@worldmind10 июл 2010 в 15:27

Удобная и безопасная работа с серверами по ssh

3 мин

9.1K

Комментарии 39

@xn__p2a 10 июл 2010 в 15:34

Под Windows для файлового обмена по протоколу SCP и SFTP удобно использовать графическую утилиту WinSCP или WinSCP-плагин для файловых менеджеров FAR Manager или Total Commander.

@StamPit 10 июл 2010 в 15:49

Для файлового обмена замечательно работает FileZilla. Умеет SFTP, притом крайне качественно и кроссплатформенно =)

@Q2W 10 июл 2010 в 16:50

А ещё удобней монтировать сервер по sftp прямо себе в файловую систему.
Тогда можно открывать файлы на удалённой прямо в редакторе как локальные.
И не нужно заморачиваться со всякими [s]ftp-клиентами, копировать по сто раз файлы на сервер и проч.

Для этого можно воспользоваться консольной утилитой вроде sshfs, либо гуёвыми типа gigolo.
Ещё у гнома есть какой-то встроенный функционал для этого, и у kde вроде тоже.

@StamPit 11 июл 2010 в 06:43

У гнома есть VFS для sftp: ALT+F2, sftp://user@server:/folder — и вот смонтированная директория. Единственный минус перед sshfs — невозможность попасть туда из окна выбора файла (для открытия или сохранения)

@Q2W 11 июл 2010 в 08:44

На сколько я понимаю, для того, чтобы директория реально появилась в файловой системе, но поставить пакет fuse-gvfs или gvfs-fuse, как-то так.

@xn__p2a 10 июл 2010 в 15:43

А вообще статья ни о чём. Такое впечатление, что статья просто ради публикации на хабре.
И про screen, и про работу с SSH по ключам тут были отдельные и более информативные статьи.

@worldmind 10 июл 2010 в 16:10

Хотелось сделать обзор всех полезных технологий для активно работающих с ssh, естественно по каждой теме есть более подробные статьи, возможно и на хабре

@xn__p2a 10 июл 2010 в 18:48

Вы действительно думаете, что активно работающие по SSH этого не знают?

@worldmind 11 июл 2010 в 11:14

Всё происходит постепенно, когда у тебя всего пару серваков, хватает парольной авторизации и даже не задумываешься о других вариантах, а когда их число растёт начинаешь искать более оптимальные варианты, для тех кто ещё не начал искать этот обзор будет полезен

НЛО прилетело и опубликовало эту надпись здесь

@amarao 10 июл 2010 в 16:01

А теперь вопрос: в чём разница между фразой к ключу и парольной авторизацией? Я не про техническую часть, я про практическое применение.

@RainFall 10 июл 2010 в 16:05

1 раз ввел — дальше без пароля.
А так каждый раз пароль.

Я вообще несекурно ключи делаю беспарольные :)

@amarao 10 июл 2010 в 16:08

Я тоже. Только у меня с каждой машины свой ключ (т.е. если я подключаюсь из дома к серверу, это не то же самое, что подключение снаружи). В случае компрометации машины нужно отозвать только один ключ, а не переделывать всё и вся.

@RainFall 10 июл 2010 в 16:09

Буду считать это ответом на мой вопрос ниже. Спасибо.

@worldmind 10 июл 2010 в 16:16

Парольная фраза одна на ключ, который может быть на множестве серверов (одинаковый пароль на всех серверах это не самое лучшее решение) — легче запомнить и можно сделать достаточно сложной, остальное сказал ниже RainFall

@RainFall 10 июл 2010 в 16:06

А как лучше поступить, если есть 3 сервера, и с каждого на каждый хочется заходить без пароля?

Сгенерить три приватных в .ssh ключа для каждого сервера, и 3 .pub также раскидать на каждый из серверов?

@Ar2r 11 июл 2010 в 18:03

именно так. или путем тунелирования — выбрать один главный сервер, с которого будет доступ на все сервера и на который будет доступ с любого.

@lushchick 10 июл 2010 в 16:34

Для еще большего удобства можно создать файл ~/.ssh/config, поместить в него пару строк:

Host ex
HostName ssh.example.com
User user_name
Port 2002

И коннектиться:

ssh ex

НЛО прилетело и опубликовало эту надпись здесь

@worldmind 17 авг 2010 в 08:30

Да, весьма удобно, бывает что и юзер и порт отличаются от дефолтных

@r0ster 10 июл 2010 в 17:13

Для ОС Windows, есть еще Kitty
(KiTTY — это модифицированная версия программы PuTTY)

@Ar2r 11 июл 2010 в 18:01

китти рулез. сам им пользуюсь.

@r0ster 11 июл 2010 в 18:41

У меня вопрос, у вас было такое, что Kitty не может отрезолвить домен? Приходится вручную писать, после этого коннект идет… но это не всегда так бывает, а временами.

@Ar2r 11 июл 2010 в 18:44

домены не использую, поэтому сказать не могу. извините.

@powerman 10 июл 2010 в 18:50

Работа с ssh-agent и ssh-add на самом деле не столь проста и прозрачна.

Во-первых, есть проблема перехвата доступа к вашим ключам. Дело в том, что ssh для доступа к ssh-agent использует UNIX-socket в /tmp/ssh-XXX/, доступ к которому ограничен файловыми правами доступа. А это значит, что не только вы, но и root этой системы получает доступ везде, где есть доступ по ssh у вас. Допустим, дома вы работаете один, и root это тоже вы. Следующая проблема возникает при включённой (в /etc/ssh/ssh_config или ~/.ssh/config) опции ForwardAgent yes. Эта опция позволяет после подключения к удалённой машине по ssh сохранить доступ с той машины к вашему ssh-agent, т.е. можно без ввода пароля с той машины открыть ssh доступ к любой другой машине где у вас есть доступ. Соответственно, root того сервера (которым вы уже, как правило, не являетесь) опять же может перехватить доступ к вашим ключам. Сейчас ForwardAgent по умолчанию обычно выключен, но, насколько я помню, в старых версиях openssh он мог быть включён по умолчанию.

