573 lines
15 KiB
Markdown
573 lines
15 KiB
Markdown
# CentOS 9 创建仅密钥登录用户并设置 IP 白名单笔记
|
||
|
||
本文档记录了在 **CentOS 9** 系统上创建用户 `swdata`，配置仅允许 SSH 密钥登录，并设置来源 IP 白名单的完整步骤。
|
||
|
||
---
|
||
|
||
## 1. 创建新用户
|
||
|
||
```bash
|
||
# 创建用户 swdata，并禁用密码登录（--disabled-password 在 CentOS 中需使用 passwd -l 或创建时不设密码）
|
||
sudo useradd -m -s /bin/bash swdata
|
||
# 或者直接创建后锁定密码（确保无法通过密码登录）
|
||
sudo passwd -l swdata
|
||
```
|
||
|
||
> **说明**：`-m` 创建家目录，`-s` 指定登录 Shell。
|
||
|
||
## 2. 配置 SSH 密钥登录
|
||
|
||
### 2.1 在客户端生成密钥对（如尚未有）
|
||
|
||
```bash
|
||
# 在本地客户端生成 ed25519 密钥对（推荐）
|
||
ssh-keygen -t ed25519 -N "" -f ~/.ssh/id_ed25519
|
||
```
|
||
|
||
### 2.2 将公钥添加到服务器对应用户的 `authorized_keys`
|
||
|
||
```bash
|
||
# 方法一：使用 ssh-copy-id（需临时开启密码登录或已有其他认证方式）
|
||
ssh-copy-id -i ~/.ssh/id_ed25519.pub -p 22 swdata@服务器IP
|
||
|
||
# 方法二：手动复制
|
||
# 将本地 ~/.ssh/id_ed25519.pub 内容粘贴到服务器的 /home/swdata/.ssh/authorized_keys
|
||
```
|
||
|
||
### 2.3 设置正确的权限
|
||
|
||
```bash
|
||
sudo -u swdata mkdir -p /home/swdata/.ssh
|
||
sudo -u swdata chmod 700 /home/swdata/.ssh
|
||
sudo -u swdata touch /home/swdata/.ssh/authorized_keys
|
||
sudo -u swdata chmod 600 /home/swdata/.ssh/authorized_keys
|
||
# 编辑 authorized_keys，粘贴公钥内容
|
||
```
|
||
|
||
## 3. 配置 SSH 服务（白名单与密钥登录）
|
||
|
||
编辑 SSH 配置文件 `/etc/ssh/sshd_config`：
|
||
|
||
```bash
|
||
sudo vi /etc/ssh/sshd_config
|
||
```
|
||
|
||
添加或修改以下内容：
|
||
|
||
```ini
|
||
# 全局设置（可根据需要调整）
|
||
PubkeyAuthentication yes
|
||
PasswordAuthentication no # 禁用密码登录（可选，若仅部分用户禁用则使用 Match 块）
|
||
|
||
# 在文件末尾添加以下内容
|
||
|
||
# swdata用户配置 - 只允许密钥登录，并且设置白名单IP
|
||
Match User swdata
|
||
PasswordAuthentication no
|
||
PubkeyAuthentication yes
|
||
# 允许的IP列表，例如：
|
||
AllowUsers swdata@192.168.1.* swdata@10.0.0.*
|
||
# 或者使用CIDR格式：
|
||
# AllowUsers swdata@192.168.1.0/24 swdata@10.0.0.0/8
|
||
# 如果你有特定公网IP：
|
||
# AllowUsers swdata@123.45.67.89
|
||
|
||
# 其他用户的配置 - 只允许内网登录
|
||
Match User *,!swdata
|
||
PasswordAuthentication yes # 或者改为no来禁用密码
|
||
AllowUsers *@192.168.1.0/24 *@10.0.0.0/8
|
||
# 如果需要完全禁止其他用户远程登录：
|
||
# DenyUsers *
|
||
```
|
||
|
||
> **注意**：`AllowUsers` 的格式为 `user@host`，`host` 可以是 IP、网段（CIDR）或域名。如果希望允许所有来源但仅限密钥登录，可以省略 `AllowUsers` 只保留 `PasswordAuthentication no`。
|
||
|
||
## 4. 重启 SSH 服务
|
||
|
||
```bash
|
||
sudo systemctl restart sshd
|
||
```
|
||
|
||
检查 SSH 服务状态：
|
||
|
||
```bash
|
||
sudo systemctl status sshd
|
||
```
|
||
|
||
## 5. 测试登录
|
