• 什麼是遠端連線伺服器

所謂的連線到伺服器的功能，主要就是：透過遠端連線的功能登入到伺服器，經常使用於工作站，或者是多人共用伺服器的環境， 包括科學運算過程當中需要用到的數值模式模擬環境。而常見的模式則有：

• 透過純文字模式，目前主流為 ssh
• 透過圖形界面，包括 VNC, RDP 以及 Linux 模擬的 XRDP 功能！

因為我們透過連線伺服器的功能，然後就可以在遠端對伺服器下達各種命令。因此，如果我們所傳達的任何命令或指令或動作， 以一般的明碼進行傳送時，很可能就會在傳輸的路上被竊取而遭受進一步的攻擊。所以，早期明碼傳輸的 telnet 與 rsh 才會被淘汰。 而近期使用 ssh 則是因為資料在 server / client 之間傳送時，是經過加密的行為，因此網路上竊取的資料就不會被輕易的解析出來， 對於資料而言，當然是相對較為安全。

• 連線加密的金鑰系統

那麼所謂的加密是怎麼回事呢？基本上就是發送端會先透過一個機制來加密，而接收端就透過相對的機制來進行解密。 這兩個機制必須要有相關性啊，這就是所謂的成對金鑰系統。

• 公鑰 (public key)：提供給遠端主機進行資料加密的行為，也就是說，大家都能取得你的公鑰來將資料加密的意思
• 私鑰 (private key)：遠端主機使用你的公鑰加密的資料，在本地端就能夠使用私鑰來進行解密。由於私鑰是這麼的重要， 因此私鑰是不能夠外流的！只能保護在自己的主機上。

因此，Server 需要有一對公/私鑰， client 也要有自己的一對公/私鑰，並且將自己的公鑰傳給對方，保留自己的私鑰來進行解密。 而提供公鑰給對方，就是要對方以我自己的公鑰來加密的意思。整體的 Server / Client 金鑰傳輸系統有點像這樣：

常見的 ssh 協定的使用軟體有 ssh, scp, sftp 等，各個功能不太一樣。

• ssh：等於是遠端登入，然後取得伺服器終端機 (bash shell) 的一個方式
• scp：透過 ssh 協定進行檔案直接網路複製的功能
• sftp：透過 ssh 協定，進行類似 FTP 檔案傳輸的功能。

• ssh 連線功能

這個指令基本的操作方式如下說明：

[student@localhost ~]$ ssh [-f] [-o parms] [-p port] [account@]IP [command]

# 直接用目前的身份登入某部伺服器的方式：
[student@localhost ~]$ ssh 127.0.0.1

# 改用其他帳號登入某部伺服器的方式：
[student@localhost ~]$ ssh root@127.0.0.1   # 重點在 @ 之前的帳號！

# 直接在其他伺服器上面執行某個指令後結束
[student@localhost ~]$ ssh student@127.0.0.1 find / &> ~/find1.log

# 與上述指令相同，但是交派指令後立即結束連線，讓伺服器自己執行後面的指令 (有沒有連線差很多)
[student@localhost ~]$ ssh -f student@127.0.0.1 find / &> ~/find1.log

# 不要詢問而是直接加入金鑰到紀錄檔中的方式
[student@localhost ~]$ ssh -o StrictHostKeyChecking=no root@localhost

• scp 網路異地直接複製功能

你可以直接以 ssh 協定來進行檔案的傳輸！是檔案傳輸喔！不是透過其他通訊協定。scp 是可以直接以 ssh 通道來傳送檔案的一種方式， 使用上面就與 cp 相當類似，只是你得要加上遠端主機的帳號、IP與檔名而已。處理方式如下：

[student@localhost ~]$ scp [-pr] [-l 速率] file  [帳號@]主機:目錄名  # 上傳的行為
[student@localhost ~]$ scp [-pr] [-l 速率] [帳號@]主機:file  目錄名  # 下載的行為

