，查看是否有对应的ACCEPT规则，如果没有，请按照上文“配置防火墙规则”部分的步骤添加规则并保存。
3. 端口不匹配：确认您在客户端连接时使用的端口号与服务器上sshd_config文件中Port指令设置的端口号完全一致。
4. SELinux问题：虽然不常见，但如果SELinux处于强制（Enforcing）模式，并且您修改了SSH端口，可能需要更新SELinux策略，可以使用semanage port -a -t ssh_port_t -p tcp [您的SSH端口]来添加新端口到SELinux的SSH端口上下文中。
5. 监听地址限制：检查sshd_config中的ListenAddress设置，如果它被设置为一个特定的IP地址，而您尝试连接的是服务器的另一个IP地址,也会导致连接被拒绝。

问题2：如何配置SSH密钥对登录，以替代更不安全的密码认证？

解答： 使用SSH密钥对认证比密码认证更安全、更便捷，配置步骤分为两步：在客户端生成密钥对,并将公钥上传到服务器。

1. 在客户端生成密钥对：在您的本地计算机（Linux/macOS）终端或Windows的Git Bash等工具中,执行以下命令：

   ssh-keygen -t rsa -b 4096

   命令会提示您指定密钥文件的保存位置（通常默认~/.ssh/id_rsa即可）和设置一个密钥密码（passphrase，可选但推荐设置），执行后会在~/.ssh/目录下生成id_rsa（私钥）和id_rsa.pub（公钥）两个文件。

2. 将公钥上传到服务器：使用ssh-copy-id命令可以安全、便捷地完成公钥的上传和配置。

   ssh-copy-id username@your_server_ip

   该命令会提示您输入服务器上username用户的密码，验证通过后，它会自动将本地的公钥（id_rsa.pub追加到服务器上~/.ssh/authorized_keys文件中,并设置正确的文件权限。

3. 禁用密码认证：成功使用密钥登录服务器后，为了最大化安全性，可以编辑服务器的/etc/ssh/sshd_config文件，将PasswordAuthentication的值改为no，然后重启sshd服务（service sshd restart），此后,所有没有配置密钥的登录尝试都将被拒绝。