Что такое SSH?

Что это такое

SSH даёт администратору командную строку на удалённой машине. Всё, что передаётся по соединению, шифруется, включая сам вход. Он заменил старые инструменты, такие как Telnet, передававший пароли открытым текстом. Обычная реализация это OpenSSH, который поставляется с Linux, macOS и текущими версиями Windows. Сервер по умолчанию ожидает SSH на порту 22.

То же соединение может не только выполнять команды. Оно может копировать файлы (SCP и SFTP) и передавать другой трафик через зашифрованный туннель. Такие инструменты, как Git и Ansible, используют SSH внутри.

Ключи вместо паролей

SSH может принимать вход по паролю, но лучший метод это пара ключей. Закрытый ключ остаётся на компьютере администратора и никуда не передаётся. Соответствующий открытый ключ размещается на сервере. При входе сервер проверяет, что у человека есть закрытый ключ. Ключ нельзя подобрать так, как пароль, а у каждого администратора свой, поэтому доступ можно отозвать у одного человека за раз.

Почему это важно для бизнеса

• Так управляют серверами: обновления, ремонт и настройка серверов Linux, межсетевых экранов и коммутаторов выполняются по SSH.
• Это цель атак: любой сервер SSH, доступный из интернета, постоянно сканируется автоматическим подбором паролей.
• У доступа должен быть владелец: ключ, оставшийся на сервере после ухода сотрудника, продолжает работать. Кто-то должен вести список тех, кто может входить.

Хорошая практика

• Только ключи: отключите вход по паролю, когда ключи настроены.
• Никакого прямого входа под root: администраторы входят под своими именами и повышают привилегии при необходимости, поэтому в журнале видно, кто что сделал.
• Не выставляйте его в открытый интернет: подключайтесь к SSH через VPN или частную сеть вроде Tailscale или WireGuard либо ограничьте его известными адресами на межсетевом экране.
• Защищайте закрытый ключ: задайте для него парольную фразу или храните его на аппаратном ключе безопасности.
• Удаляйте ключи, когда люди уходят: считайте это частью процедуры увольнения.

Как KawaConnect работает с SSH

Мы администрируем по SSH серверы Linux, межсетевые экраны и сетевое оборудование, за которыми присматриваем, используя вход по ключам и удалённый доступ, не оставленный открытым в интернет. Доступ документируется, поэтому клиент может видеть, кто имеет возможность попасть в его системы. Это часть нашей работы по поддержке серверов Linux и сетевой безопасности.

Подробнее

• Secure Shell в ВикипедииНейтральный обзор протокола, его истории и применения.
• OpenSSHПроект, стоящий за ПО SSH в большинстве систем, со страницами руководства.
• OpenSSH в Arch WikiПрактический справочник по настройке ключей и укреплению сервера, полезный в любом дистрибутиве Linux.
• OpenSSH для WindowsРуководство Microsoft по клиенту и серверу SSH, встроенным в Windows.