أوامر Linux ومهارات Shell
ssh: الاتصال الذي يقوم بتشغيل البنية التحتية الخاصة بك
ssh ليس وسيلة راحة، بل هو نقل كل عملية على كل خادم، و~/.ssh/config عبارة عن عقد مع نفسك المستقبلي في الساعة 3 صباحًا. تعمل الأسماء المستعارة للمضيف، وإدخالات IdentityFile، وأهداف ProxyJump، وإعدادات البقاء على قيد الحياة على تحويل جمل العلامة التي يتم تذكرها إلى كلمة واحدة الأوامر. الأنفاق (-L، -R، -D) وتعدد إرسال ControlMaster هي التي تحول "الصدفة" إلى سطح أوامر البنية التحتية، وكلاهما عمل ملف تكوين، وليس عمل ذاكرة.
النقاط الرئيسية
- ضع كل شيء في ~/.ssh/config: الأسماء المستعارة للمضيف مع المستخدم وIdentityFile وIdentitiesOnly Yes، وProxyJump يجعلان "ssh prod-web1" كلمة واحدة؛ جملة العلامة المكتوبة بشكل مماثل خمس مرات في اليوم هي إدخال تكوين مفقود.
- المفاتيح هي اللعبة الوحيدة: ssh-keygen -t ed25519 -C 'role@team'، والنصف العام للمفاتيح المعتمدة، وPasswordAuthentication no على الخادم بمجرد إثبات عمل التدوير فعليًا.
- تم طي مضيفي الانتقال في علامة واحدة: ssh -J bastion.corp Internal-host، أو ProxyJump bastion.corp في كتلة المضيف؛ لا تزال تعويذات ProxyCommand القديمة تعمل ولم تعد وظيفة أي شخص.
- الأنفاق مخصصة لكل غرض: -L 5432:db.internal:5432 للوصول إلى قاعدة بيانات، -D 1080 كـ SOCKS تتنقل عبر شبكة صارمة، -R لكشف مربع تطوير محلي، كل منها مرتبط بالمضيف المحلي ما لم تقم بتوسيعه بشكل صريح.
- يتوقف تعدد إرسال ControlMaster (ControlMaster auto، ControlPath ~/.ssh/cm-%r@%h:%p، ControlPersist 10m) عن إعادة تشغيل المصافحة عند كل عملية فتح ويجعل النوافذ المتعددة تعمل على مضيف واحد بشكل فوري.
- تحافظ Keepalives على الجلسات من خلال NAT وإسقاط جدار الحماية الخامل: ServerAliveInterval 60 plus ServerAliveCountMax 3 يتفوق على جانب العميل الغامض "انتهت الجلسة في تقارير 4 دقائق" في معظم الأوقات.
- تقييد الوصول الخطير: -N (لا يوجد أمر عن بعد) لإعادة توجيه المنفذ النقي، -n للمهام المجمعة للقراءة من stdin، وfail2ban بالإضافة إلى MaxAuthTries، لذلك تموت القوة الغاشمة في السجلات بدلاً من الحسابات.
- ترتيب التصحيح مهم: يكشف ssh -vvv عن تحليل التكوين، وتفاوض المصادقة، وفشل القناة بهذا الترتيب، ويجيب تفريغ مضيف -G "لماذا اختار هذا المفتاح وهذا المستخدم" دون لمس الخادم.
ملاحظة ميدانية
لقد قمت ذات مرة بتعطيل مصادقة كلمة المرور قبل أن يكون المفتاح الجديد موجودًا فعليًا في المفاتيح المعتمدة وأغلقت فريقي في المساء. الطقوس الآن: الجلسة الثانية مفتوحة، ومفتاح العمل مثبت، وServerAliveInterval في التكوين، لذلك يسقط NAT المعقل الخامل ويوقف جلسات العمل.
أسئلة شائعة
في جملة واحدة لكل من: -L، -R، -D؟
-L يحمل منفذًا محليًا للأمام نحو خدمة بعيدة، -R يدفع المنفذ البعيد مرة أخرى نحو جهازك (اعرف بالضبط ما قمت بالكشف عنه)، ويفتح -D وكيل SOCKS الديناميكي من خلال الاتصال.
تنتهي جلستي بعد بضع دقائق من الخمول. يصلح؟
مهلة الخمول على NAT أو جدار الحماية هي السبب المعتاد: قم بتعيين ServerAliveInterval على العميل (واحتفظ بـ TCPKeepAlive عاقلا على الخادم)؛ ينتمي نفس الإصلاح إلى التكوين الذي تستخدمه لقفزات المعقل في الطابق السفلي.
وكيل ssh أو مفاتيح بدون عبارة مرور؟
الوكيل، دائمًا: يحتفظ بالمفاتيح التي تم فك تشفيرها في كل جلسة، لذا تحتفظ المفاتيح بعبارات المرور وتظل الأتمتة غير تفاعلية؛ ForwardAgent نعم على معقل موثوق به أمر جيد ويخبرك ssh-add -l بما تم تحميله قبل أن تكذب على نفسك.
كيف يمكنني التوقف عن إعادة كتابة مواصفات النفق؟
خطوط LocalForward وRemoteForward داخل كتل المضيف: يقوم 'ssh dbtunnel' بعد ذلك بتنفيذ الأمر برمته؛ إدخال واحد لكل غرض يبقي الملف قابلاً للقراءة ويتيح لعمليات التدقيق معرفة من يقوم بإعادة توجيه ماذا بالضبط.
كيف تساعدك Kinetikatech في أوامر linux ومهارات shell
لقد حللنا هذا مئات المرات: الأوامر وعادات البرمجة النصية التي تحدد ما إذا كان المسؤول يشغل الخادم أم يحاربه: البحث عن النصوص والعمليات وتحويلها ونقلها والإشراف عليها باستخدام الأدوات الموجودة في كل تثبيت أساسي. مع أمن خوادم لينكس و إدارة الخوادم تحصل على الدورة الكاملة: نقيّم وننفذ ونراقب على مدار الساعة ونستجيب خلال 30 دقيقة عندما يكون الأمر مهمًا.