SSH-ключи и ssh-agent

Q: Permission denied (publickey)

Публичный ключ есть в ~/.ssh/authorized_keys на сервере? Права: ~/.ssh=700, authorized_keys=600, владелец — сам пользователь. В журнале сервера: journalctl -u ssh → «Authentication refused: bad ownership or modes». Клиент шлёт нужный ключ? ssh -v host покажет, какие ключи пробует; укажи явно ssh -i ~/.ssh/key host или пропиши в ~/.ssh/config (IdentityFile).

Q: Каждый раз спрашивает пароль к ключу

Ключ не в агенте: ssh-add ~/.ssh/id_ed25519. Чтобы автоматически — AddKeysToAgent yes в ~/.ssh/config (см. ssh-client).

Q: Сервер вообще не принимает ключи

На сервере в sshd_config: PubkeyAuthentication yes, и каталог/файл не в обход AuthorizedKeysFile. После правки — sudo systemctl reload ssh (см. sshd).

Q: Потерял приватный ключ

Восстановить нельзя — генерируй новый и обнови authorized_keys на серверах. (Из приватного можно достать публичный ssh-keygen -y, но не наоборот.)

4 мин OpenSSH 9.6

Пары ключей для входа без пароля; sshd отвергает ~/.ssh, если писать в него могут группа или остальные.

Шпаргалка

7 команд Версия для печати

ssh-keygen -t ed25519 создать пару
ssh-copy-id user@host установить на сервер
ssh-keygen -l -f key.pub отпечаток
chmod 700 ~/.ssh каталог — только владельцу
chmod 600 ~/.ssh/authorized_keys файл ключей — только владельцу
ssh-add ~/.ssh/id_ed25519 в агент
ssh -i ~/.ssh/key -o IdentitiesOnly=yes host конкретным ключом

Обзор

Аутентификация по ключам надёжнее пароля. Пара: приватный ключ (хранится у тебя, секрет) и публичный (кладётся на сервер в ~/.ssh/authorized_keys). Сервер шифрует челлендж публичным ключом — расшифровать может только владелец приватного.

bash

ssh-keygen -t ed25519 -C "me@laptop"   # сгенерировать (ed25519 — современный выбор)
# приватный: ~/.ssh/id_ed25519  ·  публичный: ~/.ssh/id_ed25519.pub
ssh-copy-id user@host                  # закинуть публичный на сервер

Рецепты

Генерация

bash

ssh-keygen -t ed25519 -C "me@laptop"          # рекомендуемый тип
ssh-keygen -t rsa -b 4096 -C "legacy"         # если требуется RSA (старые системы)
ssh-keygen -t ed25519 -f ~/.ssh/deploy_key    # своё имя файла (несколько ключей)
ssh-keygen -p -f ~/.ssh/id_ed25519            # сменить/добавить пароль на ключ
ssh-keygen -y -f ~/.ssh/id_ed25519            # восстановить .pub из приватного
ssh-keygen -l -f ~/.ssh/id_ed25519.pub        # отпечаток (fingerprint)
ssh-keygen -t ed25519 -N '' -f key            # без пароля (для автоматизации/CI)

Установка на сервер:

bash

ssh-copy-id user@host                          # самый простой способ
ssh-copy-id -i ~/.ssh/deploy_key.pub user@host # конкретным ключом
cat ~/.ssh/id_ed25519.pub | ssh host 'cat >> ~/.ssh/authorized_keys'   # вручную

Права на файлы

sshd включает StrictModes по умолчанию: он отвергает ~/.ssh и файлы в нём, если запись в них разрешена группе или остальным (biты g+w/o+w), даже если владелец — нужный пользователь. 700/600 — не единственное значение, которое проходит проверку, но самая простая рабочая рекомендация:

bash

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
chmod 600 ~/.ssh/id_ed25519            # приватный ключ — только владельцу
chmod 644 ~/.ssh/id_ed25519.pub
chown -R "$USER:$USER" ~/.ssh

ssh-agent

Агент держит расшифрованный ключ в памяти, чтобы не вводить пароль к ключу каждый раз:

bash

eval "$(ssh-agent -s)"            # запустить агент
ssh-add ~/.ssh/id_ed25519        # добавить ключ (спросит пароль ключа один раз)
ssh-add -l                       # какие ключи загружены
ssh-add -t 3600 ~/.ssh/key       # с авто-выгрузкой через час
ssh-add -d ~/.ssh/key            # убрать один ключ
ssh-add -D                       # убрать все
ssh -A user@host                 # проброс агента (forwarding) — только на доверенные!

Неполадки

Permission denied (publickey)

Публичный ключ есть в ~/.ssh/authorized_keys на сервере?
Права: ~/.ssh=700, authorized_keys=600, владелец — сам пользователь. В журнале сервера: journalctl -u ssh → «Authentication refused: bad ownership or modes».
Клиент шлёт нужный ключ? ssh -v host покажет, какие ключи пробует; укажи явно ssh -i ~/.ssh/key host или пропиши в ~/.ssh/config (IdentityFile).

Каждый раз спрашивает пароль к ключу

Ключ не в агенте: ssh-add ~/.ssh/id_ed25519. Чтобы автоматически — AddKeysToAgent yes в ~/.ssh/config (см. ssh-client).

Сервер вообще не принимает ключи

На сервере в sshd_config: PubkeyAuthentication yes, и каталог/файл не в обход AuthorizedKeysFile. После правки — sudo systemctl reload ssh (см. sshd).

Несколько ключей — подходит не тот / «Too many authentication failures»

Агент перебирает все ключи и упирается в лимит. Укажи конкретный: ssh -i key -o IdentitiesOnly=yes host.

Потерял приватный ключ

Восстановить нельзя — генерируй новый и обнови authorized_keys на серверах. (Из приватного можно достать публичный ssh-keygen -y, но не наоборот.)

Термины

аутентификация authentication: Проверка заявленной личности, например с помощью пароля или ключа. Ещё встречается в: PostgreSQL, sshd, chage, PAM: проверка входа, политика паролей и блокировка и ещё 4
ключ SSH-сервера SSH host key: Ключевая пара идентичности SSH-сервера, отличная от пользовательских ключей входа.
пользовательская SSH-ключевая пара SSH user key pair: Закрытый ключ клиента и соответствующий публичный ключ для аутентификации учётной записи.
отпечаток ключа key fingerprint: Компактное представление ключа для сравнения с доверенным значением.
authorized_keys: Серверный файл публичных ключей, разрешённых для входа учётной записи. Ещё встречается в: Ansible: инвентарь, модули и разовые команды, ssh, scp, sshd, cloud-init и ещё 1

См. также

ssh-client — Подключение по SSH, копирование scp/rsync, ~/.ssh/config, проброс портов.
sshd — Сервер SSH — удалённый доступ по ключам, конфиг и хардненинг.

Есть неточность? Сообщить об ошибке в статье