||
|
||
### 5.1 从允许的 IP 测试
|
||
|
||
```bash
|
||
ssh -i ~/.ssh/id_ed25519 -p 22 swdata@服务器IP
|
||
```
|
||
|
||
预期：无需密码直接登录成功。
|
||
|
||
### 5.2 从非白名单 IP 测试
|
||
|
||
预期：连接被拒绝（`Permission denied` 或超时）。
|
||
|
||
### 5.3 验证密码登录是否被禁用
|
||
|
||
```bash
|
||
ssh -o PubkeyAuthentication=no -o PreferredAuthentications=password swdata@服务器IP
|
||
```
|
||
|
||
预期：提示 `Permission denied (publickey)`，即使密码正确也无法登录。
|
||
|
||
## 6. 查看 SSH 登录日志（调试用）
|
||
|
||
```bash
|
||
# 查看实时日志
|
||
sudo journalctl -u sshd -f
|
||
|
||
# 或查看历史认证记录
|
||
sudo grep "sshd" /var/log/secure
|
||
```
|
||
|
||
## 7. 额外安全建议
|
||
|
||
- **修改 SSH 默认端口**（可选）：在 `/etc/ssh/sshd_config` 中修改 `Port` 值，并更新防火墙规则。
|
||
- **使用防火墙限制端口访问**（结合白名单）：
|
||
```bash
|
||
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="22" protocol="tcp" accept'
|
||
sudo firewall-cmd --reload
|
||
```
|
||
- **禁用 root 远程登录**：设置 `PermitRootLogin no`。
|
||
- **启用 SSH 日志审计**：确保 `LogLevel INFO` 已启用。
|
||
|
||
---
|
||
|
||
**注意事项**：
|
||
- 修改 `sshd_config` 前建议备份：`sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak`
|
||
- 每次修改后务必用 `sudo sshd -t` 检查语法，再重启服务。
|
||
- 如果使用防火墙，确保允许白名单 IP 访问 SSH 端口。
|
||
|
||
---
|
||
---
|
||
# 完整的KR数据实时同步方案
|
||
|
||
## 1. 创建同步脚本
|
||
|
||
### 创建脚本文件 `/usr/local/bin/kr_data_sync.sh`：
|
||
|
||
```bash
|
||
#!/bin/bash
|
||
|
||
# ============================================
|
||
# KR数据实时同步脚本
|
||
# 监控指定日期目录的变化并同步到目标机器
|
||
# ============================================
|
||
|
||
# 日志配置
|
||
LOG_DIR="/var/log/kr_data_sync"
|
||
LOG_FILE="$LOG_DIR/sync_$(date +%Y%m%d).log"
|
||
|
||
# 源目录配置
|
||
SRC_BASE="/home/sysop/kr_md_save_centos7_9_v4/data/stockdata"
|
||
|
||
# 目标配置（通过路由器端口映射）
|
||
DEST_HOST="swdata@119.167.194.234"
|
||
DEST_PORT="60000"
|
||
DEST_BASE="/mnt/data1/data_new/data/stockdata"
|
||
|
||
# SSH配置
|
||
SSH_OPTS="-o ConnectTimeout=10 -o BatchMode=yes -o StrictHostKeyChecking=no -o ConnectTimeout=30 -o ServerAliveInterval=60 -o ServerAliveCountMax=3"
|
||
|
||
# 确保日志目录存在
|
||
mkdir -p $LOG_DIR
|
||
|
||
# 日志函数
|
||
log_info() {
|
||
echo "$(date '+%Y-%m-%d %H:%M:%S') [INFO] $1" >> $LOG_FILE
|
||
echo "$1"
|
||
}
|
||
|
||
log_error() {
|
||
echo "$(date '+%Y-%m-%d %H:%M:%S') [ERROR] $1" >> $LOG_FILE
|
||
echo "$1"
|
||
}
|
||
|
||
# 获取当天日期目录
|
||
get_current_date_dir() {
|
||
echo $(date +%Y%m%d)
|
||
}
|
||
|
||
# 检查SSH连接
|
||
check_ssh_connection() {
|
||
log_info "检查SSH连接到目标服务器..."
