Основы SSH

ssh user@host открывает зашифрованную интерактивную оболочку на удалённой машине. Синтаксис прост: user — это Unix-аккаунт на удалённой стороне; host — имя хоста или IP-адрес.

ssh deploy@server.example

SSH согласовывает зашифрованный канал (асимметричная криптография для обмена ключами, симметричная для основных данных), аутентифицирует тебя (по паролю или ключу — об этом в следующем уроке) и переводит тебя в оболочку на удалённой машине. Ввод из терминала передаётся по зашифрованному каналу; удалённый вывод возвращается тем же путём.

ssh deploy@198.51.100.10          # подключение по IP
ssh deploy@server.example -p 2222 # нестандартный порт

Порт по умолчанию — 22. Когда администраторы меняют его для снижения автоматизированного сканирования, ты передаёшь -p ПОРТ.

Запрос ключа хоста реализует Trust On First Use (TOFU). При первом SSH-подключении к хосту ты видишь что-то вроде:

The authenticity of host 'server.example (198.51.100.10)' can't be established.
ED25519 key fingerprint is SHA256:abc123XYZfakeFingerprint+placeholder/example.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

SSH говорит тебе: «Я никогда не видел этот хост. Отпечаток его публичного ключа — X. Это действительно та машина, к которой ты хочешь подключиться?» Если ты соглашаешься, SSH сохраняет публичный ключ хоста в ~/.ssh/known_hosts. При каждом следующем подключении он сравнивает ключ сервера с сохранённым. Если они отличаются, SSH отказывается подключаться и выводит громкое предупреждение — потому что несовпадение означает либо пересборку сервера, либо перехват соединения.

Правильная практика: проверь отпечаток через сторонний канал (консоль облачного провайдера, систему провизионирования или коллегу), прежде чем печатать «yes». На практике во внутренних доверенных сетях этот шаг часто пропускают — но для публичных серверов проверка важна.

~/.ssh/known_hosts хранит ранее доверенные ключи хостов. После того как ты принял запрос, файл пополняется одной строкой:

server.example,198.51.100.10 ssh-ed25519 AAAA...base64key...

Если тот же сервер впоследствии пересобирается, его ключ хоста меняется. SSH выведет заметное предупреждение и откажется подключаться:

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

Для восстановления удали устаревшую запись командой ssh-keygen -R server.example и переподключись. То же предупреждение появляется при атаке типа «человек посередине» — поэтому не следует слепо удалять запись, не убедившись, что сервер действительно был законно пересобран.

~/.ssh/config устраняет повторение флагов. Печатать ssh -p 2222 deploy@web01.example.com при каждом подключении ненадёжно. Файл конфигурации сопоставляет короткие псевдонимы с полными параметрами подключения:

Host prod
    HostName web01.example.com
    User     deploy
    Port     2222

Host staging
    HostName 203.0.113.50
    User     deploy
    Port     22

С этим конфигом ssh prod эквивалентно ssh -p 2222 deploy@web01.example.com. Файл использует отступы (пробелы или табуляции — SSH не важно) под каждым блоком Host. HostName — реальный адрес (значение Host — только локальный псевдоним). User задаёт имя удалённого пользователя. Port переопределяет порт по умолчанию 22.

Можно также задать глобальные настройки перед любым блоком Host:

ServerAliveInterval 60
ServerAliveCountMax 3

Эти две строки отправляют keepalive-пакет каждые 60 секунд — полезно для предотвращения сброса простаивающих соединений NAT или файрволами.

~/.ssh/config также поддерживает шаблоны. Блок Host * в конце применяется ко всем подключениям, не совпавшим с предыдущими блоками:

Host prod
    HostName web01.example.com
    User     deploy
    Port     2222

Host *.example.com
    User     deploy

Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3

SSH читает файл сверху вниз и применяет первое совпадающее значение для каждой настройки. Так prod получает конкретные HostName и Port, любой другой хост .example.com получает User deploy, и каждое подключение получает keepalive. Это слоение позволяет не повторять одинаковые значения для множества хостов.