Konfigurera säker nyckelbaserad åtkomst för fjärranslutna Linux-servrar

Att upprätta en lösenordslös anslutning mellan Linux-system använder SSH-nyckelpar. Den här metoden ersätter traditionell lösenordsinmatning med ett kryptografiskt handslag mellan en privat nyckel på den lokala datorn och en offentlig nyckel på fjärrservern.

Steg för att generera och installera SSH-nycklar

Generera nyckelparet: Öppna en terminal på den lokala datorn och kör ssh-keygen -t rsa -b 4096. Tryck på Retur för att acceptera standardfilplatsen.
Definiera en lösenfras (valfritt): Du kan ange en lösenfras för ytterligare säkerhet eller lämna den tom för helautomatisk åtkomst.
Överför den offentliga nyckeln: Använd kommandot ssh-copy-id användarnamn@remote_host för att skicka den offentliga nyckeln till servern.
Autentisera manuellt en gång: Ange fjärranvändarens lösenord när du uppmanas att slutföra överföringen.
Verifiera anslutningen: Kör ssh användarnamn@remote_host. Systemet bör ge åtkomst utan att begära ett lösenord.

Manuell installationsmetod

Kopiera innehållet i den lokala filen ~/.ssh/id_rsa.pub.
Logga in på fjärrservern och skapa katalogen ~/.ssh om den inte finns.
Lägg till den publika nyckelsträngen i filen ~/.ssh/authorized_keys.
Se till att katalogen .ssh har 700 behörigheter och att filen authorized_keys har 600 behörigheter.

Jämförelse av SSH-autentiseringsmetoder

Autentiseringsmetod	Relativ säkerhet	Automatisk kompatibilitet	Primär riskfaktor
Standardlösenord	Låg	Svårt	Brute-force attacker
RSA-nyckelpar (4096-bitar)	Hög	Sömlös	Osäkrad privat nyckelfil
Ed25519 Nyckelpar	Mycket hög	Sömlös	Kompromiss med lokal maskin

Bästa säkerhetsmetoder

Begränsa SSH-åtkomst till specifika IP-adresser med hjälp av systembrandväggar.
Inaktivera rotinloggning genom att redigera /etc/ssh/sshd_config och ställa in PermitRootLogin no.
Inaktivera lösenordsautentisering helt och hållet genom att ställa in PasswordAuthentication no när nycklar fungerar.
Granska regelbundet filen authorized_keys för att ta bort föråldrade poster.
Skydda den lokala privata nyckeln genom att se till att den aldrig delas eller laddas upp till offentliga arkiv.