Управління доступом до сервера через SSH

Управління доступом до сервера через SSH

Управління доступом до сервера через SSH (Secure Shell) — це наріжний камінь безпеки будь-якої віддаленої інфраструктури. Воно здійснюється шляхом ретельного налаштування автентифікаційних механізмів і конфігураційних параметрів самого демона SSH (sshd) на сервері, а також правильного використання клієнтських утиліт. Наше головне завдання — забезпечити надійний, криптографічно захищений зв'язок і суворий контроль над тим, хто може отримати командний рядок на віддаленій машині. Це досягається переважно за рахунок використання SSH-ключів замість паролів, а також шляхом посилення налаштувань SSH-сервера, таких як відключення входу для root-користувача, зміна стандартного порту та застосування додаткових засобів моніторингу та захисту. У цій статті ми, команда Valebyte, поділимося перевіреними практиками, які допоможуть вам побудувати міцну лінію оборони для ваших серверів.

Чому SSH — наш головний інструмент?

Для тих, хто працює з серверами кожен день, SSH не потребує представлення. Це не просто спосіб підключитися до віддаленої машини, а цілий протокол, що забезпечує:

• Конфіденційність: Весь трафік між клієнтом і сервером шифрується, захищаючи дані від перехоплення.
• Цілісність: SSH гарантує, що передані дані не були змінені в дорозі.
• Автентифікація: Сервер перевіряє справжність клієнта, а клієнт може перевірити справжність сервера, запобігаючи атакам типу "людина посередині".

Основа безпеки: SSH-ключі замість паролів

Якщо ви досі використовуєте паролі для SSH-доступу, колеги, прийшов час переглянути цей підхід. Парольна автентифікація вразлива для брутфорс-атак і фішингу. SSH-ключі, навпаки, пропонують набагато вищий рівень безпеки. Вони являють собою пару:

• Приватний ключ (Private Key): Зберігається строго на вашому локальному комп'ютері і НІКОЛИ не покидає його. Він повинен бути захищений парольною фразою (passphrase).
• Публічний ключ (Public Key): Розміщується на сервері, до якого ви хочете отримати доступ. Його можна вільно поширювати.

Генерація SSH-ключів

Для створення пари ключів використовуйте команду ssh-keygen. Ми рекомендуємо використовувати алгоритм Ed25519 як більш сучасний і ефективний, але RSA з довжиною ключа 4096 біт також є хорошим вибором.

ssh-keygen -t ed25519 -C "ваша_почта@example.com"

В процесі генерації вам буде запропоновано зберегти ключ в певному файлі (за замовчуванням ~/.ssh/id_ed25519) і ввести парольну фразу. Обов'язково використовуйте надійну парольну фразу! Це додатковий рівень захисту вашого приватного ключа на випадок, якщо хтось отримає до нього доступ.

Після генерації у вас з'явиться два файли в директорії ~/.ssh/:

• id_ed25519 (ваш приватний ключ)
• id_ed25519.pub (ваш публічний ключ)

Розміщення публічного ключа на сервері

Найпростіший і безпечний спосіб додати ваш публічний ключ на сервер — це використовувати утиліту ssh-copy-id:

ssh-copy-id -i ~/.ssh/id_ed25519.pub user@your_server_ip

Ця команда скопіює ваш публічний ключ на віддалений сервер в файл ~/.ssh/authorized_keys користувача user і автоматично встановить правильні права доступу. Якщо ssh-copy-id недоступна або ви віддаєте перевагу ручному методу, ось як це зробити:

1. Скопіюйте вміст вашого публічного ключа:

   
   cat ~/.ssh/id_ed25519.pub
           

2. Підключіться до серверу по SSH (якщо це перше підключення, можливо, доведеться використовувати пароль).
3. Створіть директорію .ssh, якщо її немає, і встановіть правильні права:

   
   mkdir -p ~/.ssh
   chmod 700 ~/.ssh
           

4. Додайте ваш публічний ключ в файл authorized_keys:

   
   echo "СОДЕРЖИМОЕ_ВАШЕГО_ПУБЛИЧНОГО_КЛЮЧА" >> ~/.ssh/authorized_keys
   chmod 600 ~/.ssh/authorized_keys
           

   Важливо: Замініть "СОДЕРЖИМОЕ_ВАШЕГО_ПУБЛИЧНОГО_КЛЮЧА" на вивід команди cat ~/.ssh/id_ed25519.pub. Переконайтеся, що права доступу для ~/.ssh встановлені в 700, а для ~/.ssh/authorized_keys — в 600. Неправильні права доступу можуть перешкодити автентифікації.

Управління кількома SSH-ключами і хостами через ~/.ssh/config

Для системних адміністраторів, що працюють з десятками, а то і сотнями серверів, ручне вказання ключів і користувачів для кожного підключення швидко стає стомлюючим. Тут на допомогу приходить файл конфігурації SSH-клієнта ~/.ssh/config.

Приклад файлу ~/.ssh/config:

Host valeserver-dev
    HostName 192.168.1.100
    User devuser
    IdentityFile ~/.ssh/id_ed25519_dev
    Port 2222
    # StrictHostKeyChecking no # Не рекомендуется для продакшена!

Host valeserver-prod
    HostName prod.valebyte.com
    User admin
    IdentityFile ~/.ssh/id_rsa_prod
    ForwardAgent yes # Подробнее об этом ниже

Host *
    User defaultuser
    Port 22
    ServerAliveInterval 60
    AddKeysToAgent yes
    IdentitiesOnly yes

Тепер ви можете просто набрати ssh valeserver-dev або ssh valeserver-prod, і SSH-клієнт автоматично підставить всі необхідні параметри. Директива Host * застосовує налаштування за замовчуванням для всіх хостів, якщо вони не переопределені більш специфічними правилами.

Посилюємо налаштування SSH-сервера (sshd_config)

Після того, як ви успішно налаштували доступ по ключам, прийшов час затягнути гайки на стороні сервера. Основний конфігураційний файл SSH-демона — це /etc/ssh/sshd_config. Завжди робіть резервну копію цього файлу перед внесенням змін!