SSH: безопасное удаленное управление сервером в Linux

Знаете, что чаще всего взламывают на свежем VPS? Не сложный код приложения, а банальный пароль root. Если вы подключаетесь к серверу по SSH, используя только пароли и стандартные настройки, вы уже в зоне риска. SSH - это не просто команда для входа, это ваш главный щит и меч в мире Linux. В этой статье разберем, как настроить его так, чтобы спали спокойно, а хакеры ломали голову.

Почему старый добрый Telnet больше не вариант

Если вы когда-либо использовали Telnet, то знаете: он отправляет всё открытым текстом. Логин, пароль, команды - всё летит по сети как на ладони. Любой снифер в той же локальной сети видит ваши данные. Secure Shell (SSH)

Но безопасность зависит не только от наличия шифрования, но и от того, как вы им пользуетесь. Многие админы оставляют вход по паролю включенным «на всякий случай». А зря. Брутфорс-атаки сканируют интернет круглосуточно, подбирая простые комбинации вроде admin/admin или root/password.

Генерация ключей: ваш пропуск без пароля

Самый надежный способ входа - использование пары криптографических ключей. Приватный ключ хранится у вас на ноутбуке, публичный - на сервере. Они математически связаны, но из публичного нельзя восстановить приватный.

Откройте терминал на своей машине (Linux/macOS) или используйте PowerShell в Windows 10/11 и выполните команду:

ssh-keygen -t ed25519 -C "ваш[email protected]"

Флаг -t ed25519 указывает алгоритм шифрования. Это современный стандарт, который короче и быстрее старого RSA. Система спросит, куда сохранить ключ. Нажмите Enter для стандартного пути (~/.ssh/id_ed25519). Затем вам предложат установить кодовую фразу (passphrase). Не пропускайте этот шаг! Если кто-то украдет ваш ноутбук, без passphrase они не смогут использовать ключ.

Копирование ключа на сервер

Теперь нужно перенести публичный ключ (id_ed25519.pub) на сервер. Есть два способа:

• Автоматический: Используйте утилиту ssh-copy-id user@server_ip. Она сама создаст нужные папки и права доступа.
• Ручной: Скопируйте содержимое файла id_ed25519.pub и добавьте его в файл ~/.ssh/authorized_keys на сервере. Каждая строка в этом файле - это один разрешенный ключ.

Важно проверить права доступа. Папка .ssh должна иметь права 700, а файл authorized_keys - 600. Если права слишком широкие, SSH откажется работать из соображений безопасности.

Настройка конфига: закрываем двери

Конфигурация сервера находится в файле /etc/ssh/sshd_config. Перед редактированием сделайте резервную копию. Вот критические параметры, которые нужно изменить сразу после установки:

После изменений сохраните файл и перезапустите службу:

sudo systemctl restart ssh

Не закрывайте текущую сессию, пока не откроете новую и не проверите, что вход работает. Иначе рискуете остаться с заблокированным доступом.

Проброс портов и туннелирование

SSH умеет не только давать командную оболочку. Он может пробрасывать порты. Допустим, у вас на сервере крутится база данных PostgreSQL на порту 5432, но она закрыта фаерволом от внешнего мира. Как подключиться к ней с вашего ПК?

Используйте локальный проброс портов:

ssh -L 5432:localhost:5432 user@server_ip

Эта команда говорит: «Все запросы к порту 5432 на моем локальном компьютере отправляй через SSH на порт 5432 сервера, где localhost - это сам сервер». Теперь вы можете открыть GUI-клиент базы данных на своем ноутбуке и подключиться к localhost:5432, как будто база стоит рядом.

Есть еще удаленный проброс (-R) и динамический SOCKS-прокси (-D). Последний полезен, если нужно обойти гео-блокировки или выйти в интернет из чужой сети безопасно.

Передача файлов: scp vs rsync

Для копирования файлов поверх SSH есть несколько инструментов. Старый добрый scp прост, но примитивен. Он копирует файлы целиком, даже если изменилась одна буква.

Для синхронизации лучше использовать rsync. Он передает только отличия, экономит трафик и умеет восстанавливать прерванные передачи.

rsync -avz -e ssh ./local_folder/ user@server:/remote/path/

Флаги означают: -a (архивный режим, сохраняет права), -v (подробный вывод), -z (сжатие при передаче).

Диагностика проблем с подключением

Если SSH не пускает, не паникуйте. Начните с verbose-режима:

ssh -vvv user@server_ip

Вы увидите полный лог handshake-процесса. Частые причины отказов:

• Connection refused: Сервис SSH не запущен или блокируется фаерволом (ufw/firewalld).
• Permission denied (publickey): Ключ не добавлен в authorized_keys или неверные права на папку .ssh.
• Timeout: Проблема с маршрутизацией или IP-адрес указан неверно.

Проверьте статус службы на сервере через консоль провайдера (если SSH совсем недоступен): systemctl status ssh. Также убедитесь, что в правилах безопасности облачного провайдера (AWS Security Groups, Yandex Cloud Firewall) открыт нужный порт.