SSH: 인프라를 실행하는 연결

핵심 내용

1. 모든 것을 ~/.ssh/config에 넣으세요. User, IdentityFile, IdentitiesOnly yes 및 ProxyJump를 사용한 호스트 별칭은 'ssh prod-web1'을 한 단어로 만듭니다. 하루에 5번 동일하게 입력되는 플래그 문장은 구성 항목이 누락된 것입니다.
2. 키는 유일한 게임입니다. ssh-keygen -t ed25519 -C 'role@team', Authorized_keys에 대한 공개 절반 및 순환이 실제로 작동하는 것으로 입증되면 서버의 PasswordAuthentication no입니다.
3. 점프 호스트는 ssh -J bastion.corp 내부 호스트 또는 호스트 블록의 ProxyJump bastion.corp라는 하나의 플래그로 축소되었습니다. 이전 ProxyCommand 주문은 여전히 ​​작동하며 더 이상 누구의 일도 아닙니다.
4. 터널은 목적에 따라 사용됩니다. -L 5432:db.internal:5432는 데이터베이스에 연결하고, -D 1080은 엄격한 네트워크를 통해 SOCKS shim으로 사용하며, -R은 로컬 개발 상자를 노출하며 명시적으로 확장하지 않는 한 각각은 localhost에 바인딩됩니다.
5. ControlMaster 멀티플렉싱(ControlMaster auto, ControlPath ~/.ssh/cm-%r@%h:%p, ControlPersist 10m)은 열려 있을 때마다 핸드셰이크 재실행을 중지하고 즉시 하나의 호스트에서 다중 창 작업을 수행합니다.
6. Keepalive는 NAT 및 유휴 방화벽 삭제를 통해 세션을 유지합니다. ServerAliveInterval 60과 ServerAliveCountMax 3 클라이언트 측이 대부분의 경우 신비한 '세션이 4분에 종료됨' 보고서를 이겼습니다.
7. 위험한 액세스를 제한합니다. 순수 포트 전달의 경우 -N(원격 명령 없음), stdin에서 읽는 일괄 작업의 경우 -n, 계정 대신 로그에서 무차별 대입 공격이 종료되도록 fall2ban 및 정상적인 MaxAuthTries를 사용합니다.
8. 디버그 순서가 중요합니다. ssh -vvv는 구성 구문 분석, 인증 협상 및 채널 실패를 순서대로 표시하고 -G 호스트 덤프는 서버를 건드리지 않고 '왜 해당 키와 해당 사용자를 선택했는지'에 답합니다.

현장 노트

새 키가 실제로 Authorized_keys에 있기 전에 PasswordAuthentication을 비활성화하고 저녁 동안 내 팀을 잠근 적이 있습니다. 이제 의식은 다음과 같습니다. 두 번째 세션이 열리고 키가 작동하는 것으로 입증되었으며 구성에 ServerAliveInterval이 있으므로 유휴 요새 NAT 삭제가 세션 종료를 중지합니다.

자주 묻는 질문