[Перевод] Маленькие хитрости SSH30.04.2020 18:03

?v=1

В этой статье собраны наши лучшие приемы для более эффективного использования SSH. Из нее вы узнаете как:

  • Добавить второй фактор к логину SSH
  • Безопасно пользоваться agent forwarding
  • Выйти из вставшей SSH сессии
  • Сохранить постоянный терминал открытым
  • Поделиться удаленной сессией терминала с другом (без Zoom!)


Добавление второго фактора к своему SSH


Второй фактор аутентификации к своим SSH соединениям можно добавить пятью разными способами:

  1. Обновить свой OpenSSH и использовать ключ шифрования. В феврале 2020 года в OpenSSH была добавлена поддержка ключей шифрования FIDO U2F (Universal Second Factor). Это отличная новая функция, но есть нюанс: только те клиенты и серверы, которые обновились до версии OpenSSH 8.2 и выше смогут пользоваться ключами шифрования, так как февральское обновление вводит для них новые типы ключей. Командой ssh –V можно проверить клиентскую версию SSH, а серверную — командой nc [servername] 22
    В февральскую версию добавили два новых типа ключей — ecdsa-sk и ed25519-sk (вместе с соответствующими сертификатами). Для генерации файла ключа достаточно вставить свой ключ шифрования и запустить команду:

    $ ssh-keygen -t ecdsa-sk -f ~/.ssh/id_ecdsa_sk

    Она создаст открытый и секретный ключи и привяжет их к вашему U2F устройству. Задача секретного ключа на U2F устройстве — расшифровывать секретный дескриптор ключа на диске при активированном ключе шифрования.
    Кроме того, в качестве вторичного фактора вы можете предоставить кодовую фразу для ваших ключей.

    Ключ-резидент это еще один поддерживаемый OpenSSH тип генерации -sk-ключей. При таком подходе дескриптор хранится на U2F устройстве и позволяет вам иметь его при ключе шифрования когда потребуется. Создать ключ-резидент можно командой:

    $ ssh-keygen -t ecdsa-sk -O resident -f ~/.ssh/id_ecdsa_sk

    Затем, для возврата дескриптора обратно в память на новом устройстве, вставьте ключ шифрования и запустите команду:

    $ ssh-add -K

    При подключении к хосту вам все еще нужно будет активировать ключ шифрования.

  2. Воспользоваться PIV+PKCS11 и Yubikey. Для подключения к устройствам с более ранними версиями SSHD при помощи ключа шифрования потребуется иной подход. На Yubico есть гайд по использованию U2F+SSH с PIV/PKCS11 (англ). Это не то же самое что и FIDO U2F, и хотя метод работает, стоит больших трудов разобраться, какая магия им движет.
  3. Применить пользовательский yubikey-agent ssh-агент. Филиппо Валсорда написал SSH агент для Yubikeys. Он совершенно новый и содержит минимум функций.
  4. Использовать Touch ID и sekey. Sekey это SSH агент с открытым исходным кодом, он хранит секретные ключи в защищенном анклаве Mac«а и позволяет использовать Touch ID для функции доступа.
  5. Использовать Single Sign On SSH. Я написал туториал для помощи в настройке этого способа (англ). Одно из преимуществ single sign on SSH это возможность задействовать политики безопасности вашего поставщика удостоверений — включая поддержку мультифакторной аутентификации (MFA).


Безопасное использование agent forwarding


В SHH agent forwarding позволяет удаленному узлу получить доступ к SSH агенту вашего локального устройства. Когда вы пользуетесь SSH с включенным agent forwarding (обычно через ssh -A), в соединении будет два канала: ваша интерактивная сессия и канал для agent forwarding. Через этот канал Unix-сокет, созданный вашим локальным SSH-агентом, соединяется с удаленным узлом. Это рискованный метод, так как пользователь с root доступом на удаленном устройстве может получить доступ к вашему локальному SSH-агенту и потенциально выдавать себя в сети за вас. Пользуясь стандартным SSH-агентом из комплекта Open SSH, вы даже не узнаете, что это случилось. Наличие U2F ключа (или Sekey) поможет вам эффективно заблокировать любые попытки воспользоваться вашим SSH агентом извне.

Даже с такой мерой предосторожности будет хорошей идеей как можно реже использовать agent forwarding. Не стоит пользоваться им на каждой сессии — пользуйтесь agent forwarding только когда вы уверены в его необходимости для текущей сессии.

Выход из зависшей сессии


Прерывание сети, бесконтрольное поведение программ, или управляющая последовательность, которая блокирует ввод с клавиатуры — все это возможные причины разрыва SSH-сессии.

Закончить зависшую сессию можно несколькими способами:

  1. Автоматически выйти при прерывании сети. В свой .ssh/config необходимо добавить следующее:

    ServerAliveInterval 5
    ServerAliveCountMax 1

    ssh будет отправлять echo удаленному узлу каждые ServerAliveInterval секунд для проверки соединения. Если более ServerAliveCountMax эхо не получат ответа, ssh закончит соединение по таймауту и выйдет из сессии.

