Comandos Linux e habilidades de shell
ssh: a conexão que executa sua infraestrutura
ssh não é uma conveniência, é o transporte que cada operação em cada servidor executa e ~/.ssh/config é um contrato com seu futuro eu às 3 da manhã. Túneis (-L, -R, -D) e multiplexação ControlMaster são o que transformam 'um shell' em uma superfície de comando de infraestrutura, e ambos são trabalho de arquivo de configuração, não de memória.
Pontos principais
- Coloque tudo em ~/.ssh/config: Host aliases com User, IdentityFile, IdentitiesOnly yes, e ProxyJump fazem 'ssh prod-web1' uma palavra; uma frase de sinalização digitada de forma idêntica cinco vezes por dia é uma entrada de configuração ausente.
- As chaves são o único jogo: ssh-keygen -t ed25519 -C 'role@team', public half toauthorized_keys e PasswordAuthentication no no servidor quando a rotação estiver realmente funcionando.
- Os hosts de salto foram recolhidos em um sinalizador: ssh -J bastion.corp internal-host ou ProxyJump bastion.corp no bloco Host; os antigos encantamentos do ProxyCommand ainda funcionam e não são mais trabalho de ninguém.
- Os túneis são específicos para a finalidade: -L 5432:db.internal:5432 para acessar um banco de dados, -D 1080 como um shim SOCKS através de uma rede estrita, -R para expor uma caixa de desenvolvimento local, cada uma vinculada ao host local, a menos que você a amplie explicitamente.
- A multiplexação ControlMaster (ControlMaster auto, ControlPath ~/.ssh/cm-%r@%h:%p, ControlPersist 10m) interrompe a reexecução de handshakes em cada abertura e faz com que várias janelas funcionem em um instante do host.
- Keepalives mantém sessões por meio de NAT e quedas de firewall ocioso: ServerAliveInterval 60 mais ServerAliveCountMax 3 do lado do cliente supera relatórios misteriosos de 'sessão morreu em 4 minutos' na maioria das vezes.
- Restringir o acesso perigoso: -N (sem comando remoto) para encaminhamentos de porta puros, -n para trabalhos em lote lendo de stdin e fail2ban mais MaxAuthTries sensatos para que a força bruta morra nos logs em vez das contas.
- A ordem de depuração é importante: ssh -vvv revela análise de configuração, negociação de autenticação e falhas de canal nessa ordem, e um despejo de host -G responde 'por que escolheu aquela chave e aquele usuário' sem tocar em um servidor.
Nota de campo
Certa vez, desabilitei o PasswordAuthentication antes que a nova chave estivesse realmente emauthorized_keys e tranquei minha própria equipe por uma noite. O ritual agora: segunda sessão aberta, chave comprovada funcionando e ServerAliveInterval na configuração para que o NAT do bastião inativo pare de matar sessões.
Perguntas frequentes
Em uma frase cada: -L, -R, -D?
-L transporta uma porta local em direção a um serviço remoto, -R empurra uma porta remota de volta para sua máquina (saiba exatamente o que você expôs) e -D abre um proxy SOCKS dinâmico por meio da conexão.
Minha sessão cai após alguns minutos de inatividade. Consertar?
Um tempo limite ocioso em um NAT ou firewall é a causa comum: defina ServerAliveInterval no cliente (e mantenha TCPKeepAlive são no servidor); a mesma correção pertence à configuração que você usa para bastion hops no porão.
agente ssh ou chaves sem senha?
Agente, sempre: ele contém chaves descriptografadas por sessão para que as chaves mantenham as senhas e a automação permaneça não interativa; ForwardAgent sim em um bastião confiável é bom e ssh-add -l informa o que está carregado antes de você mentir para si mesmo.
Como faço para parar de redigitar as especificações do túnel?
Linhas LocalForward e RemoteForward dentro dos blocos Host: 'ssh dbtunnel' então faz tudo; uma entrada por finalidade mantém o arquivo legível e permite que as auditorias vejam exatamente quem encaminha o quê.
Como a Kinetikatech ajuda com comandos linux e habilidades de shell
É isto que fazemos todos os dias: Os comandos e hábitos de script que decidem se um administrador opera um servidor ou o combate: pesquise, transforme, transfira e supervisione textos e processos com as ferramentas presentes em cada instalação básica. Nosso serviço Segurança de servidores Linux e Gestão de servidores cobre tudo de ponta a ponta: avaliação, implementação, monitoramento 24/7 e resposta de emergência em 30 minutos.