Linux-kommandoer og skallferdigheter
ssh: Tilkoblingen som kjører infrastrukturen din
ssh er ikke en bekvemmelighet, det er transporten hver operasjon på hver server kjører på, og ~/.ssh/config er en kontrakt med ditt fremtidige jeg klokken 03.00. Vertsaliaser, IdentityFile-oppføringer, ProxyJump-mål og keepalive-innstillinger gjør huskede flaggsetninger til ettordskommandoer. Tunneler (-L, -R, -D) og ControlMaster-multipleksing er det som gjør 'et skall' til en infrastruktur-kommandooverflate, og begge er konfigurasjonsfilarbeid, ikke minnearbeid.
Nøkkelpunkter
- Sett alt i ~/.ssh/config: Vertsaliaser med User, IdentityFile, IdentitiesOnly yes og ProxyJump gjør 'ssh prod-web1' til ett ord; en flaggsetning skrevet identisk fem ganger om dagen er en manglende konfigurasjonsoppføring.
- Nøkler er det eneste spillet: ssh-keygen -t ed25519 -C 'role@team', offentlig halvdel til authorized_keys, og passordautentiseringsnr på serveren når rotasjon faktisk har vist seg å fungere.
- Jump-verter kollapset til ett flagg: ssh -J bastion.corp internal-host, eller ProxyJump bastion.corp i Host-blokken; de gamle ProxyCommand-besvergelsene fungerer fortsatt og er ikke lenger noens jobb.
- Tunneler er per-formål: -L 5432:db.internal:5432 for å nå en database, -D 1080 som en SOCKS shim gjennom et strengt nettverk, -R for å avsløre en lokal dev-boks, hver bundet til localhost med mindre du eksplisitt utvider den.
- ControlMaster-multipleksing (ControlMaster auto, ControlPath ~/.ssh/cm-%r@%h:%p, ControlPersist 10m) stopper re-kjørende håndtrykk på hver åpning og får flere vinduer til å fungere på ett verts øyeblikk.
- Keepalives holder økter gjennom NAT og inaktive brannmurfall: ServerAliveInterval 60 pluss ServerAliveCountMax 3 beats på klientsiden mystiske 'session døde på 4 minutter'-rapporter mesteparten av tiden.
- Begrens farlig tilgang: -N (ingen fjernkommando) for rene port forwards, -n for batchjobber som leser fra stdin, og fail2ban pluss fornuftige MaxAuthTries slik at brute force dør i loggene i stedet for kontoene.
- Feilsøkingsrekkefølge er viktig: ssh -vvv avslører konfigurasjonsparsing, autentiseringsforhandling og kanalfeil i den rekkefølgen, og en -G-vertsdump svarer "hvorfor valgte den den nøkkelen og den brukeren" uten å berøre en server.
Feltnotat
Jeg deaktiverte en gang passordautentisering før den nye nøkkelen faktisk var i authorized_keys og låste mitt eget team ute for en kveld. Ritualet nå: andre økt åpen, nøkkel bevist å fungere, og ServerAliveInterval i konfigurasjonen slik at inaktive bastion NAT-fall slutter å drepe økter.
Vanlige spørsmål
I en setning hver: -L, -R, -D?
-L fører en lokal port fremover mot en ekstern tjeneste, -R skyver en ekstern port tilbake mot maskinen din (vet nøyaktig hva du eksponerte), og -D åpner en dynamisk SOCKS proxy gjennom tilkoblingen.
Økten min faller etter noen få minutter uten aktivitet. Fastsette?
En inaktiv tidsavbrudd på en NAT eller brannmur er den vanlige årsaken: sett ServerAliveInterval på klienten (og hold TCPKeepAlive tilregnelig på serveren); den samme løsningen hører hjemme i konfigurasjonen du bruker for bastion-humle i kjelleren.
ssh-agent eller nøkler uten passord?
Agent, alltid: den har dekrypterte nøkler per økt slik at nøkler beholder passordfraser og automatisering forblir ikke-interaktiv; ForwardAgent ja på en pålitelig bastion er greit og ssh-add -l forteller deg hva som er lastet inn før du lyver for deg selv.
Hvordan slutter jeg å skrive inn tunnelspesifikasjoner på nytt?
LocalForward og RemoteForward-linjer inne i vertsblokker: 'ssh dbtunnel' gjør så hele greia; én oppføring per formål holder filen lesbar og lar revisjoner se nøyaktig hvem som videresender hva.
Slik hjelper Kinetikatech med linux-kommandoer og skallferdigheter
Ærlig talt, de fleste team finner oss etter at de har prøvd selv først: Kommandoene og skriptvanene som avgjør om en administrator driver en server eller bekjemper den: søk, transformer, overføring og overvåk tekst og prosesser med verktøyene som finnes i hver basisinstallasjon. Vår tjeneste Sikring av Linux-servere og Serveradministrasjon finnes for at du ikke skal lære linux-kommandoer og skallferdigheter på den harde måten; vi tar oss av iverksettingen, overvåkingen og overraskelsene klokka tre om natten.