1、创建私有CA并进行证书申请。
建立私有CA及办法证书步骤：
1、创建所需要的文件
touch /etc/pki/CA/index.txt #生成证书索引数据库文件
echo 01 > /etc/pki/CA/serial #指定第一个颁发证书的序列号
2、 CA生成签名私钥
cd /etc/pki/CA/
(umask 066; openssl genrsa -out private/cakey.pem 2048)
3、CA生成自签名证书
openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -days 3650 -out /etc/pki/CA/cacert.pem
4、在需要申请证书的主机
①生成证书申请的签名私钥
(umask 066; openssl genrsa -out /data/test.key 2048)
②生成证书申请文件
openssl req -new -key /data/test.key -out /data/test.csr
5、将证书请求文件传输给CA
6、CA签署证书，并将证书颁发给请求者
openssl ca -in /tmp/test.csr -out /etc/pki/CA/certs/test.crt -days 100
（注意：默认要求 国家，省，公司名称三项必须和CA一致）
查看证书中的信息：
openssl x509 -in /PATH/FROM/CERT_FILE -noout -text|issuer|subject|serial|dates
openssl ca -status SERIAL 查看指定编号的证书状态
吊销证书步骤
1、在客户端获取要吊销的证书的serial
openssl x509 -in /PATH/FROM/CERT_FILE -noout -serial -subject
2、在CA上，根据客户提交的serial与subject信息，对比检验是否与index.txt文件中的信息一致
3、吊销证书：
openssl ca -revoke /etc/pki/CA/newcerts/SERIAL.pem
4、指定第一个吊销证书的编号,注意：第一次更新证书吊销列表前，才需要执行
echo 01 > /etc/pki/CA/crlnumber
5、更新证书吊销列表
openssl ca -gencrl -out /etc/pki/CA/crl.pem
查看crl文件：
openssl crl -in /etc/pki/CA/crl.pem -noout -text
2、总结ssh常用参数、用法
1、连接到远程主机：
命令格式 ：
ssh name@remoteserver 或者
ssh remoteserver -l name
说明：以上两种方式都可以远程登录到远程主机，server代表远程主机，name为登录远程主机的用户名。
2、连接到远程主机指定的端口：
命令格式：
ssh name@remoteserver -p 2222 或者
ssh remoteserver -l name -p 2222
说明：p 参数指定端口号，通常在路由里做端口映射时，我们不会把22端口直接映射出去，而是转换成其他端口号，这时就需要使用-p端口号命令格式。
3、通过远程主机1跳到远程主机2：
命令格式：
ssh -t remoteserver1 ssh remoteserver2
说明：当远程主机remoteserver2无法直接到达时，可以使用-t参数，然后由remoteserver1跳转到remoteserver2。在此过程中要先输入remoteserver1的密码，然后再输入remoteserver2的密码，然后就可以操作remoteserver2了。
4、通过SSH运行远程shell命令：
命令格式：
ssh -l name remoteserver ‘command’
说明：连接到远程主机，并执行远程主机的command命令。例如：查看远程主机的内存使用情况。
$ ssh -l root 192.168.1.100 svmon -G
5、修改SSH监听端口：
默认情况下，SSH监听连接端口22，攻击者使用端口扫描软件就可以看到主机是否运行有SSH服务，将SSH端口修改为大于1024的端口是一个明智的选择，因为大多数端口扫描软件（包括nmap）默认情况都不扫描高位端口。打开/etc/ssh/sshd_config文件并查找下面这样的行：
Port 22
去掉该行前面的# 号，然后修改端口号并重新启动SSH服务：
$ /etc/init.d/ssh restart
6、仅允许SSH协议版本2：
有两个SSH协议版本，仅使用SSH协议版本2会更安全，SSH协议版本1有安全问题，包括中间人攻击（man-in-the-middle）和注入（insertion）攻击。编辑/etc/ssh/sshd_config文件并查找下面这样的行：
# Protocol 2，1
修改为
Protocol 2
7、禁止root用户登录：
通常情况下，不采用直接用root用户登录到远程主机，由于root用户拥有超级权限，这样会带来安全隐患，所以，一般我们用普通用户登录，当需要管理远程主机时，再切换到root用户下。打开/etc/ssh/sshd_config文件并查找下面这样的行：
#PermitRootLogin yes
