Kerged trikid SSH

Selles artiklis on koondatud meie parimad näpunäited SSH tõhusamaks kasutamiseks. Siit saate teada kuidas:

• Lisada SSH sisselogimisele teine faktor
• Ohutult kasutada agentide edastamist
• Väljuda jäädunud SSH sessioonist
• Hoida pidevalt terminal avatud
• Jagada terminali kaugsessioon oma sõbraga (ilma Zoomita!)

Teise faktori lisamine oma SSH-le

SSH ühendustele saab teise autentimise faktori lisada viie erineva meetodiga:

1. Uuendada oma OpenSSH ja kasutada krüptovõtmeid. Veebruaris 2020 lisati OpenSSHi tugi FIDO U2F (Universal Second Factor) krüptovõtmete jaoks. See on suurepärane uus funktsioon, kuid on siiski ühe nüansiga: ainult need kliendid ja serverid, mis on uuendatud versioonile OpenSSH 8.2 või kõrgemale, saavad kasutada krüptovõtmeid, kuna veebruari värskendus toob neile uusi võtme tüüpe. Klientversiooni kontrollimiseks saate kasutada käsku ssh –V serveriversiooni kontrollimiseks käsku nc [servername] 22
   
   Veebruari versioonis lisati kaks uut võtme tüüpi — ecdsa-sk ja ed25519-sk (koos vastavate sertifikaatidega). Võtme faili genereerimiseks piisab, kui sisestate oma krüptovõtme ja käivitate käsku:

   $ ssh-keygen -t ecdsa-sk -f ~/.ssh/id_ecdsa_sk

   See loob avaliku ja salajase võtme ning seob need teie U2F seadmega. Salajase võtme ülesanne U2F seadmes on dekodeerida võtme salajane deskriptor kettal aktiveeritud krüptovõtme olemasolul.

   Lisaks võite teise faktorina esitada koodifraasi oma võtmete jaoks.

   Residentne võti on veel üks OpenSSH poolt toetatud -sk-kaardivõtme genereerimise tüüp. Sellise lähenemise korral hoitakse deskriptorit U2F seadmes ja see võimaldab seda kasutada krüptovõtmega, kui see on vajalik. Residentse võtme loomine õnnestub käsuga:

   $ ssh-keygen -t ecdsa-sk -O resident -f ~/.ssh/id_ecdsa_sk

   Seejärel, et deskriptor tagasi uude seadmesse mälu saada, sisestage krüptovõti ja käivitage käsk:

   $ ssh-add -K

   Kui ühendate hostiga, peate endiselt aktiveerima krüptovõtme.

2. Kasutada PIV+PKCS11 ja Yubikey'd. Vanemate versioonide SSHD seadmetele krüptovõtmega ühendamiseks on vajalik teine lähenemine. Yubicol on juhend U2F+SSH kasutamise kohta PIV/PKCS11-ga (inglise keeles). See ei ole sama mis FIDO U2F, ja kuigi meetod töötab, on selle mõistmine suur vaev.
3. Rakenda kohandatud yubikey-agent ssh-agent. Filippo Valsoarda kirjutas SSH-agendi Yubikeys'ile. See on täiesti uus ja sisaldab minimaalset funktsionaalsust.
4. Kasutage Touch ID ja sekey'd. Sekey on avatud lähtekoodiga SSH-agent, mis salvestab salajased võtmed Maci kaitstud enclaves ja võimaldab kasutada Touch ID-d juurdepääsu funktsioonina.
5. Kasutage Single Sign On SSH-d. Kirjutasin juhendi, et aidata seda meetodit seadistada (inglise keeles). Üks Single Sign On SSH eeliseid on võimalus rakendada teie identiteedi pakkuja turvapoliitikaid — sealhulgas mitme teguri autentimise (MFA) toetamist.

Ohutu agent forwarding kasutamine

SSH agent forwarding võimaldab kaug-süsteemil pääseda teie kohaliku seadme SSH-agendile. Kui kasutate SSH-d koos lubatud agent forwarding'iga (tavaliselt ssh -A läbi), on ühenduses kaks kanalit: teie interaktiivne sessioon ja agent forwarding kanali. Selle kanali kaudu ühendab teie kohaliku SSH-agendi loodud Unix-sokett kaug-süsteemiga. See on riskantne meetod, kuna root-juurdepääsuga kasutaja kaug-süsteemis võib pääseda teie kohaliku SSH-agendile ja potentsiaalselt esineda võrgus teie nimel. Kasutades Open SSH komplekti tavapärast SSH-agenti, ei saa te isegi aru, et see on juhtunud. U2F-võti (või Sekey) aitab tõhusalt blokeerida kõik katsed kasutada teie SSH-agenti väljastpoolt.

Isegi sellise ettevaatusabinõuga on hea mõte agent forwarding'it võimalikult harva kasutada. Ärge kasutage seda igas sessioonis — kasutage agent forwarding'it ainult siis, kui olete kindel, et see on vajalik antud sessiooni jaoks.

Väljumine jääksessioonist

Võrgukatkestus, kontrollimatu programmikäitumine või juhtimisjärjestus, mis blokeerib klaviatuuri sisendi — kõik need on võimalikud põhjused SSH-sessiooni katkestamiseks.

Jääksessiooni lõpetamiseks on mitu võimalust:

1. Automaatne väljumine, kui võrk katkeb. Lisage oma .ssh/config faili järgmine:

   ServerAliveInterval 5
   ServerAliveCountMax 1

   ssh saadab kaug-süsteemile iga ServerAliveInterval sekundi järel echo, et kontrollida ühendust. Kui rohkem kui ServerAliveCountMax echo ei saa vastust, lõpetab ssh ühenduse aja ületamise tõttu ja väljub sessioonist.