|
||
|
||
if ssh -p $DEST_PORT $SSH_OPTS $DEST_HOST "echo 'SSH连接测试成功'" 2>/dev/null; then
|
||
log_info "SSH连接正常"
|
||
return 0
|
||
else
|
||
log_error "SSH连接失败"
|
||
return 1
|
||
fi
|
||
}
|
||
|
||
# 执行同步
|
||
perform_sync() {
|
||
local src_dir="$1"
|
||
local dest_dir="$2"
|
||
|
||
if [ ! -d "$src_dir" ]; then
|
||
log_error "源目录不存在: $src_dir"
|
||
return 1
|
||
fi
|
||
|
||
log_info "开始同步: $src_dir -> $dest_dir"
|
||
|
||
# 使用rsync同步，通过指定端口连接
|
||
rsync -avz --progress --delete \
|
||
-e "ssh -p $DEST_PORT $SSH_OPTS" \
|
||
"$src_dir/" \
|
||
"$DEST_HOST:$dest_dir/" 2>&1 | while read line; do
|
||
echo "$(date '+%Y-%m-%d %H:%M:%S') [SYNC] $line" >> $LOG_FILE
|
||
echo "$line"
|
||
done
|
||
|
||
local sync_result=${PIPESTATUS[0]}
|
||
|
||
if [ $sync_result -eq 0 ]; then
|
||
log_info "同步完成: $src_dir"
|
||
else
|
||
log_error "同步失败: $src_dir (退出码: $sync_result)"
|
||
fi
|
||
|
||
return $sync_result
|
||
}
|
||
|
||
# 主函数
|
||
main() {
|
||
log_info "========== KR数据同步服务启动 =========="
|
||
log_info "当前日期: $(date)"
|
||
log_info "源目录: $SRC_BASE"
|
||
log_info "目标主机: $DEST_HOST:$DEST_PORT"
|
||
log_info "目标目录: $DEST_BASE"
|
||
|
||
# 检查依赖
|
||
if ! command -v rsync &> /dev/null; then
|
||
log_error "未找到 rsync，请安装: yum install rsync"
|
||
exit 1
|
||
fi
|
||
|
||
# 检查SSH密钥认证
|
||
if [ ! -f ~/.ssh/id_rsa ]; then
|
||
log_error "未找到SSH私钥 ~/.ssh/id_rsa"
|
||
exit 1
|
||
fi
|
||
|
||
# 检查SSH连接
|
||
if ! check_ssh_connection; then
|
||
log_error "SSH连接检查失败"
|
||
exit 1
|
||
fi
|
||
|
||
# 设置信号处理
|
||
trap 'log_info "接收到终止信号，退出监控"; exit 0' SIGINT SIGTERM
|
||
|
||
# 主监控循环
|
||
while true; do
|
||
current_date=$(get_current_date_dir)
|
||
src_dir="$SRC_BASE/$current_date"
|
||
|
||
log_info "检查目录: $src_dir"
|
||
|
||
# 检查源目录是否存在
|
||
if [ ! -d "$src_dir" ]; then
|
||
log_info "目录不存在，等待创建..."
|
||
sleep 60
|
||
continue
|
||
fi
|
||
|
||
log_info "开始监控目录: $src_dir"
|
||
|
||
# 初始同步
|
||
perform_sync "$src_dir" "$DEST_BASE/$current_date"
|
||
|
||
# 检查inotifywait是否存在
|
||
if command -v inotifywait &> /dev/null; then
|
||
# 使用inotifywait监控
|
||
inotifywait -m -r -e create,close_write,moved_to,delete \
|
||
--timefmt '%Y-%m-%d %H:%M:%S' \
|
||
--format '%T %w%f %e' \
|
||
"$src_dir" 2>/dev/null | while read datetime filepath event
|
||
do
|
||
# 过滤临时文件
|
||
if [[ "$filepath" =~ \.(tmp|swp|part)$ ]] || [[ "$filepath" =~ ~$ ]]; then
|
||
continue
|
||
fi
|
||
|
||
log_info "检测到变化: $filepath (事件: $event)"
|
||
|
||
# 延迟2秒避免频繁同步
|
||
sleep 2
|
||
perform_sync "$src_dir" "$DEST_BASE/$current_date"
|
||
done
|
||
else
|
||
# 轮询方式监控
|
||
log_info "inotifywait未安装，使用轮询方式（每30秒检查一次）"
|
||
local last_check=""
|
||
while true; do
|
||
# 检查目录是否存在
|
||
if [ ! -d "$src_dir" ]; then
|
||
log_info "目录消失，返回主循环"
|
||
break
|
||
fi
|
||
|
||
# 检查是否有新文件或修改
|
||
current_check=$(find "$src_dir" -type f -name "*.csv" -exec stat -c "%Y %n" {} + 2>/dev/null | sort | tail -5)
|
||
if [ "$current_check" != "$last_check" ]; then
|
||
log_info "检测到文件变化，开始同步..."