-p ：保留原本檔案的權限資料；
-r ：複製來源為目錄時，可以複製整個目錄 (含子目錄)
-l ：可以限制傳輸的速度，單位為 Kbits/s ，例如 [-l 800] 代表傳輸速限 100Kbytes/s
-P port：如果 ssh 開在非正規埠口，可以使用這個大寫 P 來指定埠口號碼

到底是上傳還是下載？可以透過觀察上述指令的冒號 (:) 來分析即可！那個冒號的所在處，就是遠端機器的位置，你就可以知道上傳還是下載了。

• sftp 類似 ftp 用戶端軟體，但透過 ssh 協定

如果你習慣使用 FTP 的用戶端軟體，那就直接以 ssh 提供的 sftp 來處置即可。基本上，你可以在用戶端選擇以 GUI 的軟體來執行檔案的傳輸， 不但連線加密，還與 FTP 的功能完全一致。基本上，有 scp 你應該會比較少使用 sftp 的！所以這裡僅是告知你有這個功能，相關的指令就不介紹了。

• 以 ssh 取得遠端 X 軟體的操作權

某些時刻，你可能需要從遠端取得圖形化界面，但是遠端伺服器其實並沒有圖形界面的存在，只是有圖形界面的軟體而已。那該如何是好？ 其實，你可以在 client 端以 X server 來操作伺服器的 X client 喔！不過，因為 X 的執行需要在伺服器端有 X 軟體以及驗證功能，所以， 你的伺服器需要先安裝某些特殊軟體才行！

sshd 的設定主要是在 /etc/ssh/sshd_config 這個檔案裡面做設定，其中預設的設定值已經是挺完整的了，不過還是有需要進行一些更嚴格的設定較佳。 此外，防火牆的規劃也請額外處理一下才好。

• 連線埠口的更改

某些時刻，可能由於計算機中心管制的問題，以及 port 重複利用的問題，或者是其他各企業規範政策所致，你可能無法使用正規的 port 22 來處理你的 ssh。 此時你可以調整 ssh 的埠口號碼，建立在非正規的埠口上。唯一的好處是，可能可以略過一些常見的 ssh 攻擊掃描問題。

• 防火牆處理

啟動了埠口後，我們還是希望不要讓這個 port number 對全世界放行。因此，你可能需要調整一下你的防火牆規則才好。

防火牆制定規則中，大致上的條件幾乎是『小範圍的先進行，再管理大範圍的』情況，所以上述的情況也需要做一些修訂才行喔！

• 取消 root 登入權限

一般來說，要攻擊你的系統，從『軟體漏洞』攻擊最快！因為無須猜測你的帳號密碼。但如果沒有漏洞的軟體存在時，那麼攻擊者恐怕就會轉而處理猜測你的密碼。 而整個 Linux 系統一定會存在的帳號，那當然就是 root 這個帳號了！因此，如果你讓 root 可以使用 ssh 登入系統的話，那麼攻擊者就很可能一直猜測你的 root 密碼。 所以，通常我們建議你關閉 root 的登入權，改由一般帳號登入系統，然後再轉換身份來處理較佳。

• 建立不可使用 ssh 登入的用戶

以鳥哥為例，我必須要建立給學生上課用來傳輸網頁的伺服器，且第一次讓學生操作時，需要強迫他們重新設定自己的密碼，因此學生帳號必須要能夠使用 ssh 才行。 但是在處理完畢這件事情之後，鳥哥希望學生不要使用 ssh 來登入這個系統，因為擔心某些資料會被亂用。因此，我就得要讓他們再也無法使用 ssh， 不過，卻是可以使用任何功能的條件。

在此設計的角度上，讓 shell 變成 /sbin/nologin 也是一個作法，只是這樣一來，連本地端 (tty1~tty6) 也無法登入，這與當初只想要關閉 ssh 的使用不太一樣。 此時，我們可以使用 sshd_config 提供的功能來設計！

未來你只要讓任何不想讓他使用 ssh 的帳號，將該帳號加入 denyssh 的群組，他就無法使用 ssh 的功能囉！

ssh 除了可以讓你登入與傳送檔案之外，其實他還經常被拿來作為自動異地備份的相關功能之中。不過，如果想要讓系統自動於背景中進行異地備援， 就得要建立無須密碼登入的帳號～這就需要用到預先設定好的金鑰系統才行。

