Klucze SSH zamiast hasła — konfiguracja bez utraty dostępu

Utwórz klucz na własnym komputerze

ssh-keygen -t ed25519 -f ~/.ssh/castpol_ed25519

Ustaw mocną frazę chroniącą klucz prywatny. Powstaną dwa pliki: prywatny i publiczny z rozszerzeniem .pub. Na serwer przenosisz publiczny. Nie wysyłaj prywatnego do pomocy technicznej, repozytorium ani czatu zespołu. Jeśli środowisko ma szczególne wymagania kryptograficzne, dobierz algorytm do jego polityki.

Oddziel klucze pracowników i urządzeń. Wspólny klucz dla całej firmy utrudnia odebranie dostępu jednej osobie. Opisz klucze komentarzami i prowadź listę miejsc, w których zostały dodane.

Dodaj publiczny klucz i sprawdź uprawnienia

Jeśli serwer pozwala jeszcze na logowanie hasłem, możesz użyć: ``bash ssh-copy-id -i ~/.ssh/castpol_ed25519.pub user@example.com ssh -i ~/.ssh/castpol_ed25519 user@example.com `` Podstaw użytkownika i host; dla niestandardowego portu sprawdź składnię narzędzia. Przy ręcznym dopisywaniu klucz musi znaleźć się w authorized_keys właściwego użytkownika, jako pełna pojedyncza linia. Typowo katalog .ssh ma prawa 700, a plik 600, przy poprawnym właścicielu. Sprawdź również prawa katalogu domowego.

Zaloguj się w nowym terminalu, pozostawiając starą sesję. Potwierdź tożsamość serwera przez jego fingerprint. Zmiana fingerprintu może być skutkiem reinstalacji, ale trzeba ją zweryfikować innym kanałem. Nie usuwaj wpisu known_hosts automatycznie przy każdej zmianie komunikatu.

Ograniczenie logowania hasłem

Na serwerze ustawienia zależą od dystrybucji i fragmentów konfiguracji. Przykładowe dyrektywy to: ``text PubkeyAuthentication yes PasswordAuthentication no KbdInteractiveAuthentication no PermitRootLogin no `` Wyłączenie root zakłada, że masz sprawne konto administracyjne z potrzebnymi uprawnieniami. Nie kopiuj tego zestawu, jeśli dopiero konfigurujesz pierwszą osobę. Sprawdź bloki Match i pliki dołączone; wartość w jednym pliku nie zawsze oznacza efektywną konfigurację dla każdego użytkownika.

Przed przeładowaniem wykonaj test składni sshd -t. Efektywne ustawienia można analizować przez sshd -T, a w konfiguracji z Match także z odpowiednimi parametrami kontekstu. Nazwa jednostki systemd może być ssh lub sshd. Użyj właściwej dla systemu. Po zmianie ponownie sprawdź nową sesję, zanim zamkniesz starą.

Co zrobić, gdy klucz nie działa?

Po stronie klienta użyj ssh -v, a na serwerze sprawdź logi. Zweryfikuj użytkownika, wybrany klucz, prawa plików i konfigurację usługi. Działający klucz innego konta niczego nie dowodzi dla aktualnego użytkownika. Nie „naprawiaj” problemu przez chmod 777.

Przed pracą na VPS Castpol sprawdź dostępną metodę odzyskania dostępu. Klucze ograniczają ryzyko zgadywania hasła, ale nadal trzeba chronić komputer, aktualizować serwer i kontrolować konta. Zarządzanie sekretami pomaga uporządkować pozostałe dane dostępowe.