这次用一个国内开发者在GitHub上的开源项目https://github.com/yaoweibin/nginx_tcp_proxy_module
我的系统已经安装了最新的Nginx，现在需要下载源代码编译出自己的版本。
wget http://nginx.org/download/nginx-1.5.3.tar.gz tar zxvf nginx-1.5.3.tar.gz
然后获得nginx_tcp_proxy_module的项目：
git clone https://github.com/yaoweibin/nginx_tcp_proxy_module.git
现在给Nginx打补丁
cd nginx-1.5.3/ root@dean-GA-MA790XT-UD4P:/usr/src/nginx-1.5.3# patch -p1 < /usr/src/nginx_tcp_proxy_module/tcp.patch patching file src/core/ngx_log.c Hunk #1 succeeded at 69 (offset 3 lines). patching file src/core/ngx_log.h Hunk #1 succeeded at 30 (offset 1 line). Hunk #2 succeeded at 38 (offset 1 line). patching file src/event/ngx_event_connect.h Hunk #1 succeeded at 33 (offset 1 line). Hunk #2 succeeded at 44 (offset 1 line).
还要安装个ssl库
apt-get install libssl-dev
但是卸载掉自动安装的libstdc++6-4.7-dev， 因为我用的是gcc4.8.1
apt-get autoremove好了，现在配置makefile，首先查看当前系统安装好的Nginx的配置选项：
nginx -V nginx version: nginx/1.5.3 built by gcc 4.7.3 (Ubuntu/Linaro 4.7.3-1ubuntu1) TLS SNI support enabled configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-http_ssl_module --with-http_realip_module --with-http_addition_module --with-http_sub_module --with-http_dav_module --with-http_flv_module --with-http_mp4_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_random_index_module --with-http_secure_link_module --with-http_stub_status_module --with-mail --with-mail_ssl_module --with-file-aio --with-http_spdy_module --with-cc-opt='-g -O2 -fstack-protector --param=ssp-buffer-size=4 -Wformat -Werror=format-security -Wp,-D_FORTIFY_SOURCE=2' --with-ld-opt='-Wl,-Bsymbolic-functions -Wl,-z,relro' --with-ipv6
然后原封不动的使用这些配置参数，但是加上最后一个
--add-module=/usr/src/nginx_tcp_proxy_module
./configure --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-http_ssl_module --with-http_realip_module --with-http_addition_module --with-http_sub_module --with-http_dav_module --with-http_flv_module --with-http_mp4_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_random_index_module --with-http_secure_link_module --with-http_stub_status_module --with-mail --with-mail_ssl_module --with-file-aio --with-http_spdy_module --with-cc-opt='-g -O2 -fstack-protector --param=ssp-buffer-size=4 -Wformat -Werror=format-security -Wp,-D_FORTIFY_SOURCE=2' --with-ld-opt='-Wl,-Bsymbolic-functions -Wl,-z,relro' --with-ipv6 --add-module=/usr/src/nginx_tcp_proxy_module
现在开始编译吧。
make得到的nginx程序位于objs目录. 将nginx服务停掉，并替换之。
service nginx stop mv /usr/sbin/nginx /usr/sbin/nginx_bk /usr/src/nginx-1.5.3/objs# cp nginx /usr/sbin/ service nginx start ps -def | grep nginx root 23479 1 0 23:21 ? 00:00:00 nginx: master process /usr/sbin/nginx -c /etc/nginx/nginx.conf root 23480 23479 0 23:21 ? 00:00:00 nginx: worker process root 23482 13006 0 23:21 pts/0 00:00:00 grep --color=auto nginx
准备钥匙和锁(密钥对)：
$ pwd /Users/test $ ssh-keygen -t dsa -C "$(whoami)@$(hostname),$(date '+%F %T')" -f ./ssh/my_dsa_sshkey参数：
-t: 支持的格式是rsa1, rsa, dsa和ecdsa. OSX 10.8之前的不支持ecdsa.