底下例題的目的是：在 Server 上面使用 root 的身份，將重要資料複製到 client 端去！因為涉及權限，因此建議兩者均用 root。 但是因為 server 的 root 可能已經被拒絕使用 ssh 囉，所以才用 server 主動的提供到 client 去的方向。

• 使用 rsync 處理異地備援

如果你的檔案是一直更新的，那麼使用 scp 即可。如果你的檔案不是一直更新，而是持續累加不同的檔案時，使用 scp 有點困擾！ 因為沒有更新的檔案透過 scp 還是會重新複製一次。因此，這時可以比對兩邊資料後，只上傳較新的檔案的方式，就是你應該要學會的技術了。 那就是 rsync 這個指令囉。

[student@localhost ~]$ rsync [-avrlptgoD] [-e ssh] [user@host:/dir] [/local/path]

-v ：觀察模式，可以列出更多的資訊，包括鏡像時的檔案檔名等；
-q ：與 -v  相反，安靜模式，略過正常資訊，僅顯示錯誤訊息；
-r ：遞迴複製！可以針對『目錄』來處理！很重要！
-u ：僅更新 (update)，若目標檔案較新，則保留新檔案不會覆蓋；
-l ：複製連結檔的屬性，而非連結的目標原始檔案內容；
-p ：複製時，連同屬性 (permission) 也保存不變！
-g ：保存原始檔案的擁有群組；
-o ：保存原始檔案的擁有人；
-D ：保存原始檔案的裝置屬性 (device)
-t ：保存原始檔案的時間參數；
-I ：忽略更新時間 (mtime) 的屬性，檔案比對上會比較快速；
-z ：在資料傳輸時，加上壓縮的參數！
-e ：使用的通道協定，例如使用 ssh 通道，則 -e ssh
-a ：相當於 -rlptgoD ，所以這個 -a 是最常用的參數了！

因為就是使用 ssh 的協定，因此上傳或下載，就是查看冒號 (:) 所在處囉！

VNC server 會在伺服器端啟動一個監聽用戶要求的埠口，一般埠口號碼在 5901 ~ 5910 之間。當用戶端啟動 X server 連線到 5901 之後， VNC server 再將一堆預先設定好的 X client 透過這個連線傳遞到用戶端上，最終就能夠在用戶端顯示伺服器的圖形介面了。

不過需要注意的是，預設的 VNC server 都是獨立提供給『單一』一個用戶端來連線的，因此當你要使用 VNC 時，再連線到伺服器去啟動 VNC server 即可。所以，一般來說， VNC server 都是使用手動啟動的，然後使用完畢後， 再將 VNC server 關閉即可。

至於啟動/關閉 VNC server 的方式為：

[student@localhost ~]$ vncserver [:號碼] [-geometry 解析度] [options] # 啟動 VNC Server
[student@localhost ~]$ vncserver [-kill :號碼]                        # 關閉 VNC server

• 嘗試開機執行 VNC 功能

VNC 一般建議用到才啟動，用完就關閉，不要持續啟動。不過在某些情境下 (例如鳥哥透過 VNC 操作 Server 的模式運算)， 你或許需要開機就啟動喔！這時就得要使用特別的方式來啟用了！

• 嘗試使用 ssh 通道加密 VNC 的連線

一般正常情況下，VNC 預設是不加密的。如果 Server/client 你都可以使用 ssh 連線溝通的話，那麼我們可以透過 ssh 的隧道功能 (tunnel) 來進行連線， 達成在這條通道內的任何資料傳遞！你可以參考例題 6.5.C 找到的那個檔案的介紹，直接在用戶端這樣處理即可：

透過上述取得的 VNC 畫面，其實是透過 ssh 的通道，因此你會發現兩個視窗的訊息非常的多！這是因為 VNC 連線的所有資訊都會在這條隧道內顯示的意思！ 你就無須自行尋找 VNC 的加密囉！因為 ssh 真是萬能！

