Ukazi in spretnosti lupine Linux
ssh: Povezava, ki vodi vašo infrastrukturo
ssh ni udobje, je transport, na katerem poteka vsaka operacija na vsakem strežniku, in ~/.ssh/config je pogodba z vašim bodočim jazom ob 3.00. Vzdevki gostitelja, vnosi IdentityFile, cilji ProxyJump in nastavitve keepalive spremenijo zapomnjene stavke zastavic v enobesedne ukaze. Tuneli (-L, -R, -D) in multipleksiranje ControlMaster so tisto, kar spremeni "lupino" v infrastrukturno ukazno površino in oboje je delo konfiguracijske datoteke, ne delo pomnilnika.
Ključne točke
- Vse postavite v ~/.ssh/config: vzdevki gostitelja z User, IdentityFile, IdentitiesOnly yes in ProxyJump pomenijo 'ssh prod-web1' eno besedo; stavek z zastavico, vtipkan enako petkrat na dan, je manjkajoči vnos konfiguracije.
- Ključi so edina igra: ssh-keygen -t ed25519 -C 'role@team', javna polovica za authorized_keys in PasswordAuthentication no na strežniku, ko je rotacija dejansko delovala.
- Skočni gostitelji so strnjeni v eno zastavico: ssh -J bastion.corp notranji-gostitelj ali ProxyJump bastion.corp v bloku gostitelja; stare zaklinjanja ProxyCommand še vedno delujejo in niso več nikogaršnja naloga.
- Tuneli so za vsak namen: -L 5432:db.internal:5432 za doseganje podatkovne baze, -D 1080 kot podloga SOCKS skozi strogo omrežje, -R za izpostavitev lokalnega razvijalskega polja, pri čemer je vsak vezan na lokalnega gostitelja, razen če ga izrecno razširite.
- Multipleksiranje ControlMaster (ControlMaster auto, ControlPath ~/.ssh/cm-%r@%h:%p, ControlPersist 10m) ustavi ponovno izvajanje rokovanja ob vsakem odpiranju in omogoči takojšnje delovanje več oken na enem gostitelju.
- Keepalives ohranja seje prek NAT in prekine požarni zid v mirovanju: ServerAliveInterval 60 plus ServerAliveCountMax 3 na strani odjemalca večino časa premaga skrivnostna poročila 'seja je umrla po 4 minutah'.
- Omejitev nevarnega dostopa: -N (brez oddaljenega ukaza) za čista posredovanja vrat, -n za paketna opravila, ki berejo iz stdin, in fail2ban plus razumni MaxAuthTries, tako da groba sila umre v dnevnikih namesto v računih.
- Vrstni red odpravljanja napak je pomemben: ssh -vvv razkrije razčlenjevanje konfiguracije, pogajanja o avtorizaciji in napake kanala v tem vrstnem redu, izpis gostitelja -G pa odgovori, "zakaj je izbral ta ključ in tega uporabnika", ne da bi se dotaknil strežnika.
Terenska beležka
Nekoč sem onemogočil PasswordAuthentication, preden je bil novi ključ dejansko v authorized_keys, in svojo ekipo za en večer zaklenil ven. Ritual zdaj: druga seja odprta, ključ dokazano deluje in ServerAliveInterval v konfiguraciji, tako da padci nedejavnega bastiona NAT ustavijo seje.
Pogosta vprašanja
Vsak v enem stavku: -L, -R, -D?
-L prenese lokalna vrata naprej proti oddaljeni storitvi, -R potisne oddaljena vrata nazaj proti vašemu računalniku (natančno vedite, kaj ste izpostavili), -D pa odpre dinamični proxy SOCKS prek povezave.
Moja seja prekine po nekaj minutah mirovanja. popraviti?
Običajni vzrok je časovna omejitev nedejavnosti na NAT ali požarnem zidu: nastavite ServerAliveInterval na odjemalcu (in ohranite TCPKeepAlive zdrav na strežniku); isti popravek spada v konfiguracijo, ki jo uporabljate za kletne bastion skoke.
ssh-agent ali ključi brez gesla?
Agent, vedno: ima dešifrirane ključe na sejo, tako da ključi ohranijo gesla in avtomatizacija ostane neinteraktivna; ForwardAgent da na zaupanja vrednem braniku je v redu in ssh-add -l vam pove, kaj je naloženo, preden lažete sami sebi.
Kako preneham vnašati specifikacije tunela?
Vrstici LocalForward in RemoteForward znotraj gostiteljskih blokov: 'ssh dbtunnel' nato naredi vse; en vnos za vsak namen ohranja datoteko berljivo in omogoča revizijam, da natančno vidijo, kdo kaj posreduje.
Kako Kinetikatech pomaga s ukazi in spretnosti lupine linux
To je, kar vsak dan storimo: Ukazi in skriptne navade, ki odločajo, ali skrbnik upravlja strežnik ali se bori proti njemu: iskanje, preoblikovanje, prenos in nadzorovanje besedila in procesov z orodji, ki živijo v vsaki osnovni namestitvi. Naša storitev Varnost strežnikov Linux in Upravljanje strežnikov pokrije vse, od evaluacije do implementacije, monitoringu 24/7 in hitne intervencije v 30 minutah.