Linuxové príkazy
ssh: Spojenie, ktoré prevádzkuje vašu infraštruktúru
ssh nie je vymoženosť, je to prenos, na ktorom prebieha každá operácia na každom serveri, a ~/.ssh/config je zmluva s vaším budúcim ja o 3:00. Aliasy hostiteľa, položky IdentityFile, ciele proxy skoku a nastavenia udržiavania premenia zapamätané vety s príznakmi na jednoslovné príkazy. Tunely (-L, -R, -D) a multiplexovanie ControlMaster sú to, čo premení 'shell' na povrch príkazov infraštruktúry a oba sú prácou s konfiguračným súborom, nie prácou s pamäťou.
Kľúčové body
- Všetko vložte do ~/.ssh/config: Hostiteľské aliasy s User, IdentityFile, IdentitiesOnly yes a ProxyJump urobia z 'ssh prod-web1' jedno slovo; vlajková veta napísaná identicky päťkrát denne je chýbajúca položka konfigurácie.
- Kľúče sú jedinou hrou: ssh-keygen -t ed25519 -C 'role@team', verejná polovica na autorizované_kľúče a PasswordAuthentication no na serveri, keď rotácia skutočne funguje.
- Hostitelia skokov sa zrútili do jedného príznaku: ssh -J bastion.corp internal-host alebo ProxyJump bastion.corp v bloku Host; staré zaklínadlá ProxyCommand stále fungujú a už nie sú úlohou nikoho.
- Tunely sú určené na tento účel: -L 5432:db.internal:5432 na dosiahnutie databázy, -D 1080 ako podložka SOCKS cez striktnú sieť, -R na odhalenie lokálneho dev boxu, každý viazaný na localhost, pokiaľ ho výslovne nerozšírite.
- Multiplexovanie ControlMaster (ControlMaster auto, ControlPath ~/.ssh/cm-%r@%h:%p, ControlPersist 10m) zastaví opätovné spustenie handshake pri každom otvorení a okamžite umožní prácu viacerých okien na jednom hostiteľovi.
- Keepalive udržiavajú relácie prostredníctvom NAT a výpadkov brány firewall pri nečinnosti: ServerAliveInterval 60 plus ServerAliveCountMax 3 na strane klienta bije väčšinou záhadné hlásenia „relácia zomrela po 4 minútach“.
- Obmedzenie nebezpečného prístupu: -N (žiadny vzdialený príkaz) pre čisté presmerovanie portov, -n pre dávkové čítanie zo štandardného kódu a fail2ban plus zdravé MaxAuthTries, takže v protokoloch namiesto účtov zanikne hrubá sila.
- Na poradí ladenia záleží: ssh -vvv odhalí analýzu konfigurácie, vyjednávanie autorizácie a zlyhania kanálov v tomto poradí a výpis hostiteľa -G odpovie „prečo vybral ten kľúč a toho používateľa“ bez toho, aby sa dotkol servera.
Poznámka z teréna
Raz som zakázal PasswordAuthentication predtým, ako bol nový kľúč skutočne v author_keys, a zamkol som svoj vlastný tím na večer. Rituál teraz: otvorená druhá relácia, kľúč overený funkčný a ServerAliveInterval v konfigurácii, takže kvapky NAT pri nečinnosti prestanú zabíjať relácie.
Často kladené otázky
V jednej vete každý: -L, -R, -D?
-L prenáša lokálny port smerom k vzdialenej službe, -R posúva vzdialený port späť k vášmu počítaču (presne viete, čo ste odhalili) a -D otvára dynamický proxy server SOCKS cez pripojenie.
Moja relácia klesá po niekoľkých minútach nečinnosti. Opraviť?
Obvyklou príčinou je časový limit nečinnosti na NAT alebo bráne firewall: nastavte ServerAliveInterval na klientovi (a udržujte TCPKeepAlive v poriadku na serveri); rovnaká oprava patrí do konfigurácie, ktorú používate pre basement bastion hops.
ssh-agent alebo kľúče bez prístupovej frázy?
Agent, vždy: uchováva dešifrované kľúče na reláciu, takže kľúče uchovávajú prístupové frázy a automatizácia zostáva neinteraktívna; ForwardAgent áno na dôveryhodnej bašte je v poriadku a ssh-add -l vám povie, čo je načítané skôr, ako si budete klamať.
Ako zastavím prepisovanie špecifikácií tunela?
Riadky LocalForward a RemoteForward vo vnútri hostiteľských blokov: 'ssh dbtunnel' potom urobí celú vec; jeden záznam na účel udržuje súbor čitateľný a umožňuje auditom presne vidieť, kto čo preposiela.
Ako Kinetikatech pomáha s linuxové príkazy
Nemusíte sa stať expertom v linuxové príkazy: Príkazy a skriptovacie návyky, ktoré rozhodujú o tom, či správca prevádzkuje server alebo s ním bojuje: vyhľadávajte, transformujte, prenášajte a dohliadajte na text a procesy pomocou nástrojov, ktoré sú súčasťou každej základnej inštalácie. Presne na to slúži Bezpečnosť Linuxových serverov a Správa serverov: nastavenie, zabezpečenie, monitoring a človek po ruke deň a noc.