戈壁尸泥

config文件的基本格式

Host alias1                      # 机器别名
    HostName 192.168.1.2           # 主机地址
    User root                      # 用户名
    IdentityFile ~/.ssh/id_ecdsa # 认证文件
    Port 22  

Host alias2
    HostName 192.168.1.3
    Port  9002
    User  Jones

要使用ssh登陆机器192.168.1.2, 只需使用 `ssh alias`即可,由于指定了认证私钥, 可以无需输入密码.

下面来看看常用的配置参数。


**Host**  
用于我们执行 SSH 命令的时候如何匹配到该配置。


* `*`，匹配所有主机名。
* `*.example.com`，匹配以 .example.com 结尾。
* `!*.dialup.example.com,*.example.com`，以 ! 开头是排除的意思。
* `192.168.0.?`，匹配 192.168.0.[0-9] 的 IP。


**AddKeysToAgent**  
是否自动将 key 加入到 `ssh-agent`，值可以为
 no(default)/confirm/ask/yes。


如果是 yes，key 和密码都将读取文件并以加入到 agent ，就像 `ssh-add`。其他分别是询问、确认、不加入的意思。添加到 ssh-agent 意味着将私钥和密码交给它管理，让它来进行身份认证。


**AddressFamily**  
指定连接的时候使用的地址族，值可以为 any(default)/inet(IPv4)/inet6(IPv6)。


**BindAddress**  
指定连接的时候使用的本地主机地址，只在系统有多个地址的时候有用。在 UsePrivilegedPort 值为 yes 的时候无效。


**ChallengeResponseAuthentication**  
是否响应支持的身份验证 chanllenge，yes(default)/no。


**Compression**  
是否压缩，值可以为 no(default)/yes。


**CompressionLevel**  
压缩等级，值可以为 1(fast)-9(slow)。6(default)，相当于 gzip。


**ConnectionAttempts**  
退出前尝试连接的次数，值必须为整数，1(default)。


**ConnectTimeout**  
连接 SSH 服务器超时时间，单位 s，默认系统 TCP 超时时间。


**ControlMaster**  
是否开启单一网络共享多个 session，值可以为 no(default)/yes/ask/auto。需要和 ControlPath 配合使用，当值为 yes 时，ssh 会监听该路径下的 control socket，多个 session 会去连接该 socket，它们会尽可能的复用该网络连接而不是重新建立新的。


**ControlPath**  
指定 control socket 的路径，值可以直接指定也可以用一下参数代替：


* %L 本地主机名的第一个组件
* %l 本地主机名（包括域名）
* %h 远程主机名（命令行输入）
* %n 远程原始主机名
* %p 远程主机端口
* %r 远程登录用户名
* %u 本地 ssh 正在使用的用户名
* %i 本地 ssh 正在使用 uid
* %C 值为 %l%h%p%r 的 hash


请最大限度的保持 ControlPath 的唯一。至少包含 %h，%p，%r（或者 %C）。


**ControlPersist**  
结合 ControlMaster 使用，指定连接打开后后台保持的时间。值可以为 no/yes/整数，单位 s。如果为 no，最初的客户端关闭就关闭。如果 yes/0，无限期的，直到杀死或通过其它机制，如：ssh -O exit。


**GatewayPorts**  
等同于ssh的`-g`参数, 指定是否允许远程主机连接到本地转发端口，值可以为 no(default)/yes。默认情况，ssh 为本地回环地址绑定了端口转发器。


**HostName**  
真实的主机名，默认值为命令行输入的值（允许 IP）。你也可以使用 %h，它将自动替换，只要替换后的地址是完整的就 ok。


**IdentitiesOnly**  
指定 ssh 只能使用配置文件指定的 identity 和 certificate 文件或通过 ssh 命令行通过身份验证，即使 ssh-agent 或 PKCS11Provider 提供了多个 identities。值可以为 no(default)/yes。


