Сеть / Ступень 10 из 14 · шаг 7 из 9

SSH не пускает по ключу

~20 мин

Не запущена Запускается обычно ~20 с

Ситуация

Тебе выдали учётную запись deploy на этом сервере: твой открытый ключ ~/.ssh/id_ed25519.pub уже положили в её authorized_keys. Но ssh deploy@localhost отвечает Permission denied (publickey), а пароля у deploy нет.

Задача

ssh deploy@localhost входит по твоему ключу без пароля.
Проверка прав в sshd остаётся включённой: StrictModes yes.

Интернета на машине нет, всё нужное уже установлено.

Цели лабы

0 из 2

ssh deploy@localhost входит по ключу без пароля — ещё не проверялась
sshd по-прежнему проверяет права файлов ключей (StrictModes yes) — ещё не проверялась

Подсказки

открыто 0 из 3 · открываются по одной

Подсказка 1

Показать решение после 3 неудачных проверок

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Сеть · подобрано по лабе

SSH-ключи и ssh-agent

Шпаргалка

$_ — вставить в терминал

ssh-keygen -t ed25519 создать пару
ssh-copy-id user@host установить на сервер
ssh-keygen -l -f key.pub отпечаток
chmod 700 ~/.ssh каталог — только владельцу
chmod 600 ~/.ssh/authorized_keys файл ключей — только владельцу
ssh-add ~/.ssh/id_ed25519 в агент
ssh -i ~/.ssh/key -o IdentitiesOnly=yes host конкретным ключом

Генерация

bash

ssh-keygen -t ed25519 -C "me@laptop"          # рекомендуемый тип
ssh-keygen -t rsa -b 4096 -C "legacy"         # если требуется RSA (старые системы)
ssh-keygen -t ed25519 -f ~/.ssh/deploy_key    # своё имя файла (несколько ключей)
ssh-keygen -p -f ~/.ssh/id_ed25519            # сменить/добавить пароль на ключ
ssh-keygen -y -f ~/.ssh/id_ed25519            # восстановить .pub из приватного
ssh-keygen -l -f ~/.ssh/id_ed25519.pub        # отпечаток (fingerprint)
ssh-keygen -t ed25519 -N '' -f key            # без пароля (для автоматизации/CI)

Установка на сервер:

bash

ssh-copy-id user@host                          # самый простой способ
ssh-copy-id -i ~/.ssh/deploy_key.pub user@host # конкретным ключом
cat ~/.ssh/id_ed25519.pub | ssh host 'cat >> ~/.ssh/authorized_keys'   # вручную

Права на файлы

sshd включает StrictModes по умолчанию: он отвергает ~/.ssh и файлы в нём, если запись в них разрешена группе или остальным (biты g+w/o+w), даже если владелец — нужный пользователь. 700/600 — не единственное значение, которое проходит проверку, но самая простая рабочая рекомендация:

bash

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
chmod 600 ~/.ssh/id_ed25519            # приватный ключ — только владельцу
chmod 644 ~/.ssh/id_ed25519.pub
chown -R "$USER:$USER" ~/.ssh

ssh-agent

Агент держит расшифрованный ключ в памяти, чтобы не вводить пароль к ключу каждый раз:

bash

eval "$(ssh-agent -s)"            # запустить агент
ssh-add ~/.ssh/id_ed25519        # добавить ключ (спросит пароль ключа один раз)
ssh-add -l                       # какие ключи загружены
ssh-add -t 3600 ~/.ssh/key       # с авто-выгрузкой через час
ssh-add -d ~/.ssh/key            # убрать один ключ
ssh-add -D                       # убрать все
ssh -A user@host                 # проброс агента (forwarding) — только на доверенные!

Permission denied (publickey)

Публичный ключ есть в ~/.ssh/authorized_keys на сервере?
Права: ~/.ssh=700, authorized_keys=600, владелец — сам пользователь. В журнале сервера: journalctl -u ssh → «Authentication refused: bad ownership or modes».
Клиент шлёт нужный ключ? ssh -v host покажет, какие ключи пробует; укажи явно ssh -i ~/.ssh/key host или пропиши в ~/.ssh/config (IdentityFile).

Каждый раз спрашивает пароль к ключу

Ключ не в агенте: ssh-add ~/.ssh/id_ed25519. Чтобы автоматически — AddKeysToAgent yes в ~/.ssh/config (см. ssh-client).

Сервер вообще не принимает ключи

На сервере в sshd_config: PubkeyAuthentication yes, и каталог/файл не в обход AuthorizedKeysFile. После правки — sudo systemctl reload ssh (см. sshd).

Несколько ключей — подходит не тот / «Too many authentication failures»

Агент перебирает все ключи и упирается в лимит. Укажи конкретный: ssh -i key -o IdentitiesOnly=yes host.

Потерял приватный ключ

Восстановить нельзя — генерируй новый и обнови authorized_keys на серверах. (Из приватного можно достать публичный ssh-keygen -y, но не наоборот.)