Linux parancsok és shell készségek
ssh: Az infrastruktúrát működtető kapcsolat
Az ssh nem kényelem, hanem minden művelet átvitele minden szerveren, amelyen minden kiszolgáló fut, és az ~/.ssh/config egy szerződés a jövőbeli éneddel hajnali 3 órakor. A gazdagép álnevek, az IdentityFile bejegyzések, a ProxyJump célok és a Keepalive beállítások egyszavas parancsokká változtatják az emlékezett zászlómondatokat. Az alagutak (-L, -R, -D) és a ControlMaster multiplexelés az, ami a „héjat” infrastruktúra parancsfelületté alakítja, és mindkettő konfigurációs fájl munka, nem memóriamunka.
Kulcspontok
- Tegyen mindent a ~/.ssh/config fájlba: A gazdagép álnevek User, IdentityFile, IdentitiesOnly yes és ProxyJump segítségével az 'ssh prod-web1' egy szót tesz ki; a napi ötször azonosan begépelt zászlómondat hiányzó konfigurációs bejegyzés.
- A kulcsok jelentik az egyetlen játékot: ssh-keygen -t ed25519 -C 'role@team', nyilvános fele jogosult_kulcsokhoz, és PasswordAuthentication no a szerveren, ha a rotáció valóban működik.
- Az ugrás gazdagépei egyetlen jelzőbe omlottak: ssh -J bastion.corp internal-host vagy ProxyJump bastion.corp a Host blokkban; a régi ProxyCommand varázslatok továbbra is működnek, és már senkinek sem a feladata.
- Az alagutak rendeltetésszerűek: -L 5432:db.internal:5432, hogy elérjenek egy adatbázist, -D 1080 SOCKS-ként egy szigorú hálózaton keresztül, -R, hogy egy helyi fejlesztői dobozt jelenítsenek meg, mindegyik a localhosthoz kötődik, hacsak nem bővíti ki kifejezetten.
- A ControlMaster multiplexelés (ControlMaster auto, ControlPath ~/.ssh/cm-%r@%h:%p, ControlPersist 10m) leállítja a kézfogások ismételt futtatását minden megnyitáskor, és azonnali többablakos működést tesz lehetővé egyetlen gazdagépen.
- A Keepalives fenntartja a munkameneteket a NAT-on és a tétlen tűzfalon keresztül: a ServerAliveInterval 60 plusz a ServerAliveCountMax 3 kliensoldali verziója a legtöbbször legyőzi a titokzatos „munkamenetet 4 perces jelentésekkor”.
- A veszélyes hozzáférés korlátozása: -N (nincs távoli parancs) a tiszta porttovábbításhoz, -n az stdin-ből olvasott kötegelt feladatokhoz, valamint a fail2ban plusz ésszerű MaxAuthTries, így a brutális erő hal meg a naplókban a fiókok helyett.
- A hibakeresési sorrend számít: az ssh -vvv felfedi a konfigurációs elemzést, a hitelesítési egyeztetést és a csatornahibákat ebben a sorrendben, a -G gazdagép kiíratása pedig azt válaszolja, hogy „miért választotta ezt a kulcsot és azt a felhasználót” anélkül, hogy hozzáérne a szerverhez.
Terepi jegyzet
Egyszer letiltottam a PasswordAuthentication funkciót, mielőtt az új kulcs valóban az authorizált_kulcsokba került volna, és egy estére kizártam a saját csapatomat. A rituálé most: a második munkamenet megnyitása, a kulcs bizonyítottan működik, és a ServerAliveInterval a konfigurációban, így a tétlen bástya NAT-cseppjei megállítják a munkamenetek megölését.
Gyakori kérdések
Egy-egy mondatban: -L, -R, -D?
-L egy helyi portot továbbít egy távoli szolgáltatás felé, -R egy távoli portot visz vissza a gép felé (pontosan tudja, mit tett közzé), és -D egy dinamikus SOCKS proxyt nyit meg a kapcsolaton keresztül.
A munkamenetem néhány üresjárat után leáll. Javítani?
A szokásos ok a tétlenségi időkorlát a NAT-on vagy a tűzfalon: állítsa be a ServerAliveInterval-t az ügyfélen (és tartsa a TCPKeepAlive-ot a kiszolgálón észnél). ugyanaz a javítás a pince bastion hopokhoz használt konfigurációjába tartozik.
ssh-agent vagy jelszó nélküli kulcsok?
Ügynök, mindig: munkamenetenként visszafejtett kulcsokat tárol, így a kulcsok megtartják a jelmondatokat, és az automatizálás nem interaktív marad; A ForwardAgent yes egy megbízható bástyán rendben van, és az ssh-add -l megmondja, hogy mi van betöltve, mielőtt hazudni kezdesz magadnak.
Hogyan állíthatom le az alagútspecifikációk újragépelését?
A LocalForward és a RemoteForward sorok a Host blokkon belül: 'ssh dbtunnel' ezután elvégzi az egészet; Célonként egy bejegyzés olvashatóvá teszi a fájlt, és lehetővé teszi, hogy az auditok pontosan lássák, ki mit továbbít.
Hogyan segít a Kinetikatech a linux parancsok és shell készségek területén
Őszintén szólva, a legtöbb csapat azután keres meg minket, hogy előbb maga próbálkozott: Azok a parancsok és szkriptelési szokások, amelyek eldöntik, hogy a rendszergazda üzemeltet-e egy kiszolgálót, vagy küzd ellene: keressen, alakítson, vigyen át és felügyeljen szöveget és folyamatokat a minden alaptelepítésben megtalálható eszközökkel. A Linux-szerverbiztonság és Szerveradminisztráció szolgáltatásunk épp azért van, hogy ne az éles rendszeren ismerkedj meg a linux parancsok és shell készségek területével; mi vállaljuk az üzembe helyezést, a felügyeletet és a hajnali három órai meglepetéseket.