**IdentityFile**  
等同于ssh的`-i`参数, 指定读取的认证文件路径，允许 DSA，ECDSA，Ed25519 或 RSA。值可以直接指定也可以用一下参数代替：


* %d，本地用户目录 ~
* %u，本地用户
* %l，本地主机名
* %h，远程主机名
* %r，远程用户名


**LocalCommand**  
指定在连接成功后，本地主机执行的命令（单纯的本地命令）。可使用 %d，%h，%l，%n，%p，%r，%u，%C 替换部分参数。只在 PermitLocalCommand 开启的情况下有效。


**LocalForward**  
等同于ssh的`-L`参数指定本地主机的端口通过 ssh 转发到指定远程主机。格式：LocalForward [bind_address:]post host:hostport，支持 IPv6。


**PasswordAuthentication**  
是否使用密码进行身份验证，yes(default)/no。


**PermitLocalCommand**  
是否允许指定 LocalCommand，值可以为 no(default)/yes。


**Port**  
指定连接远程主机的哪个端口，22(default)。


**ProxyCommand**  
指定连接的服务器需要执行的命令。%h，%p，%r


如：ProxyCommand /usr/bin/nc -X connect -x 192.0.2.0:8080 %h %p


**User**  
登录用户名




### 相关技巧


#### 管理多组密钥对
有时候你会针对多个服务器有不同的密钥对，每次通过指定 `-i` 参数也是非常的不方便。比如你使用 github 和 coding。那么你需要添加如下配置到 `~/.ssh/config`：

Host github
    HostName %h.com
    IdentityFile ~/.ssh/id_ecdsa_github
    User git
Host coding
    HostName git.coding.net
    IdentityFile ~/.ssh/id_rsa_coding
    User git

当你克隆 coding 上的某个仓库时：
```
# 原来
$ git clone [email protected]:deepzz/test.git


# 现在
$ git clone coding:deepzz/test.git
```


#### vim 访问远程文件
vim 可以直接编辑远程服务器上的文件：
```
$ vim scp://example/docker-compose.yml
```


#### 远程服务当本地用
通过 LocalForward 将本地端口上的数据流量通过 ssh 转发到远程主机的指定端口。感觉你是使用的本地服务，其实你使用的远程服务。如远程服务器上运行着 MySQL，端口 3306（未暴露端口给外部）。那么，你可以：

Host db
    HostName db.example.com
    LocalForward 3306 localhost:3306

当你连接远程主机时，它会在本地打开一个 3306 端口，并将该端口的流量通过 ssh 转发到远程服务器上的 3306 端口.

如果参数 GatewayPorts 指定为 yes ,则其他机器可以通过客户机的 3306 端口访问远程服务器的 3306 端口.



#### 多连接共享
什么是多连接共享？在你打开多个 shell 窗口时需要连接同一台服务器，如果你不想每次都输入用户名，密码，或是等待连接建立，那么你需要添加如下配置到 `~/.ssh/config`：

ControlMaster auto
ControlPath /tmp/%r@%h:%p

#### 禁用密码登录
如果你对服务器安全要求很高，那么禁用密码登录是必须的。因为使用密码登录服务器容易受到暴力破解的攻击，有一定的安全隐患。那么你需要编辑服务器的系统配置文件 `/etc/ssh/sshd_config`：

PasswordAuthentication no
ChallengeResponseAuthentication no

#### 代理登录
有的时候你可能没法直接登录到某台服务器，而需要使用一台中间服务器进行中转，如公司内网服务器。首先确保你已经为服务器配置了公钥访问，并开启了agent forwarding，那么你需要添加如下配置到 `~/.ssh/config`：

Host gateway
    HostName proxy.example.com
    User root
Host db
    HostName db.internal.example.com                  # 目标服务器地址
    User root                                         # 用户名
    # IdentityFile ~/.ssh/id_ecdsa                    # 认证文件
    ProxyCommand ssh gateway netcat -q 600 %h %p      # 代理命令

那么你现在可以使用 `$ ssh db` 连接了。