  2. Вырваться из сессии. ssh по умолчанию использует символ ~ (тильда) как управляющий. Команда ~. закрывает открытое соединение и возвращает вас обратно в терминал. (Управляющие последовательности можно вводить только с новой строки.) Команда ~? выведет полный список доступных в этой сессии команд. Имейте ввиду, что чтобы набрать символ ~ на международных клавиатурах, может потребоваться нажать клавишу ~ дважды.


Почему вообще случаются зависшие сессии? Во времена создания интернета компьютеры редко двигались с места на место. Когда вы пользуетесь ноутбуками и переключаетесь между несколькими IPv4 сетями WiFi, ваш IP-адрес меняется. Так как SSH полагается на TCP соединения, а те, в свою очередь, полагаются на конечную точку со стабильным IP-адресом, всякий раз как вы переключаетесь между сетями, ваши SSH соединения упускают дескриптор сокета и фактически теряются сами. Когда меняется ваш IP-адрес, вашему сетевому стеку требуется время чтобы обнаружить потерю дескриптора. Когда возникают сетевые неполадки, мы не хотим чтобы один из узлов в TCP-соединении прервал его слишком рано. Поэтому протокол будет пробовать переотправить данные еще несколько раз прежде чем наконец сдастся. Тем временем, в вашем терминале сессия будет выглядеть вставшей. IPv6 добавляет несколько связанных с мобильностью особенностей, которые позволяют устройству сохранять домашний адрес во время смены сети. Возможно, однажды это перестанет быть такой уж проблемой.

Как сохранить постоянный терминал открытым на удаленном узле


Есть два различных подхода к тому, как сохранить соединение при переходе между различными сетями или желании ненадолго отключиться.

1. Воспользоваться Mosh или Eternal Terminal
Если вам действительно нужно соединение, которое не спадает, даже когда вы переключаетесь между сетями, используйте мобильную оболочку Mosh. Это защищенная оболочка, которая сначала использует SSH-рукопожатие, а затем переключается на свой собственный зашифрованный канал на все время сессии. Так Mosh создает отдельный, очень стойкий и защищенный, канал, который в состоянии выдержать и прерывания интернета, и смену IP-адреса вашего ноутбука, и серьезные разрывы сети, и многое другое, и все это благодаря магии UDP-соединений, а так же применяемому Mosh протоколу синхронизации.

Для использования Mosh вам нужно будет установить его и на клиент, и на сервер, и открыть порты 60000–61000 для несвязного UPD-трафика до вашего удаленного хоста. В дальнейшем для соединения достаточно будет использовать mosh user@server.

Mosh оперирует на уровне экранов и нажатий клавиш, что дает ему ряд преимуществ перед пересылающим бинарный поток стандартного ввода и вывода между клиентом и сервером SSH. Если нам требуется синхронизировать только экраны и нажатия клавиш, то позднее восстановить прерванное соединение становится намного проще. В то время как SSH будет буферизировать и отправлять все что произошло, Mosh достаточно буферизировать нажатия клавиш и синхронизировать последний кадр окна терминала с клиентом.

2. Использовать tmux
Если вам хочется «приходить и уходить когда вздумается» и держать сессию терминала на удаленном узле, воспользуйтесь мультиплексером терминала tmux. Я обожаю tmux и пользуюсь им постоянно. Если ваше SSH-соединение прервалось, то чтобы вернуться в свою tmux сессию достаточно просто переподключиться и ввести tmux attach. Кроме того, в нем есть такие чудесные функции как внутритерминальные вкладки и панели, аналогичные вкладкам в iOS терминале, и возможность делиться терминалами с другими.

Некоторые любят приукрасить свой tmux с помощью Byobu, пакетом который значительно улучшает удобство использования tmux и добавляет в него много сочетаний клавиш. Byobu поставляется вместе с Ubuntu, и его легко установить на Mac через Homebrew.

Разделение удаленной сессии терминала с другом


Иногда при отладке сложных проблем на ваших серверах может возникнуть желание разделить сессию SSH с кем-то, кого нет в одной с вами комнате. tmux идеально подходит для такой задачи! Достаточно сделать всего несколько шагов:

  1. Убедитесь, что tmux стоит на вашем узле-бастионе, либо на каком-либо сервере с которым вы собираетесь работать.
  2. Вам обоим нужно будет подключиться по SSH к устройству, используя один аккаунт.
  3. Один из вас должен запустить tmux чтобы начать tmux сессию.
  4. Другой должен запустить tmux attach
  5. Вуаля! У вас общий терминал.


Если вам хочется более изощренных многопользовательских tmux сессий, попробуйте tmate, это форк tmux который значительно упрощает совместные сессии терминала.

© Habrahabr.ru