|
||
perform_sync "$src_dir" "$DEST_BASE/$current_date"
|
||
last_check="$current_check"
|
||
fi
|
||
|
||
sleep 30
|
||
done
|
||
fi
|
||
|
||
log_info "监控退出，等待30秒后重新检查..."
|
||
sleep 30
|
||
done
|
||
}
|
||
|
||
# 执行主函数
|
||
main
|
||
```
|
||
|
||
### 给脚本执行权限：
|
||
```bash
|
||
sudo chmod +x /usr/local/bin/kr_data_sync.sh
|
||
```
|
||
|
||
## 2. 安装依赖（CentOS 7）
|
||
|
||
### 在线安装依赖：
|
||
```bash
|
||
# 安装rsync（必须）
|
||
sudo yum install -y rsync
|
||
|
||
# 安装inotify-tools（可选，但推荐）
|
||
sudo yum install -y inotify-tools
|
||
|
||
# 安装bc（用于计算文件大小，可选）
|
||
sudo yum install -y bc
|
||
```
|
||
|
||
### 离线安装inotify-tools：
|
||
如果有网络可以下载RPM包，然后在离线机器安装：
|
||
|
||
```bash
|
||
# 在有网络的机器上下载包：
|
||
yum install --downloadonly --downloaddir=./inotify-packages inotify-tools
|
||
|
||
# 将下载的RPM包复制到目标机器，然后安装：
|
||
sudo rpm -ivh inotify-packages/*.rpm
|
||
```
|
||
|
||
## 3. 配置SSH免密登录
|
||
|
||
```bash
|
||
# 1. 生成SSH密钥（如果没有）
|
||
ssh-keygen -t rsa -N "" -f ~/.ssh/id_rsa
|
||
|
||
# 2. 复制公钥到目标机器
|
||
ssh-copy-id -p 60000 swdata@119.167.194.234
|
||
|
||
# 3. 测试连接
|
||
ssh -p 60000 swdata@119.167.194.234 "echo '连接成功'"
|
||
```
|
||
|
||
## 4. 创建Systemd服务
|
||
|
||
### 创建服务文件 `/etc/systemd/system/kr-data-sync.service`：
|
||
```bash
|
||
sudo tee /etc/systemd/system/kr-data-sync.service << 'EOF'
|
||
[Unit]
|
||
Description=KR Data Real-time Sync Service
|
||
After=network.target
|
||
Wants=network-online.target
|
||
After=network-online.target
|
||
|
||
[Service]
|
||
Type=simple
|
||
User=sysop
|
||
Group=sysop
|
||
WorkingDirectory=/home/sysop
|
||
ExecStart=/usr/local/bin/kr_data_sync.sh
|
||
Restart=on-failure
|
||
RestartSec=10
|
||
StartLimitInterval=60
|
||
StartLimitBurst=5
|
||
|
||
# 日志配置
|
||
StandardOutput=append:/var/log/kr_data_sync/service.log
|
||
StandardError=append:/var/log/kr_data_sync/error.log
|
||
|
||
# 安全设置
|
||
NoNewPrivileges=true
|
||
PrivateTmp=true
|
||
ProtectSystem=strict
|
||
ReadWritePaths=/var/log/kr_data_sync /tmp /home/sysop/kr_md_save_centos7_9_v4/data/stockdata
|
||
|
||
[Install]
|
||
WantedBy=multi-user.target
|
||
EOF
|
||
```
|
||
|
||
### 创建日志目录：
|
||
```bash
|
||
sudo mkdir -p /var/log/kr_data_sync
|
||
sudo chown -R sysop:sysop /var/log/kr_data_sync
|
||
sudo chmod 755 /var/log/kr_data_sync
|
||
```
|
||
|
||
## 5. 启用和启动服务
|
||
|
||
```bash
|
||
# 重载systemd配置
|
||
sudo systemctl daemon-reload
|
||
|
||
# 启用服务（开机自启）
|
||
sudo systemctl enable kr-data-sync.service
|
||
|
||
# 启动服务
|
||
sudo systemctl start kr-data-sync.service
|
||
|
||
# 查看服务状态
|
||
sudo systemctl status kr-data-sync.service
|
||
|
||
# 查看服务日志
|
||
sudo journalctl -u kr-data-sync.service -f
|
||
```
|
||
|
||
## 6. 配置计划任务（每天重启服务）
|
||
|
||
```bash
|
||
# 编辑crontab
|
||
