Linux команди и умения за командни обвивки
ssh: Връзката, която управлява вашата инфраструктура
ssh не е удобство, това е транспортът, върху който се движи всяка операция на всеки сървър, а ~/.ssh/config е договор с бъдещото ви аз в 3 сутринта. Псевдонимите на хоста, записите в IdentityFile, целите на ProxyJump и настройките за поддържане на активност превръщат запомнените изречения с флагове в команди от една дума. Тунелите (-L, -R, -D) и мултиплексирането на ControlMaster са това, което превръща "обвивката" в командна повърхност на инфраструктурата и двете са работа с конфигурационен файл, а не работа с памет.
Ключови точки
- Поставете всичко в ~/.ssh/config: Псевдонимите на хоста с User, IdentityFile, IdentitiesOnly да и ProxyJump правят 'ssh prod-web1' една дума; изречение с флаг, въведено идентично пет пъти на ден, е липсващ запис в конфигурацията.
- Ключовете са единствената игра: ssh-keygen -t ed25519 -C 'role@team', public half to authorized_keys и PasswordAuthentication no на сървъра, след като ротацията действително работи.
- Хостове за прескачане, свити в един флаг: ssh -J bastion.corp вътрешен-хост или ProxyJump bastion.corp в блока Host; старите заклинания на ProxyCommand все още работят и вече не са ничия работа.
- Тунелите са с цел: -L 5432:db.internal:5432 за достигане до база данни, -D 1080 като подложка на SOCKS през стриктна мрежа, -R за излагане на локална кутия за разработка, всяка от които е свързана с localhost, освен ако изрично не я разширите.
- Мултиплексирането на ControlMaster (ControlMaster auto, ControlPath ~/.ssh/cm-%r@%h:%p, ControlPersist 10m) спира повторното ръкостискане при всяко отваряне и кара работата на няколко прозореца на един хост моментално.
- Keepalives поддържа сесии чрез NAT и пропускане на защитна стена в неактивен режим: ServerAliveInterval 60 плюс ServerAliveCountMax 3 от страна на клиента превъзхожда мистериозните доклади „сесията е умряла на 4 минути“ през повечето време.
- Ограничаване на опасния достъп: -N (без отдалечена команда) за чисто пренасочване на портове, -n за пакетни задания, четене от stdin, и fail2ban плюс нормален MaxAuthTries, така че грубата сила умира в регистрационните файлове вместо в акаунтите.
- Редът на отстраняване на грешки има значение: ssh -vvv разкрива анализ на конфигурацията, договаряне на удостоверяване и неуспехи на канали в този ред, а -G дъмп на хост отговаря „защо е избрал този ключ и този потребител“, без да докосва сървър.
Бележка от терен
Веднъж деактивирах PasswordAuthentication преди новият ключ действително да е в authorized_keys и заключих собствения си екип за една вечер. Ритуалът сега: отворена втора сесия, ключът е доказано работещ и ServerAliveInterval в конфигурацията, така че бездействащият бастион NAT пада спира да убива сесиите.
Често задавани въпроси
По едно изречение: -L, -R, -D?
-L пренася локален порт напред към отдалечена услуга, -R избутва отдалечен порт обратно към вашата машина (знайте точно какво сте изложили) и -D отваря динамичен SOCKS прокси през връзката.
Сесията ми пада след няколко минути бездействие. Поправка?
Времето за изчакване на неактивност на NAT или защитна стена е обичайната причина: задайте ServerAliveInterval на клиента (и поддържайте TCPKeepAlive нормален на сървъра); същата корекция принадлежи на конфигурацията, която използвате за прескачане на сутерен бастион.
ssh-agent или ключове без парола?
Агент, винаги: съхранява декриптирани ключове на сесия, така че ключовете запазват пароли и автоматизацията остава неинтерактивна; ForwardAgent да на доверен бастион е добре и ssh-add -l ви казва какво е заредено, преди да излъжете себе си.
Как да спра да пиша отново спецификациите на тунела?
Редове LocalForward и RemoteForward вътре в блоковете Host: 'ssh dbtunnel' след това прави всичко; един запис за цел поддържа файла четим и позволява на одитите да видят точно кой какво препраща.
Как Kinetikatech помага с linux команди и умения за командни обвивки
Предложението е просто: Командите и скриптовите навици, които решават дали администраторът управлява сървър или се бори с него: търсене, трансформиране, прехвърляне и надзор на текст и процеси с инструментите, които се намират във всяка основна инсталация. Поверете на нашата услуга Сигурност на Linux сървъра и Сървърна администрация и имате пълно покритие: сериозна оценка, чисто внедряване, непрекъснат мониторинг.