我們知道 Windows 的遠端桌面 (Remote Desktop Procotol, RDP) 其實是具有連線加密功能的，所以，能不能在 Linux 上面裝一個 RDP Server 呢？是可以的，那就是 XRDP 伺服器

很可惜的是，我們的 CentOS 7.x 預設並沒有提供 XRDP 的伺服器，如果你有興趣的話，可以自行編譯 xrdp 軟體， 但鳥哥有找到 Fedora 基金會提供的 RHEL 額外軟體計畫，請依據第一堂課的例題 1.2.C 的方式建立好 EPEL 這個 repo 的 yum 來源伺服器，然後以底下的方式來安裝好你的 xrdp 喔！

[root@localhost ~]# yum --enablerepo=epel install xrdp

安裝完畢之後，你就可以立刻啟動 xrdp 了！因為幾乎所有的設定值都已經處理妥當～不須額外的其他設定。 只是有可能得要處理一下防火牆就是了。

處理完畢之後，你得要注意，未來若有用戶端連線過來，雖然連線是透過 xrdp，但事實上後端跑的依舊是 VNC 喔！這點得要加強說明。 若有其他需要處理的額外設定，也請參考 /etc/xrdp/ 這個目錄下的設定檔吧！

那麼用戶端如何連接？如果是 windows，那就使用遠端桌面連接即可。那如果是 Linux 呢？CentOS 7 提供了 freerdp 這個軟體可以提供給你操作使用。 你可以直接使用 yum install freerdp 即可！安裝完畢之後，可以透過底下的指令功能來連結喔：

[student@localhost ~]$ xfreerdp serverIP:port

然後最好挑選 Xorg 的原生選項，填入你的 Server 上面的帳號與密碼，就可以登入囉！這這麼簡單！

1. (60%)實作題：啟動 Server 作業硬碟 - unit06
   1. 網路參數的設定，請依據底下的方式來設定好你的網路環境：
      1. 因為我們的系統是 clone 來的，因此裡面的網路卡連線會跑掉。所以，請先刪除所有的連線界面後， 再依據底下的要求逐次建立好你的網路環境：
      2. 建立 eth0 為外部的連線網卡 (相同的連線界面名稱)，使用 ethernet 類型，且：
         • IPv4 的 IP位址： 172.18.255.*/24 ，其中 * 為老師規定的 IP 尾數
         • gateway 為 172.18.255.254
         • DNS 為 172.16.200.254 以及 168.95.1.1
      3. 使用 teamd 的機制建立內部區域網路的備援功能：
         • team 的界面使用 team0 卡號，且連線名稱請命名為 team0
         • team 使用 activebackup 備援功能，不要使用 loadbalance
         • team 的實體網卡 (team slave) 請使用 eth1 及 eth2 ，且其連線名稱名稱亦請命名為 eth1, eth2
         • 內部網路參數為： 172.19.*.254/24，不需要 gateway
      4. 主機名稱指定為： server*.example.dic
      5. 最終你的主機名稱與 IP 的對應為：

         server*.example.dic	172.18.255.*		別名為 server*
         server254.example.dic	172.18.255.254		別名為 server254
         server.lan*.example.dic	172.19.*.254		別名為 server
         client.lan*.example.dic	172.19.*.1		別名為 client
         