-f : 用于设定密钥的加密方式，合法的有rsa, dsa和ecdsa
-b: 设定密钥长度, rsa是768到2048之间的数值； dsa只能是1024；ecdsa只能是256, 384 or 521中的一个。
-N: 这就是设置密语暗号(passphrass)，这个的用途是，一旦你的那把钥匙丢了，别人没有你的暗语，也无法使用。
-q: 如果不想看它的提示信息，就加上这个静默选项。
-f: 保存的文件名。
-C: 可以设置一个注释.
$ ssh-keygen -A如果求简单，就是用这一句，自动为每一个加密方式(rsa1, rsa, dsa and ecdsa)，在默认位置(.ssh/)生成默认密钥对文件(identity, id_rsa, id_dsa, id_ecdsa)
查看生成的ssh密钥对：
# display public key-钥匙$ ssh-keygen -e -f .ssh/my_dsa_sshkey---- BEGIN SSH2 PUBLIC KEY ---- Comment: "1024-bit DSA, converted by toliu@W430-275.local from OpenSSH" AAAAB3NzaC1kc3MAAACBAP448yfy/RPzS4vJmVUdAgbhTT7+wAcPVgQM9phZRlVET6S+iy 6IK7w9gVZUYmNsWKCII= ---- END SSH2 PUBLIC KEY ----#display private key－锁$ ssh-keygen -y -f .ssh/my_dsa_sshkeysh-dss AAAAB3NzaC1kc3MAAACBAP448yfy/RPzS4vJmVUdAgbhTT7+wAcPVgQM9phZRlVET6S+iy6IK7w9gVZUYmNsWKCIIVp3Tp35WBdBWzwBlBIKad73oDmskHXzKdhpqBqlTOBXnb5bEShR1GXv41isiDg/uhWjr3yPQQBqQuZtqeGnIgyDsaDCElbH9RzQXQLdAAAAFQCd8b6azLV+cIBHUlhx96s0THzxJwAAAIAXkuFTxQ6Weax8nQA6UGbPUOV1yVpLa6Js/wBZdTzgWJpvtMoVSE/F+5dkzHWYdPh9x1HKCw310GVsvIdmZeh=其实直接用cat来看私有和共有密钥：# it will not show a passphrased private key itself. 有暗号的钥匙不会显示钥匙原貌# if private key without passphras, it will show the private key itself.$ cat .ssh/my_dsa_sshkey----BEGIN DSA PRIVATE KEY----- Proc-Type: 4,ENCRYPTED DEK-Info: AES-128-CBC,5549710C5D9791C4020C7A0FFAA00306 HpvJCObP/tsGpmlBphXc1Kw6DzkZc6KDcEbrvQeB9Q5vsuz9DQvIPaWwKOBomWWN eDZHfVS9CVFkrRW+2mvXaw7uHgMMjQNdKnAdnV5voi5ePjwFF9OMpvS7u9+0zoWO 9fJYX/QB2LS9ijpXf5g4nVN5/6ZrEZ5Z/xeVVAzqn4irH6U7x3qd+RFb8nLf+pRU 4wIoa05eqYLE7BHP7uqe9== -----END DSA PRIVATE KEY-----# show the public key itself－锁 $ cat .ssh/my_dsa_sshkey.pub---- BEGIN SSH2 PUBLIC KEY ---- Comment: "1024-bit DSA, converted by toliu@W430-275.local from OpenSSH" AAAAB3NzaC1kc3MAAACBAP448yfy/RPzS4vJmVUdAgbhTT7+wAcPVgQM9phZRlVET6S+iy 6IK7w9gVZUYmNsWKCII= ---- END SSH2 PUBLIC KEY ----10.8系统的变更-Ref (1)：
$ cat /etc/sshd_config | grep "authorized_keys" # The default is to check both .ssh/authorized_keys and .ssh/authorized_keys2 # but this is overridden so installations will only check .ssh/authorized_keys AuthorizedKeysFile .ssh/authorized_keys在10.6上面现实的是
