Linux komandos ir apvalkalo įgūdžiai
ssh: ryšys, kuris valdo jūsų infrastruktūrą
ssh nėra patogumas, tai yra kiekvienos operacijos perkėlimas kiekviename serveryje, o ~/.ssh/config yra sutartis su būsimu savimi 3 val. ryto. Pagrindinio kompiuterio slapyvardžiai, IdentityFile įrašai, ProxyJump taikiniai ir išlaikymo nustatymai paverčia prisimintus vėliavėlių sakinius į vieno žodžio komandas. Tuneliai (-L, -R, -D) ir „ControlMaster“ tankinimas yra tai, kas „apvalkalą“ paverčia infrastruktūros komandų paviršiumi, ir abu yra konfigūracijos failo, o ne atminties darbas.
Pagrindiniai punktai
- Įdėkite viską į ~/.ssh/config: prieglobos slapyvardžiai su User, IdentityFile, IdentitiesOnly yes ir ProxyJump paverčia 'ssh prod-web1' vienu žodžiu; vėliavėlės sakinys, įvestas vienodai penkis kartus per dieną, yra trūkstamas konfigūracijos įrašas.
- Raktai yra vienintelis žaidimas: ssh-keygen -t ed25519 -C 'role@team', viešoji pusė iki įgaliotųjų_raktų ir slaptažodžio autentifikavimo Nr. serveryje, kai tik įrodyta, kad rotacija veikia.
- Peršokimo prieglobos sugriuvo į vieną vėliavėlę: ssh -J bastion.corp internal-host arba ProxyJump bastion.corp bloke Host; senieji ProxyCommand užkeikimai vis dar veikia ir nebėra niekieno darbas.
- Tuneliai yra skirti pagal paskirtį: -L 5432:db.internal:5432 pasiekti duomenų bazę, -D 1080 kaip SOCKS perjungimas per griežtą tinklą, -R, kad atskleistų vietinį kūrėjo langelį, kiekvienas susietas su localhost, nebent jį aiškiai išplečiate.
- „ControlMaster“ tankinimas („ControlMaster auto“, „ControlPath ~/.ssh/cm-%r@%h:%p“, „ControlPersist 10m“) sustabdo pakartotinius rankų paspaudimus kiekvieną kartą atidarius ir iškart leidžia dirbti keliuose languose viename pagrindiniame kompiuteryje.
- „Keepalives“ palaiko seansus per NAT ir neveikia ugniasienės: „ServerAliveInterval 60“ plius „ServerAliveCountMax 3“ kliento pusėje įveikia paslaptingą „sesija mirė 4 minučių pranešimais didžiąją laiko dalį“.
- Apriboti pavojingą prieigą: -N (be nuotolinės komandos), skirta tik prievado persiuntimui, -n paketinių užduočių nuskaitymui iš stdin ir fail2ban plius protingas MaxAuthTries, kad brutali jėga mirtų žurnaluose, o ne paskyrose.
- Derinimo tvarka svarbi: ssh -vvv atskleidžia konfigūracijos analizę, autentifikavimo derybas ir kanalo klaidas tokia tvarka, o -G prieglobos išrašas atsako „kodėl jis pasirinko tą raktą ir tą vartotoją“ neliesdamas serverio.
Pastaba iš praktikos
Kartą išjungiau slaptažodžio autentifikavimą, kol naujasis raktas iš tikrųjų nepateko į author_keys, ir užrakinau savo komandą vakarui. Ritualas dabar: atidarytas antrasis seansas, įrodytas raktų veikimas ir konfigūracijos „ServerAliveInterval“, kad nenaudojami bastiono NAT lašai nustotų žudyti seansus.
Dažniausiai užduodami klausimai
Viename sakinyje: -L, -R, -D?
-L perkelia vietinį prievadą į nuotolinę paslaugą, -R nustumia nuotolinį prievadą atgal į jūsų įrenginį (tiksliai žinokite, ką atskleidėte), o -D per ryšį atidaro dinaminį SOCKS tarpinį serverį.
Mano sesija nutrūksta po kelių tuščiosios eigos minučių. Pataisyti?
Įprasta priežastis yra NAT arba ugniasienės neveiklumo laikas: kliente nustatykite ServerAliveInterval (ir laikykite TCPKeepAlive protingą serveryje); tas pats pataisymas priklauso konfigūracijai, kurią naudojate rūsio bastionams.
ssh-agent arba raktai be slaptafrazių?
Agentas, visada: jis turi iššifruotus raktus per seansą, todėl raktai išsaugo slaptafrazes, o automatika lieka neinteraktyvi; ForwardAgent yes patikimame bastione yra gerai, o ssh-add -l pasakys, kas įkeliama prieš meluojant sau.
Kaip nustoti kartoti tunelio specifikacijas?
LocalForward ir RemoteForward eilutės Host blokuose: 'ssh dbtunnel' tada atlieka viską; Vienas įrašas vienam tikslui leidžia failą skaityti ir leidžia auditams tiksliai matyti, kas ką persiunčia.
Kaip Kinetikatech padeda su linux komandos ir apvalkalo įgūdžiai
Štai ką darome šiandien: Komandos ir scenarijų rašymo įpročiai, kurie nusprendžia, ar administratorius valdo serverį, ar su juo kovoja: ieškokite, transformuokite, perkelkite ir prižiūrėkite tekstą bei procesus naudodami įrankius, esančius kiekviename baziniame diegime. Mūsų paslauga Linux serverių sauga ir Serverių administravimas apima viską — nuo vertinimo iki įgyvendinimo, stebėjimo 24/7 ir skubaus reagavimo per 30 minučių.