   2. 基本的伺服器作業系統設定行為：
      1. 使用崑山的 FTP 網站作為你的 YUM server 來源，並且清除一次 yum 清單快取
      2. 安裝相關的軟體，至少須安裝 vim-enhanced, bash-completion, net-tools, mailx, wget, links, bind-utils
      3. 全系統自動升級，且每天凌晨 3 點也會自動升級一次。(請寫入 /etc/crontab 為主)
      4. 將 SELinux 修改成為 Enforcing 模式，且未來每次開機都自動為 Enforcing 才行
   3. 實際設定好本機防火牆
      1. 請關閉 firewalld 服務，並且自行安裝、啟動 iptables 服務
      2. 將預設的規則轉存到 /root/firewall.sh 這個檔案內
      3. 首先將全部的規則刪除 (應該有三條指令)
      4. 設定好預設政策，讓 INPUT 成為 DROP 而 OUTPUT 與 FORWARD 成為 ACCEPT
      5. 針對 INPUT 前三條規則為 (1)回應封包 (2)放行 lo 界面 (3)放行 icmp 封包
      6. 放行你自己的內部區域網路那個網域的連線要求
      7. 讓 ssh 只對外部的區網放行，不會對 Internet 放行
      8. 讓 http 針對整個 Internet 放行
      9. 最後讓確定的規則轉存到 /etc/sysconfig/iptables 這個設定檔
      10. 重新啟動 iptables 服務，然後觀察規則是否正確
   4. 實際設定好 Server 的路由功能
      1. 讓核心支援 IP 轉遞的功能
      2. 修改 /root/firewall.sh ，增加刪除 nat 表格的規則與自訂鏈
      3. 增加讓來自內部網路的封包，並預計由 eth0 對外網卡出去的封包，全部偽裝成為 eth0 的 public IP
      4. 在 /etc/sysconfig/iptables-config 當中增加 nf_nat_ftp 及 nf_conntrack_ftp 模組功能
      5. 此功能在開機後依舊能夠順利啟動
   5. 針對 sshd 服務的相關設定項目：
      1. 由於某些緣故，這個系統的 sshd 必須要同時開啟 port 22 以及 port 3131，且開機完畢就啟動這兩個埠口
      2. 承上，針對 port 3131 的防火牆設定中：
         • 除了兩段區網需要放行之外 (eth0 與 team0 的所在網域)
         • 還需要針對 10.0.0.0/8 放行
         • 但是 10.10.10.0/24 這個區段必須要拒絕使用 port 3131
      3. 建立三個帳號，帳號名稱分別為 localuser1, localuser2, localuser3，三個帳號均加入 nosshgrp 次要群組支援， 這三個帳號的密碼均為 123hehe。此外，這三個帳號可以使用本機 tty1~tty6 登入系統取得 bash 界面，但是不能使用 ssh 遠端登入！
      4. sshd 這個服務拒絕直接以 root 的身份登入系統。
   6. 針對異地備份的功能設置
      1. 在 server 上面寫一隻名為 /root/bin/backup.sh 的腳本，這個腳本會進行：
         • 以 rsync 透過 ssh 通訊協定，將 Server 上的 /etc, /home, /root, /var/spool/mail 等目錄備份到 client 端的 /backups/ 裡面去
         • 必須要在 Server 上面以 root 的身份進行這個備份的動作，而且備份到 client 時，也是以 root 的身份登入到 client 上面。
         • 進行 ssh 協定時，需要使用 arcfour 的加密機制，這是為了避免 client 機器沒有支援 AES 的緣故。
      2. 上述腳本在運作中，不需要輸入密碼。
      3. 該腳本每日凌晨 3 點進行一次。
   7. 針對圖形界面 VNC 服務的啟動
      1. Server 為了圖形界面 VNC，請額外安裝 gnome-session, gnome-classic-session, gnome-terminal 等軟體
      2. 使用 student 的身份建立好 VNC 的服務，且服務密碼為 mystudent，埠口開在 5907 上面。
      3. 在 5901 ~ 5910 這一連續的埠口可以針對 172.30.0.0/16 這一段網域放行。
      4. 每次系統開機都會主動啟動 port 5907 這一段 VNC 服務。
2. (20%)實作題：啟動 client 作業硬碟
   1. 網路參數的設定，請依據底下的方式來設定好：
      1. 因為我們的系統是 clone 來的，因此裡面的網路卡連線會跑掉。所以，請先刪除所有的連線界面後， 再依據底下的要求逐次建立好你的網路環境：
      2. 建立 eth0 的連線網卡 (相同的連線界面名稱)，使用 ethernet 類型，且：
         • IPv4 的 IP位址： 172.19.*.1/24 ，其中 * 為老師規定的 IP 尾數
         • gateway 為 172.19.*.254
         • DNS 為 172.16.200.254 以及 168.95.1.1
      3. 主機名稱指定為： client.lan*.example.dic
      4. 最終你的主機名稱與 IP 的對應為：

         server*.example.dic	172.18.255.*		別名為 server*
         server254.example.dic	172.18.255.254		別名為 server254
         server.lan*.example.dic	172.19.*.254		別名為 server
         client.lan*.example.dic	172.19.*.1		別名為 client
         

