Klucze Publiczne i Prywatne SSH

Wymagania

• Pewnej znajomości zarządzania systemem z poziomu konsoli
• Serwera oraz maszyny klienckiej z systemem Rocky Linux z zainstalowanym pakietem openssh
  • OK, z technicznego punktu widzenia, ta metoda powinna działać na każdej dystrybucji Linuxa z zainstalowanym pakietem openssh
• Opcjonalnie - znajomość systemu uprawnień w systemie Linux

Wstęp

SSH jest protokołem używanym do zdalnego łączenia się z jednej maszyny do drugiej, zwykle z poziomu konsoli. Z pomocą SSH możesz zdalnie wykonywać polecenia na serwerach, jak również przesyłać pliki, czyli w ogólności zarządzać wszystkimi swoimi zdalnymi maszynami z jednego miejsca.

Kiedy zarządzasz wieloma serwerami opartymi o Rocky Linux w wielu różnych lokalizacjach i chciałbyś zaoszczędzić trochę czasu przy łączeniu z nimi, SSH daje Ci możliwość użycia par kluczy prywatny-publiczny. Te pary kluczy ułatwiają logowanie się i pozwalają zaoszczędzić czas.

Ten dokument przeprowadzi Cię przez proces utworzenia pary kluczy oraz skonfigurowania Twoich serwerów do korzystania z nich.

Proces generowania kluczy

Poniższe polecenia będą uruchamiane wprost w konsoli Twojej stacji roboczej:

ssh-keygen -t rsa

co wyświetli następujący wynik:

Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):

Nacisnij enter aby zaakceptować domyślną lokalizację plików. System zapyta Cię:

Enter passphrase (empty for no passphrase):

Więc po prostu naciśnij Enter tutaj. Ponownie zostaniemy zapytani o hasło:

Enter same passphrase again:

A więc naciskamy Enter po raz ostatni.

Powinieneś teraz już mieć parę kluczy RSA, prywatny oraz publiczny, w Twoim katalogu .ssh .

ls -a .ssh/
.  ..  ..

Teraz wyślemy nasz klucz publiczny (id_rsa.pub) na każdy z serwerów z którymi będziemy się łączyć. Ale najpierw zanim to zrobimy upewnijmy się że mamy dostęp przez SSH do kazdej z tych maszyn. W naszym przykładzie posłużymy się tylko trzema serwerami.

Jeśli chodzi o łączenie się z serwerami za pomocą SSH to można to zrobić albo po adresie IP albo przez nazwę (DNS), w naszym przykładzie będziemy używać nazwy DNS. Nasze przykładowe serwry będą obsługiwać usługi www, mail oraz portal. Do każdego z serwerów będziemy się SSH-ować (prawdziwi nerdzi uwielbiają używać terminu SSH jako czasownik) i zostawiać otwarte okna konsol:

ssh -l root web.ourourdomain.com

Zakłóżmy że możemy się bez problemów zalogować na trzy maszyny, a zatem następny krok to porozsyłanie naszego publicznego klucza po wszystkich serwerach.

scp .ssh/id_rsa.pub root@web.ourourdomain.com:/root/

Powtarzamy ten krok dla każdego serwera.

Teraz w kazdym z otwartych okien terminali (konsol) możemy zobaczyć nasze skopiowane pliki za pomocą komendy:

ls -a | grep id_rsa.pub

Jeśli tak jest (jeśli widzimy te pliki) to teraz możemy dodać nasze klucze do plików authorized_keys znajdujących się w katalogu .ssh konta na które się łączymy na każdym serwerze (przypomnę, że dla potrzeb tego materiału jest to konto root'a). Jeśli nie ma tam pliku authorized_keys tworzymy go. Na każdym z serwerów wpisz to polecenie:

ls -a .ssh

Ważne!

Upewnij się że zapoznałeś się z poniższymi instrukcjami dokładnie. Jeśli nie jesteś pewien kolejnego kroku, zrób najpierw kopię authorized_keys (jeśli istnieje) na kazdym serwerze zanim zrobisz krok dalej.

Jeśli nie powyższa komenda nie wyświetli pliku authorized_keys wtedy tworzymy go poleceniem (wykonanym w katalogu /root ):

cat id_rsa.pub > .ssh/authorized_keys

A jeśli authorized_keys już istnieje wtedy tylko dodajemy nasz klucz do listy zapisanych w tym pliku poleceniem:

cat id_rsa.pub >> .ssh/authorized_keys

Kiedy już klucze będą dodane do istniejących plików authorized_keys bądź pliki authorized_keys zostaną przy tej okazji utworzone spróbujmy zalogować się poprzez SSH do naszych serwerów. Jeśli wszystko przebiegło pomyślnie nie zostaniemy poproszeni o podanie hasła.

Kiedy już zweryfikujemy pomyśłnie nowy sposób logowania się, możemy bezpiecznie usunąć pliki id_rsa.pub z katalogu /root każdego z serwerów poleceniem:

rm id_rsa.pub

Zabezpieczenie kluczy SSH i pliku authorized_keys

Upewnijmy się że na każdym z serwerów zostaną ustawione następujące prawa dostępu:

chmod 700 .ssh/ chmod 600 .ssh/authorized_keys

Author: Steven Spencer

Contributors: Ezequiel Bruni, markooff