Сеть / Ступень 10 из 14

SSH — доверие к серверу и вход по ключу

Не запущена Запускается обычно ~20 с

Шаг 7 из 9 · лаба · 20 мин

SSH не пускает по ключу

Ключ deploy лежит на сервере, а вход отклонён. Найди по журналу, чему сервер не доверяет, и верни вход.

Ситуация

Тебе выдали учётную запись deploy на этом сервере: твой открытый ключ ~/.ssh/id_ed25519.pub уже положили в её authorized_keys. Но ssh deploy@localhost отвечает Permission denied (publickey), а пароля у deploy нет.

Задача

ssh deploy@localhost входит по твоему ключу без пароля.
Проверка прав в sshd остаётся включённой: StrictModes yes.

Интернета на машине нет, всё нужное уже установлено.

Лаба · самостоятельно

Команды в этой лабе не даны: набирай их в терминале сам. Цели проверяются на машине после каждой команды.

Цели

0 из 2

ssh deploy@localhost входит по ключу без пароля — ещё не выполнена
sshd по-прежнему проверяет права файлов ключей (StrictModes yes) — ещё не выполнена

Ctrl+Enter

Запустит машину node1 · Ubuntu 24.04

Машина запускается

Подсказки

0 из 3

Сообщить о проблеме

Цели лабы

0 из 2

ssh deploy@localhost входит по ключу без пароля — ещё не выполнена
sshd по-прежнему проверяет права файлов ключей (StrictModes yes) — ещё не выполнена

node1 Ubuntu 24.04

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Цели лабы

0 из 2

ssh deploy@localhost входит по ключу без пароля — ещё не выполнена
sshd по-прежнему проверяет права файлов ключей (StrictModes yes) — ещё не выполнена

Сеть · подобрано по лабе

SSH-ключи и ssh-agent

Шпаргалка

$_ — вставить в терминал

ssh-keygen -t ed25519 создать пару
ssh-copy-id user@host установить на сервер
ssh-keygen -l -f key.pub отпечаток
chmod 700 ~/.ssh каталог — только владельцу
chmod 600 ~/.ssh/authorized_keys файл ключей — только владельцу
ssh-add ~/.ssh/id_ed25519 в агент
ssh -i ~/.ssh/key -o IdentitiesOnly=yes host конкретным ключом

Генерация

bash

ssh-keygen -t ed25519 -C "me@laptop"          # рекомендуемый тип
ssh-keygen -t rsa -b 4096 -C "legacy"         # если требуется RSA (старые системы)
ssh-keygen -t ed25519 -f ~/.ssh/deploy_key    # своё имя файла (несколько ключей)
ssh-keygen -p -f ~/.ssh/id_ed25519            # сменить/добавить пароль на ключ
ssh-keygen -y -f ~/.ssh/id_ed25519            # восстановить .pub из приватного
ssh-keygen -l -f ~/.ssh/id_ed25519.pub        # отпечаток (fingerprint)
ssh-keygen -t ed25519 -N '' -f key            # без пароля (для автоматизации/CI)

Установка на сервер:

bash

ssh-copy-id user@host                          # самый простой способ
ssh-copy-id -i ~/.ssh/deploy_key.pub user@host # конкретным ключом
cat ~/.ssh/id_ed25519.pub | ssh host 'cat >> ~/.ssh/authorized_keys'   # вручную

Права на файлы

sshd включает StrictModes по умолчанию: он отвергает ~/.ssh и файлы в нём, если запись в них разрешена группе или остальным (biты g+w/o+w), даже если владелец — нужный пользователь. 700/600 — не единственное значение, которое проходит проверку, но самая простая рабочая рекомендация:

bash

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
chmod 600 ~/.ssh/id_ed25519            # приватный ключ — только владельцу
chmod 644 ~/.ssh/id_ed25519.pub
chown -R "$USER:$USER" ~/.ssh

ssh-agent

Агент держит расшифрованный ключ в памяти, чтобы не вводить пароль к ключу каждый раз:

bash

eval "$(ssh-agent -s)"            # запустить агент
ssh-add ~/.ssh/id_ed25519        # добавить ключ (спросит пароль ключа один раз)
ssh-add -l                       # какие ключи загружены
ssh-add -t 3600 ~/.ssh/key       # с авто-выгрузкой через час
ssh-add -d ~/.ssh/key            # убрать один ключ
ssh-add -D                       # убрать все
ssh -A user@host                 # проброс агента (forwarding) — только на доверенные!

Permission denied (publickey)

Публичный ключ есть в ~/.ssh/authorized_keys на сервере?
Права: ~/.ssh=700, authorized_keys=600, владелец — сам пользователь. В журнале сервера: journalctl -u ssh → «Authentication refused: bad ownership or modes».
Клиент шлёт нужный ключ? ssh -v host покажет, какие ключи пробует; укажи явно ssh -i ~/.ssh/key host или пропиши в ~/.ssh/config (IdentityFile).

Каждый раз спрашивает пароль к ключу

Ключ не в агенте: ssh-add ~/.ssh/id_ed25519. Чтобы автоматически — AddKeysToAgent yes в ~/.ssh/config (см. ssh-client).

Сервер вообще не принимает ключи

На сервере в sshd_config: PubkeyAuthentication yes, и каталог/файл не в обход AuthorizedKeysFile. После правки — sudo systemctl reload ssh (см. sshd).

Несколько ключей — подходит не тот / «Too many authentication failures»

Агент перебирает все ключи и упирается в лимит. Укажи конкретный: ssh -i key -o IdentitiesOnly=yes host.

Потерял приватный ключ

Восстановить нельзя — генерируй новый и обнови authorized_keys на серверах. (Из приватного можно достать публичный ssh-keygen -y, но не наоборот.)