   2. 實際設定好本機防火牆
      1. 預設請使用 firewalld 防火牆服務，不要使用 iptables 服務！
      2. 預計放行的服務主要有 ssh 與 http 兩個服務，其他還可能有預設會啟用的 dhcp 用戶端服務。
      3. 查詢 rich rule (man firewalld.richlanguage)，確認來自本機同一個 LAN 網段的封包，通通給予放行。
      4. 上述放行的防火牆服務，在下次重新開機後，依舊會存在才行
   3. 使用特別的設定方式來處理無法使用 root 登入卻需要 root 權限的行為
      1. 在 Server 上面建立一個名為 admin 的帳號，該帳號的密碼請設定為 345haha。這個帳號使用 sudo 時，不需要輸入密碼即可放行。
      2. 在 Client 上面建立一隻名為 /home/student/bin/getroot.sh 的腳本，腳本的基本內容如下(請修改 ip 為正確的 server IP)：

         #!/bin/bash
         
         ip="Your server IP"
         ssh -o StrictHostKeyChecking=no admin@${ip} "LANG=en_US; sudo sh -c \"
         	ls -l /root;
         	whoami
         	\"
         "
         

      3. 這隻腳本可以讓 student 執行，且 student 執行時，無須輸入任何密碼就可以取得 Server 的相關 root 權限資料。
3. (20%)簡易問答題 (前面 7 題 2 分，最後一題 6 分。) 從具有 GUI 及中文的用戶端 Linux ，使用『 ssh root@172.19.*.254 』登入你的 Server ，之後建立 /root/ans.txt 的檔案，並將底下各題目的答案寫入你 server 當中！
   1. 成對的金鑰系統有公鑰與私鑰，請問，(1)那一把鑰匙在加密？(2)那一把鑰匙在解密？(3)那一把鑰匙是不能流出去的？
   2. 以本機的 localuser 帳號為例，當有任何 ssh 公鑰被紀錄時，預設紀錄的檔名為何？
   3. 預設的 ssh 的 version 2 (1)使用那一個加密機制？(2)如何觀察目前硬體有沒有支援該機制？
   4. 若想要使用 ssh -X 來登入遠端主機取得圖形界面軟體的使用權時，遠端伺服器應該要安裝哪個驗證軟體才行？
   5. 以本機的 localuser 帳號為例，這個帳號設定好 VNC 的使用後，預設 VNC 連線密碼記載檔名為何？
   6. 承上，那麼啟動 VNC 的程序運作檔名為何？
   7. RDP 預設的埠口號碼是幾號？
   8. 當我要在 client 本機以 ssh 建立一個連線通道，連線到伺服器的 port 6666，但我在本機想要 port 7777 來進行連接， 假設遠端伺服器的帳號為 myuser 而 IP 為 myip 時，應如何下達 ssh 指令？(若以 vnc 為範例的話，那麼當我執行 vncviewer myip:7777 即可連接到 Server 的 port 6666 的 VNC 服務。)
4. 上傳成績
   1. 請將 Server/Client 的硬碟通通啟動，並且確認兩者間的連線沒有問題；
   2. 在 Server 硬碟上面登入，然後用 root 的身份執行 vbird_server_check_unit ，並依據提示資料填寫你的學號與 IP 尾數
   3. 該程式會偵測你的系統，並且通知你哪個部份可能有問題，你需要持續觀察或者重新處理的部份會交代妥當。
   4. 若一切沒問題，螢幕就會出現如下的字樣，然後你就能夠使用 links 去檢查你的檔案是否有順利的上傳了！
   5. Please use links http://172.18.255.250/upload/unit06 to check your filename