#RSAAuthentication yes #PubkeyAuthentication yes #AuthorizedKeysFile .ssh/authorized_keys
Ref:(1): Error: “Permission denied > (publickey,gssapi-keyex,gssapi-with-mic,keyboard-interactive)” on Mountain Lion Mountain Lion (10.8)
(2): SSH Keys (简体中文) －En(3): man ssh; man ssh-keygen
(4): LBackup Network Backup Information
(5): Keychain
作者：afatgoat 发表于2013-8-26 2:14:07 原文链接阅读：0 评论：0 查看评论
大家都知道，一个悠久的历史故事，使用SSH密钥对就可以不用密码登陆远程计算机。经典资料也是不少，不过那些资料对新学者可是有点太不象人话了，不好理解。所以本文试图用更人性一点的语言解释，并演示如何在Mac之间实现。
不得已，还得先说说术语。SSH密钥对，说白了就是一对锁和钥匙。密钥对之所以说是"对"，那是因为它是由叫做公有和私有两个密钥组成，而且是一对一的一对，它们最初是由随机产生的一对质数生成的－具体深度的技术细节要牵扯到数学，头大的很。目前来说，针对世界上99.99%的盗贼，基本是不可能破解的，也就是无法通过共有密钥，来反推出私有密钥的内容。总之吧，记住：公有密钥是可以公开给任何人的，而私有密钥是要自己保存好的；所以，把它们当作一把钥匙开一把锁。
通过工具，可以制作一把钥匙(私有密钥)和一把锁(公有密钥)，这个锁只能使用这一把把钥匙打开，在计算机这个可以自由复制的世界里，钥匙和锁都可以复制，如果你好好保管，不把钥匙丢失/公开，那么锁做多少把都无所谓，反正就是这一把钥匙可以开，也就是说，咱可以给要控制的所有计算机都安装这把锁的复制品，那么用这一把钥匙就可以控制这些计算机了。有的时候为了安全，你还可以给这把钥匙加上一个暗号(passphrass)，暗号不对，这把钥匙也没法使用。
计算机系统就如同一座防卫森严的城堡，它的围墙根，有个正门(登录窗口服务)，是让人们正常进入的通道，那儿有个门卫(登陆验证程序)让你出示证件(用户名和密码)；有时，门卫需要打电话给大管家，确认你的身份(网络用户登陆)，因为通行证／路牌可以被盗／泄露，但是城墙内的那个管家只有一个，它认识所有被准许进入的人，管家一看，Ok就是这个人了，门卫才让你进，如果电话故障不通，你也从来没有来过留下指纹，就不让你进；有的时候一看就是本地熟人(本地帐户)，打声招呼欧了，就让你进门去了；而本地熟人这个路数很容易出现问题，门卫可能被收买或者易容术骗过门卫。
为什么要用SSH密钥就可以不用密码登陆其它计算机呢？那是因为，你或者任何有足够权利的人（大管家自己或者大管家的替身）－在那个计算机的一面墙(ssh服务)上，安装了一道门(authorized_keys)，在这个门上安装了锁，这个锁就是你的公有密钥，你拿着自己的那把钥匙-私有密钥，如果这把钥匙设置了暗号，那么在使用钥匙时你先要对上暗号－嘛哩嘛哩哄，打开这把锁，推开门就进去了。另外一个人－如果又足够权限，也可以安装自己的一个门和锁，用自己的钥匙开锁也可以进去。
一般来说，开SSH进去的路，都是区区弯弯的小路，不象正门，大道两旁灯火通明的，有会客室，有大厅，有厢房，人来人往的，你动动嘴就有衙役跟班的帮你四处行走，把事给办了；而SSH的小路，办什么事都要自己亲自去做，比较累，不过有些事情只要是mo men办起来也特别顺利，。
所以，计算机是否安全不能光看墙有多高，布满电网，拉着带刺铁丝网的，看上去挺吓人的。笨的去剪铁丝网，扛着大炮轰(暴力破解)，巧的的找窍门，找到门就好说了。所以是否安全，主要看你墙上有多少门，每个门和门锁是否都足够安全。话说远了。