将#号去掉，然后将yes修改成no，重启ssh服务，这样就可以禁止root用户登录。
8、设置登录时提示信息
首先编辑一个文件，如bannertest.txt，文件内容自行定义。然后打开/etc/ssh/sshd_config文件并查找下面这样的行：
#Banner /some/path
将#号去掉，然后将bannertest.txt文件的全路径替换/some/path，然后保存，重启ssh服务。当客户端登录时，就会看到bannertest.txt文件中的提示信息。
9、进行端口映射：
假如公司内网有台web服务器，但是只对内不对外，这样，外网就无法访问，可以用ssh进行端口映射来实现外网访问内网的web服务器。假如web服务器名为webserver，webserver可以用ssh访问到远端主机remoteserver，登录到webserver，然后用下面命令进行映射
命令格式：
ssh -R 3000:localhost:80 remoteserver
执行完成后，在remoteserver机器上，执行netstat -an | grep 3000，查看有没有开通3000端口。并执行以下命令观察是否可以打开webserver上的网页
$ w3m http://127.0.0.1:3000
如果能打开界面，说明映射成功.但是，这只限于本机访问web服务器，即只能remoteserver机器访问webserver。因为3000端口绑定的是remoteserver机器的127.0.0.1端口。可以编辑remoteserver机器上的/etc/ssh/sshd_config文件并添加如下内容：
添加 GatewayPorts yes 内容，把监听端口3000绑定到 0.0.0.0 地址上，这样外部的所有机器都能访问到这个监听端口，然后保存退出。并重启ssh服务。完成后其它机器就可以在浏览器中输入 http://remoteserver:3000来访问webserver了。
3、总结sshd服务常用参数。
作用： SSHD 服务用户远程主机连接、主机间文件互传,
protocal:ssh(secure shell)安全壳协议
Description :
SSH (Secure SHell) is a program for logging into and executing
commands on a remote machine. SSH is intended to replace rlogin and
rsh, and to provide secure encrypted communications between two
untrusted hosts over an insecure network. X11 connections and
arbitrary TCP/IP ports can also be forwarded over the secure channel.
默认端口：22
配置文件：
/etc/ssh/ssh_config 客户端配置文件
/etc/ssh/ sshd_config 服务端配置文件
一般只需改服务器端配置文件
配置文件常用修改项：
13 #Port 22 端口，ssh默认是22，安全考虑可以修改默认端口号；
可添加一行设置多端口监听
15 #ListenAddress 0.0.0.0 监听地址：默认监听所有ip地址
16 #ListenAddress :: ipv6表示形式，监听所有地址
可以添加一个新的网卡，设置新的ip地址，将其设置为监听地址，则客户端只能连接新的ip
21 Protocol 2 默认支持2版本，若要支持1版本，只需在2后面加，1即可
26 #HostKey /etc/ssh/ssh_host_rsa_key 无交互登录密钥加密方式，默认为rsa
27 #HostKey /etc/ssh/ssh_host_dsa_key
31 #ServerKeyBits 1024 加密密钥长度
36 SyslogFacility AUTHPRIV 日志记录位置：可查看 /etc/rsyslog.conf 中的配置，默认是
所以，ssh日志默认记录在 /var/log/secure
37 #LogLevel INFO 记录INFO及以上级别的日志信息
41 #LoginGraceTime 2m ssh连接等待密码输入时间，默认2分钟没输入密码连接中断
42 #PermitRootLogin yes 允许root用户ssh连接，安全考虑，设为no
47 #RSAAuthentication yes rsa密钥验证
64 #PasswordAuthentication yes 密码验证，yes
65 #PermitEmptyPasswords no 允许空密码登录，不用许
81 GSSAPIAuthentication yes 内网可关闭已提高连接速度
112 #PrintMotd yes 连接时打印/etc/motd中的内容
113 #PrintLastLog yes 连接时显示用户上次登录日志信息
116 #UsePrivilegeSeparation yes 开启时，非root用户登录将创建非root用户的进程，利于系统安全
122 #UseDNS yes 验证dns,关闭后可提高连接速度
123 #PidFile /var/run/sshd.pid sshd服务的pid
