Εντολές Linux
ssh: Η σύνδεση που τρέχει την υποδομή σας
Το ssh δεν είναι ευκολία, είναι η μεταφορά κάθε λειτουργίας σε κάθε διακομιστή και το ~/.ssh/config είναι μια σύμβαση με τον μελλοντικό σας εαυτό στις 3 π.μ. Τα ψευδώνυμα κεντρικού υπολογιστή, οι καταχωρίσεις IdentityFile, οι στόχοι ProxyJump και οι ρυθμίσεις διατήρησης μετατρέπουν τις απομνημονευμένες προτάσεις επισήμανσης σε εντολές μιας λέξης. Οι σήραγγες (-L, -R, -D) και η πολυπλεξία ControlMaster είναι αυτά που μετατρέπουν «ένα κέλυφος» σε επιφάνεια εντολών υποδομής, και τα δύο είναι έργο αρχείου διαμόρφωσης, όχι εργασία μνήμης.
Βασικά σημεία
- Βάλτε τα πάντα στο ~/.ssh/config: Τα ψευδώνυμα κεντρικού υπολογιστή με User, IdentityFile, IdentitiesOnly ναι και ProxyJump κάνουν το 'ssh prod-web1' μία λέξη. μια πρόταση σημαίας που πληκτρολογείται πανομοιότυπα πέντε φορές την ημέρα είναι μια καταχώρηση διαμόρφωσης που λείπει.
- Τα κλειδιά είναι το μόνο παιχνίδι: ssh-keygen -t ed25519 -C 'role@team', δημόσιο μισό σε authorized_keys και PasswordAuthentication no στον διακομιστή μόλις αποδειχθεί ότι η περιστροφή λειτουργεί πραγματικά.
- Οι κεντρικοί υπολογιστές μετάβασης κατέρρευσαν σε μία σημαία: ssh -J bastion.corp εσωτερικός-κεντρικός υπολογιστής ή ProxyJump bastion.corp στο μπλοκ κεντρικού υπολογιστή. τα παλιά ξόρκια του ProxyCommand εξακολουθούν να λειτουργούν και δεν είναι πλέον δουλειά κανενός.
- Οι σήραγγες είναι ανά σκοπό: -L 5432:db.internal:5432 για πρόσβαση σε μια βάση δεδομένων, -D 1080 ως SOCKS shim μέσω ενός αυστηρού δικτύου, -R για έκθεση ενός τοπικού πλαισίου προγραμματισμού, το καθένα δεσμευμένο σε localhost, εκτός εάν το διευρύνετε ρητά.
- Η πολυπλεξία ControlMaster (αυτόματο ControlMaster, ControlPath ~/.ssh/cm-%r@%h:%p, ControlPersist 10m) σταματά την επανεκτέλεση χειραψιών σε κάθε ανοιχτό και κάνει τη λειτουργία πολλών παραθύρων σε μία στιγμή του κεντρικού υπολογιστή.
- Το Keepalives διατηρεί τις περιόδους σύνδεσης μέσω NAT και σταγόνες τείχους προστασίας σε αδράνεια: ServerAliveInterval 60 συν ServerAliveCountMax 3 beats από την πλευρά του πελάτη μυστηριώδεις αναφορές "session died σε 4 λεπτά" τις περισσότερες φορές.
- Περιορίστε την επικίνδυνη πρόσβαση: -N (χωρίς απομακρυσμένη εντολή) για καθαρή προώθηση θυρών, -n για εργασίες δέσμης που διαβάζονται από το stdin και fail2ban συν λογικό MaxAuthTries οπότε η ωμή βία πεθαίνει στα αρχεία καταγραφής αντί για τους λογαριασμούς.
- Η σειρά εντοπισμού σφαλμάτων έχει σημασία: το ssh -vvv αποκαλύπτει την ανάλυση ρυθμίσεων, τη διαπραγμάτευση ταυτότητας και αποτυχίες καναλιών με αυτή τη σειρά, και μια ένδειξη κεντρικού υπολογιστή -G απαντά "γιατί διάλεξε αυτό το κλειδί και αυτόν τον χρήστη" χωρίς να αγγίξει έναν διακομιστή.
Σημείωση από το πεδίο
Κάποτε απενεργοποίησα τον έλεγχο ταυτότητας κωδικού πρόσβασης προτού το νέο κλειδί βρεθεί στα authorized_keys και κλείδωσα τη δική μου ομάδα έξω για ένα βράδυ. Το τελετουργικό τώρα: η δεύτερη συνεδρία ανοιχτή, το κλειδί αποδεδειγμένα λειτουργεί και το ServerAliveInterval στη ρύθμιση παραμέτρων έτσι ώστε το αδρανές προμαχώνα NAT σταματά να σκοτώνει τις συνεδρίες.
Συχνές ερωτήσεις
Σε μια πρόταση το καθένα: -L, -R, -D;
-Το L μεταφέρει μια τοπική θύρα προς τα εμπρός προς μια απομακρυσμένη υπηρεσία, - το R σπρώχνει μια απομακρυσμένη θύρα πίσω προς το μηχάνημά σας (να γνωρίζετε ακριβώς τι εκθέσατε) και - το D ανοίγει έναν δυναμικό διακομιστή μεσολάβησης SOCKS μέσω της σύνδεσης.
Η συνεδρία μου πέφτει μετά από μερικά λεπτά αδράνειας. Διορθώνω;
Ένα χρονικό όριο αδράνειας σε ένα NAT ή τείχος προστασίας είναι η συνήθης αιτία: ορίστε το ServerAliveInterval στον υπολογιστή-πελάτη (και διατηρήστε το TCPKeepAlive λογικό στον διακομιστή). η ίδια επιδιόρθωση ανήκει στη διαμόρφωση που χρησιμοποιείτε για το υπόγειο προμαχώνα.
ssh-agent ή κλειδιά χωρίς φράση πρόσβασης;
Πράκτορας, πάντα: κρατά αποκρυπτογραφημένα κλειδιά ανά περίοδο λειτουργίας, ώστε τα κλειδιά να διατηρούν τις φράσεις πρόσβασης και ο αυτοματισμός να παραμένει μη διαδραστικός. Το ForwardAgent ναι σε έναν αξιόπιστο προμαχώνα είναι μια χαρά και το ssh-add -l σας λέει τι είναι φορτωμένο πριν πείτε ψέματα στον εαυτό σας.
Πώς μπορώ να σταματήσω να πληκτρολογώ ξανά τις προδιαγραφές της σήραγγας;
Γραμμές LocalForward και RemoteForward μέσα σε μπλοκ κεντρικού υπολογιστή: το 'ssh dbtunnel' στη συνέχεια κάνει τα πάντα. Μία καταχώρηση ανά σκοπό διατηρεί το αρχείο ευανάγνωστο και επιτρέπει στους ελέγχους να δουν ακριβώς ποιος προωθεί τι.
Πώς βοηθάει η Kinetikatech στα εντολές linux
Η πρότασή μας είναι απλή: Οι εντολές και οι συνήθειες δέσμης ενεργειών που αποφασίζουν εάν ένας διαχειριστής χειρίζεται έναν διακομιστή ή τον καταπολεμά: αναζήτηση, μετατροπή, μεταφορά και επίβλεψη κειμένου και διεργασιών με τα εργαλεία που υπάρχουν σε κάθε βασική εγκατάσταση. Αναλάβτε την υπηρεσία μας Ασφάλεια διακομιστών Linux and Διαχείριση διακομιστών και έχει αξιολογηθεί σωστά, εφαρμοστεί καθαρά και παρακολουθείται όλο το 24ωρο.