2. Ühenduse katkestamine. SSH kasutab vaikimisi sümbolit ~ (tilde) juhtimistäheks. Käsk ~. sulgeb avatud ühenduse ja viib teid tagasi terminali. (Juhtimisjärjestusi saab sisestada ainult uuel real.) Käsk ~? väljastab täieliku nimekirja selles sessioonis saadaval olevatest käskudest. Pidage meeles, et rahvusvaheline klaviatuur võib vajada ~ sümboli sisestamiseks selle näppimist kaks korda.

Miks tekivad üldse hangunud sessioonid? Interneti loomise aegadel liikusid arvutid harva ühest kohast teise. Kui kasutate sülearvuteid ja vahetate mitme IPv4 WiFi võrgu vahel, muutub teie IP-aadress. Kuna SSH toetub TCP-ühendustele ja need omakorda sõltuvad stabiilsest IP-aadressiga lõpp-punktist, kaotavad teie SSH-ühendused igal korral, kui rääkite võrkude vahel, oma soketikirje ja kaovad tegelikult. Kui teie IP-aadress muutub, vajab teie võrgustiku hunnik aega soketikirje kaotuse avastamiseks. Kui võrgu tõrked ilmnevad, ei soovi me, et üks TCP-ühenduse sõlm katkestaks selle liiga vara. Seetõttu proovib protokoll andmete edastamist mitu korda enne, kui see lõpuks loobub. Samal ajal näeb teie terminalis seanss välja peatunud. IPv6 toob mobiilsuse omadustega seotud mitmeid funktsioone, mis võimaldavad seadmel säilitada koduaadressi võrgu vahetamisel. Võib-olla kaob see probleem meilt kunagi.

Kuidas hoida pidevalt avatud terminal eemal oleval sõlmel

On kaks erinevat lähenemist selle kohta, kuidas säilitada ühendust, kui liigelda erinevate võrkude vahel või soovides lühidalt katkestada.

1. Kasutada Mosh või Eternal Terminal

Kui teil on tõeliselt vajalik stabiilne ühendus, mis ei katke isegi siis, kui vahetate võrgud, kasutage mobiilset Mosh kest. See on turvaline kest, mis alguses kasutab SSH-kätlemist ja seejärel vahetab oma krüpteeritud kanalile kogu sessiooni ajaks. Nii loob Mosh eraldi, väga vastupidava ja turvalise kanali, mis suudab taluda nii interneti katkemisi, teie sülearvuti IP-aadressi muutumist, tõsiseid võrgu katkestusi ja palju muud, ja seda kõike UDP-ühenduste maagia ning Mosh'i sünkroniseerimisprotokolli abiga.

Moshi kasutamiseks peate selle installima nii kliendisse kui ka serverisse ning avama portid 60000-61000 UPD-turvakanali liikluseks oma kaugserverisse. Edasi on piisav kasutada mosh user@server.

Mosh töötab ekraanide ja klahvivajutuste tasemel, mis annab sellele mitmeid eeliseid võrreldes tavapärase binaarvoo edastamisega SSH kliendi ja serveri vahel. Kui peame sünkroniseerima ainult ekraanid ja klahvivajutuste, siis katkestatud ühenduse taastamine hiljem on palju lihtsam. Samal ajal kui SSH puhverdab ja saadab kõik, mis juhtus, piisab Moshi jaoks klahvivajutuste puhverdamisest ja terminali viimase ekraani sünkroniseerimisest kliendiga.

2. Kasutage tmux

Kui soovite "tulle ja minna, kui südames soovite" ning hoida terminaliseanssi eemal, kasutage terminalimultiplexerit tmux. Mulle meeldib tmux ja kasutan seda pidevalt. Kui teie SSH-ühendus katkeb, siis et naasta oma tmux seanssi, piisab lihtsalt taasühendamisest ja kirjutamisest tmux attach. Samuti on seal imeline funktsioon, näiteks sisemise terminali sakkide ja paneelide olemasolu, mis on sarnased iOS terminali sakkidele, ja võimalus jagada terminale teistega.

Mõned inimesed armastavad oluliselt täiustada oma tmux'i Byobu abil, paketiga, mis parandab tmux'i kasutusmugavust ja lisab palju otseteid. Byobu on kaasas Ubuntu'ga ja seda on lihtne installida Mac'i kaudu Homebrew.

Kaugtähe terminaliseansi jagamine sõbraga

Mõnikord, kui tegelete keeruliste probleemide tõrkeotsinguga oma serverites, võib tekkida soov jagada SSH seanssi kellegagi, kes ei viibi samas ruumis. Tmux sobib selle ülesande täitmiseks ideaalselt! Piisab vaid mõnest lihtsast sammust:

1. Veenduge, et tmux oleks teie bastioniserveris või mõnes teises serveris, millega kavatsete töötada.
2. Mõlemad peate ühenduma SSH kaudu seadmega, kasutades ühte kontot.
3. Üks teist peab käivitama tmux, et alustada tmux seanssi.
4. Teine peab käivitama tmux attach
5. Voilà! Teil on ühine terminal.

Kui soovite keerukamaid mitme kasutaja tmux seansse, proovige tmate'i, see on tmux'i fork, mis lihtsustab märkimisväärselt koosolekute seansse.

Allikas: habr.com