ssh: การเชื่อมต่อที่เรียกใช้โครงสร้างพื้นฐานของคุณ

ประเด็นสำคัญ

• ใส่ทุกอย่างใน ~/.ssh/config: Host aliases ด้วย User, IdentityFile, IdentitiesOnly yes และ ProxyJump ทำให้ 'ssh prod-web1' เป็นคำเดียว ประโยคแฟล็กที่พิมพ์เหมือนกันห้าครั้งต่อวันถือเป็นรายการการกำหนดค่าที่ขาดหายไป
• คีย์เป็นเพียงเกมเดียว: ssh-keygen -t ed25519 -C 'role@team', ครึ่งสาธารณะถึงauthorized_keysและPasswordAuthentication noบนเซิร์ฟเวอร์เมื่อการหมุนได้รับการพิสูจน์แล้วว่าใช้งานได้จริง
• โฮสต์ Jump ยุบเป็นแฟล็กเดียว: ssh -J bastion.corp Internal-host หรือ ProxyJump bastion.corp ในบล็อก Host คาถา ProxyCommand แบบเก่ายังคงใช้งานได้และไม่ใช่งานของใครอีกต่อไป
• Tunnels มีวัตถุประสงค์เฉพาะ: -L 5432:db.internal:5432 เพื่อเข้าถึงฐานข้อมูล -D 1080 เป็น SOCKS shim ผ่านเครือข่ายที่เข้มงวด -R เพื่อแสดงกล่อง dev ในเครื่อง ซึ่งแต่ละอันเชื่อมโยงกับ localhost เว้นแต่คุณจะขยายอย่างชัดเจน
• มัลติเพล็กซ์ของ ControlMaster (อัตโนมัติ ControlMaster, ControlPath ~/.ssh/cm-%r@%h:%p, ControlPersist 10m) หยุดการรันการจับมือกันใหม่ทุกครั้งที่เปิด และทำให้หลายหน้าต่างทำงานบนโฮสต์เดียวได้ทันที
• Keepalives เก็บเซสชันผ่าน NAT และไฟร์วอลล์ที่ไม่ได้ใช้งาน: ServerAliveInterval 60 บวกกับฝั่งไคลเอ็นต์ ServerAliveCountMax 3 เต้นลึกลับ 'เซสชันเสียชีวิตในเวลา 4 นาที' รายงานเกือบตลอดเวลา
• จำกัดการเข้าถึงที่เป็นอันตราย: -N (ไม่มีคำสั่งระยะไกล) สำหรับการส่งต่อพอร์ตล้วนๆ -n สำหรับงานแบตช์ที่อ่านจาก stdin และ failed2ban บวกกับ MaxAuthTries ที่มีสติ ดังนั้น bruteforce จึงตายในบันทึกแทนที่จะเป็นบัญชี
• ลำดับการแก้ไขข้อบกพร่องมีความสำคัญ: ssh -vvv เผยการแยกวิเคราะห์การกำหนดค่า การเจรจาต่อรองการรับรองความถูกต้อง และความล้มเหลวของช่องสัญญาณตามลำดับนั้น และการถ่ายโอนข้อมูลโฮสต์ -G ตอบว่า 'เหตุใดจึงเลือกคีย์นั้นและผู้ใช้นั้น' โดยไม่ต้องแตะเซิร์ฟเวอร์

บันทึกจากหน้างาน

ครั้งหนึ่งฉันเคยปิดการใช้งาน PasswordAuthentication ก่อนที่รหัสใหม่จะอยู่ใน allowance_keys และล็อคทีมของฉันเองออกไปในช่วงเย็น พิธีกรรมตอนนี้: เปิดเซสชันที่สอง คีย์ได้รับการพิสูจน์แล้ว และ ServerAliveInterval ในการกำหนดค่า ดังนั้น NAT ของป้อมปราการที่ไม่ได้ใช้งานจึงหยุดการฆ่าเซสชัน

คำถามที่พบบ่อย