crontab -e
|
||
|
||
# 添加以下内容（每天凌晨00:10重启服务）
|
||
10 0 * * * /bin/systemctl restart kr-data-sync.service
|
||
|
||
# 也可以添加日志轮转（可选）
|
||
0 0 * * * find /var/log/kr_data_sync -name "sync_*.log" -mtime +7 -delete
|
||
```
|
||
|
||
## 7. 测试和验证
|
||
|
||
### 测试脚本：
|
||
```bash
|
||
# 手动运行脚本测试
|
||
/usr/local/bin/kr_data_sync.sh
|
||
|
||
# 在另一个终端创建测试目录和文件
|
||
mkdir -p /home/sysop/kr_md_save_centos7_9_v4/data/stockdata/$(date +%Y%m%d)
|
||
touch /home/sysop/kr_md_save_centos7_9_v4/data/stockdata/$(date +%Y%m%d)/test.csv
|
||
```
|
||
|
||
### 查看同步状态：
|
||
```bash
|
||
# 查看服务状态
|
||
sudo systemctl status kr-data-sync.service
|
||
|
||
# 查看同步日志
|
||
tail -f /var/log/kr_data_sync/sync_$(date +%Y%m%d).log
|
||
|
||
# 查看进程
|
||
ps aux | grep kr_data_sync
|
||
|
||
# 查看SSH连接
|
||
ss -tnp | grep 60000
|
||
```
|
||
|
||
## 8. 监控和管理命令
|
||
|
||
```bash
|
||
# 查看服务状态
|
||
sudo systemctl status kr-data-sync.service
|
||
|
||
# 重启服务
|
||
sudo systemctl restart kr-data-sync.service
|
||
|
||
# 停止服务
|
||
sudo systemctl stop kr-data-sync.service
|
||
|
||
# 查看实时日志
|
||
sudo journalctl -u kr-data-sync.service -f
|
||
|
||
# 查看今天的所有日志
|
||
cat /var/log/kr_data_sync/sync_$(date +%Y%m%d).log
|
||
|
||
# 检查同步的文件
|
||
ls -la /home/sysop/kr_md_save_centos7_9_v4/data/stockdata/$(date +%Y%m%d)/
|
||
|
||
# 测试SSH连接
|
||
ssh -p 60000 swdata@119.167.194.234 "ls -la /mnt/data1/data_new/data/stockdata/$(date +%Y%m%d)/"
|
||
```
|
||
|
||
## 9. 故障排查
|
||
|
||
```bash
|
||
# 1. 检查SSH连接
|
||
ssh -p 60000 -v swdata@119.167.194.234 "echo test"
|
||
|
||
# 2. 检查脚本语法
|
||
bash -n /usr/local/bin/kr_data_sync.sh
|
||
|
||
# 3. 检查文件权限
|
||
ls -la /usr/local/bin/kr_data_sync.sh
|
||
ls -la ~/.ssh/id_rsa
|
||
|
||
# 4. 检查依赖
|
||
which rsync
|
||
which inotifywait
|
||
|
||
# 5. 手动运行调试
|
||
bash -x /usr/local/bin/kr_data_sync.sh 2>&1 | head -50
|
||
```
|
||
|
||
## 10. 卸载/清理
|
||
|
||
如果需要卸载服务：
|
||
|
||
```bash
|
||
# 停止服务
|
||
sudo systemctl stop kr-data-sync.service
|
||
|
||
# 禁用服务
|
||
sudo systemctl disable kr-data-sync.service
|
||
|
||
# 删除服务文件
|
||
sudo rm -f /etc/systemd/system/kr-data-sync.service
|
||
|
||
# 删除脚本
|
||
sudo rm -f /usr/local/bin/kr_data_sync.sh
|
||
|
||
# 清理日志
|
||
sudo rm -rf /var/log/kr_data_sync
|
||
|
||
# 重载systemd
|
||
sudo systemctl daemon-reload
|
||
```
|
||
|
||
## 关键点说明
|
||
|
||
1. **SSH连接**：直接通过 `ssh -p 60000 swdata@119.167.194.234` 连接
|
||
2. **日期监控**：自动监控当天日期目录（格式：YYYYMMDD）
|
||
3. **实时同步**：使用inotifywait监控文件变化，实时同步
|
||
4. **计划任务**：每天00:10重启服务，开始监控新的日期目录
|
||
5. **日志管理**：日志按日期分割，方便查看和清理
|
||
6. **错误处理**：包含完善的错误检测和重试机制
|
||
7. **依赖最小化**：只需要rsync，inotify-tools是可选的
|
||
|
||
这样配置后，服务会：
|
||
- 每天自动监控当前日期的目录
|
||
- 检测到新文件时实时同步
|
||
- 每天凌晨自动重启，切换到新的日期目录
|
||
- 通过systemd管理，稳定可靠
|
||
|