Во-вторых, есть несколько разных утилит ssh-askpass, через которые ssh может запрашивать пароль пользователя. Например, в портаж Gentoo есть net-misc/ssh-askpass-fullscreen и net-misc/x11-ssh-askpass. При этом первая не поддерживает некоторые спец.символы в пароле (например, табуляцию :)).

В-третьих, в некоторых системах (включая как минимум мой Gentoo) чтобы ssh-add запросил пароль через графическую askpass-утилиту, а не в текстовом режиме, необходимо запускать ssh-add </dev/null.

Ещё, если вы используете ForwardAgent yes, а от перехвата ваших ключей пытаетесь защититься с помощью опции ssh-add -c (запрос подтверждения при каждом доступе к ключу), и некоторые из ваших ключей не запаролены (для использования из скриптов без ssh-agent), то в ssh-add эти ключи добавлять нельзя, иначе на не запароленные ключи тоже будет требоваться подтверждение.

@worldmind 11 июл 2010 в 11:16

Если вы работаете со своей машины, вы там и root, если со стороннего сервака и положили там свой закрытый ключ, то причём тут tmp файлы — рут и ключ ваш заберёт и ввод парольной фразы перехватит

@powerman 11 июл 2010 в 15:22

Это не совсем так. Если относится к безопасности с позиции юношеского максимализма, и воспринимать сторонний сервер как шарообразную лошадь в вакууме — тогда Вы правы. Но с этой позиции что-либо защищать и шифровать вообще не имеет смысла, т.к. взломать рано или поздно можно что угодно.

Во-первых, ваш приватный ключ на стороннем сервере зашифрован паролем, так что несмотря на то, что root того сервера может считать этот ключ, при выборе надёжного пароля ему это не поможет — ломать перебором он его будет вечно.

Во-вторых, со сторонним сервером Вы работаете по ssh, так что для перехвата вашего пароля root-у потребуется заменить /usr/sbin/sshd на пропатченную им версию — а это совсем не такая тривиальная задача как доступ к чужому unix-сокету в /tmp/ssh-XXX/. Вся защита и безопасность по сути строятся как раз на усложнении, замедлении и удорожании взлома, а не гарантии невозможности взлома.

Ну и в-третьих, таким образом root того сервера может получить доступ только к тем Вашим приватным ключам, которые лежат на его сервере, и только тогда, когда Вы этими ключами воспользуетесь. А в случае с «ForwardAgent yes» он получит доступ ко всем ключам лежащим на Вашей рабочей станции, причём сразу, не дожидаясь пока Вы ими воспользуетесь.

НЛО прилетело и опубликовало эту надпись здесь

@Imposeren 10 июл 2010 в 20:45

«в ~/.kde/Autostart» Фу! А писать в .xinitrc не пробовали? Или вообще пользоваться нормальным ssh-agent`ом, и записать в .bashrc (.zshrc и т.п.)

@Imposeren 10 июл 2010 в 20:47

Про ssh-agent я конечно проффтыкал, но вот в WM`овский автостарт что-то писать это извращение.

@worldmind 11 июл 2010 в 11:17

1. .xinitrc не пробовал, надо разбираться, если есть пример поделись
2. А чем лучше писать в .bashrc?

@Imposeren 11 июл 2010 в 13:53

.xinitrc — автоматически запускает разные приложения при старте иксов (т.е. независимо от того kde вы используете или гном). Вообще-то разницы особо нет, но для гайдов лучше писать универсальный вариант. Правда не знаю наверняка… Т.е. если KDE стартует через startx, то ~/.xinitrc наверняка исполняется. А вот если через KDM, то я не уверен.
Просто надо написать что запускать, ну и не забыть послать процессы в фон.

Например:
xrdb -merge .Xdefaults &
xsetroot -solid midnightblue &
feh --bg-scale /home/imp/atoplevel/BGs/mossy-16-8.jpg &
stalonetray &

Ну а в вашем случае надо ssh-add запускать
numlockx &

@worldmind 12 июл 2010 в 07:05

> Вообще-то разницы особо нет, но для гайдов лучше писать универсальный вариант.

согласен, но тогда придётся сюда интегрировать гайд по .xinitrc, что наверно излишне когда есть более простой вариант

@Imposeren 12 июл 2010 в 07:10

гайд по .xinitrc быдет выглядеть так:
echo «your_command &» >> ~/.xinitrc
(=

@worldmind 12 июл 2010 в 17:35

эксперимент с .xinitrc пока не удался

@worldmind 22 авг 2010 в 19:34

А для тех у кого нестабильный коннект есть утилита autossh

@worldmind 8 дек 2010 в 07:18

Аналоги yakuake для Gnome — guake и tilda

@worldmind 15 мар 2011 в 13:45

Если ключей становится много, то есть вероятность напороться на ошибку «Too many authentication failures», как написано тут это связано с тем что по умолчанию на сервер шлются все ключи, а некоторые сервера банят после нескольких попыток, поэтому нужно добавить в конфиг строчку
IdentitiesOnly yes
т.е. для такого сервака в .ssh/config будет примерно так:

Host ex

HostName example.com

IdentityFile ~/.ssh/work

IdentitiesOnly yes

User username

Port 22

@worldmind 21 янв 2019 в 09:10

Для освежения по следам:
ssh-keygen -t rsa -b 4096 -o -a 100 -f ~/.ssh/git -C 'your@e.mail'

Зарегистрируйтесь на Хабре, чтобы оставить комментарий