Linuxové příkazy
ssh: Připojení, které provozuje vaši infrastrukturu
ssh není pohodlí, je to přenos, na kterém běží každá operace na každém serveru, a ~/.ssh/config je smlouva s vaším budoucím já ve 3:00. Aliasy hostitele, položky IdentityFile, cíle ProxyJump a nastavení keepalive mění zapamatované vlajkové věty na jednoslovné příkazy. Tunely (-L, -R, -D) a multiplexování ControlMaster jsou to, co mění „skořápku“ na plochu příkazů infrastruktury, a oba jsou práce s konfiguračním souborem, nikoli s pamětí.
Klíčové body
- Vložte vše do ~/.ssh/config: Hostitelské aliasy s User, IdentityFile, IdentitiesOnly yes a ProxyJump dělají 'ssh prod-web1' jedním slovem; příznaková věta napsaná identicky pětkrát denně je chybějící konfigurační položka.
- Klíče jsou jedinou hrou: ssh-keygen -t ed25519 -C 'role@team', veřejná polovina na autorizované_klíče a PasswordAuthentication no na serveru, jakmile se prokáže, že rotace skutečně funguje.
- Hostitelé skoku sbaleni do jednoho příznaku: ssh -J bastion.corp internal-host nebo ProxyJump bastion.corp v bloku Host; stará zaklínadla ProxyCommand stále fungují a již nejsou něčí prací.
- Tunely jsou účelové: -L 5432:db.internal:5432 pro přístup k databázi, -D 1080 jako podložka SOCKS přes přísnou síť, -R pro odhalení místního dev boxu, každý vázaný na localhost, pokud jej výslovně nerozšíříte.
- Multiplexování ControlMaster (ControlMaster auto, ControlPath ~/.ssh/cm-%r@%h:%p, ControlPersist 10m) zastaví opakované spouštění handshake při každém otevření a umožňuje okamžitě pracovat s více okny na jednom hostiteli.
- Keepalive udržují relace přes NAT a výpadky brány firewall v nečinnosti: ServerAliveInterval 60 plus ServerAliveCountMax 3 na straně klienta většinou překonává záhadné zprávy „session zemřel ve 4 minutách“.
- Omezení nebezpečného přístupu: -N (žádný vzdálený příkaz) pro čistě přesměrování portů, -n pro čtení dávkových úloh ze stdin a fail2ban plus rozumné MaxAuthTries, takže v protokolech místo účtů zemře hrubá síla.
- Na pořadí ladění záleží: ssh -vvv odhalí analýzu konfigurace, vyjednávání autentizace a selhání kanálu v tomto pořadí a výpis hostitele -G odpoví „proč vybral ten klíč a toho uživatele“, aniž by se dotkl serveru.
Poznámka z terénu
Jednou jsem deaktivoval PasswordAuthentication, než byl nový klíč ve skutečnosti v author_keys, a zamkl jsem svůj vlastní tým na večer. Rituál nyní: otevřená druhá relace, klíč ověřený funkční a ServerAliveInterval v konfiguraci, takže kapky Idle bastion NAT zastaví zabíjení relací.
Časté dotazy
V jedné větě každý: -L, -R, -D?
-L přenáší místní port vpřed směrem ke vzdálené službě, -R tlačí vzdálený port zpět k vašemu počítači (přesně víte, co jste odhalili) a -D otevře dynamickou proxy SOCKS prostřednictvím připojení.
Moje relace po několika minutách nečinnosti klesne. Opravit?
Obvyklou příčinou je časový limit nečinnosti na NAT nebo firewallu: nastavte ServerAliveInterval na klientovi (a udržujte TCPKeepAlive v pořádku na serveru); stejná oprava patří do konfigurace, kterou používáte pro basement bastion hops.
ssh-agent nebo klíče bez přístupové fráze?
Agent vždy: uchovává dešifrované klíče na relaci, takže klíče uchovávají přístupové fráze a automatizace zůstává neinteraktivní; ForwardAgent ano na důvěryhodné baště je v pořádku a ssh-add -l vám řekne, co je načteno, než si budete lhát.
Jak zastavím přepisování specifikací tunelu?
Řádky LocalForward a RemoteForward uvnitř hostitelských bloků: 'ssh dbtunnel' pak provede celou věc; jeden záznam pro každý účel udržuje soubor čitelný a umožňuje auditům přesně vidět, kdo co předává.
Jak Kinetikatech pomáhá s linuxové příkazy
Nemusíte se stát odborníkem na linuxové příkazy: Příkazy a skriptovací návyky, které rozhodují o tom, zda správce provozuje server nebo s ním bojuje: prohledávejte, transformujte, přenášejte a dohlížejte na text a procesy pomocí nástrojů, které jsou součástí každé základní instalace. Přesně proto existuje Zabezpečení linuxových serverů a Správa serverů: zprovoznění, zpevnění, monitoring a člověk ve službě dnem i nocí.