SSH-Schlüssel für ein Linux VPS: Erstellen, Installieren und Testen des Zugriffs

Bestätigen Sie das echte Konto, den Host und die Wiederherstellungsmethode

Verwenden Sie diese Checkliste für ein Linux VPS, das Sie besitzen oder zu dessen Verwaltung Sie berechtigt sind. Beginnen Sie mit dem Host, dem Kontonamen und dem SSH-Port, der Ihrem Dienst tatsächlich zugewiesen wurde. Erraten Sie keinen Benutzernamen von einem Verteilungsnamen. Bestätigen Sie, wie Sie den Zugriff wiederherstellen würden, wenn eine Authentifizierungsänderung fehlschlägt, indem Sie eine Methode verwenden, die Ihr Betreiber tatsächlich zur Verfügung gestellt hat.

Halten Sie eine vorhandene authentifizierte Sitzung offen, während Sie eine neue Anmeldemethode testen. Wenn Sie noch keinen Arbeitszugriff haben, lösen Sie zuerst die anfänglichen Verbindungsdetails. Ein öffentlicher Hosting-Plan oder eine bezahlte Bestellung ist nicht selbst ein Working Shell-Konto; warten Sie auf die tatsächlichen Service-Details, bevor Sie Server-Anweisungen anwenden.

Linux VPS Software und Ressourcen

Erstellen Sie den Schlüssel auf dem Gerät, das zum Verbinden verwendet wird

Führen Sie ssh-keygen auf Ihrem eigenen Client-Gerät aus, nicht im entfernten VPS. Für einen OpenSSH-Client, der es unterstützt, erstellt ssh-keygen -t ed25519 ein Ed25519-Schlüsselpaar und fordert einen Dateispeicherort und eine Passphrase auf. Wählen Sie einen neuen Dateinamen, wenn bereits ein vorhandener Schlüssel vorhanden ist; überschreiben Sie keinen Schlüssel, den ein anderer Server noch verwendet.

Schützen Sie den privaten Schlüssel mit einer Passphrase und einem sicheren Gerätespeicher. Verwenden Sie die interaktive Eingabeaufforderung, anstatt eine Passphrase in einen Befehl zu setzen, der möglicherweise in der Shell-Historie gespeichert wird. Verfolgen Sie den Schlüsselzweck und den Fingerabdruck mit öffentlichem Schlüssel, damit Sie später den richtigen Eintrag bei der Überprüfung oder dem Widerruf des Zugriffs identifizieren können.

Installieren Sie die öffentliche Hälfte für das vorgesehene Serverkonto

Der öffentliche Schlüssel hat normalerweise den gleichen Dateinamen mit .pub angehängt. Fügen Sie diesen öffentlichen Schlüssel zum autorisierten Schlüsselspeicherort für das Konto hinzu, das Sie auf dem VPS verwenden werden. Viele OpenSSH-Installationen verwenden ~/.ssh/authorized_keys für das Remote-Konto, aber die effektive Serverkonfiguration kann einen anderen Standort angeben. Überprüfen Sie den Standort, anstatt davon auszugehen, dass jedes System die gleiche Richtlinie verwendet.

Wenn verfügbar, kann ssh-copy-id einen öffentlichen Schlüssel über eine bestehende autorisierte Verbindung installieren. Eine manuelle Installation muss vorhandene Schlüssel bewahren und jeden öffentlichen Schlüssel in einer Zeile halten. Ersetzen Sie die gesamte Datei nicht durch einen einzigen neuen Eintrag, es sei denn, Sie haben jeden Zugriffsinhaber absichtlich überprüft. Der private Schlüssel bleibt auf Ihrem eigenen Gerät.

Scrollen Sie den Tisch bei Bedarf horizontal.

Überprüfen Sie den Host und testen Sie eine neue Verbindung

Vergleichen Sie den Server-Hostschlüssel-Fingerabdruck mit einem vertrauenswürdigen Wert, der über Ihren Betreiber oder einen anderen verifizierten Kanal erhalten wurde, bevor Sie eine neue Host-Identität akzeptieren. Wenn sich ein zuvor bekannter Fingerabdruck unerwartet ändert, untersuchen Sie die Änderung. Wenn Sie den Eintrag des bekannten Client-Hosts löschen und akzeptieren, was angezeigt wird, wird nicht festgestellt, dass Sie den richtigen Server erreicht haben.

Öffnen Sie ein zweites Terminal und verbinden Sie sich mit Ihrem tatsächlichen Konto, Host und dem gewählten Private-Key-Pfad. Die Option OpenSSH -i wählt eine Identitätsdatei und -p wählt einen nicht standardmäßigen Port aus, wenn einer zugewiesen wurde. Bestätigen Sie das erwartete Konto nach dem Login. Eine private Schlüssel-Passphrase-Eingabeaufforderung entsperrt Ihren lokalen Schlüssel; es unterscheidet sich von einer Remote-Konto-Passwortaufforderung.

Ablehnung der Diagnose vor Änderung der Anmelderichtlinie

Wenn der Schlüssel abgelehnt wird, überprüfen Sie, ob Sie das richtige Konto verwendet haben und ob der öffentliche Schlüssel mit der vom Client ausgewählten privaten Identität übereinstimmt. Überprüfen Sie den Speicherort der autorisierten Schlüsseldatei, den Besitz und die Berechtigungen. Auf einem typischen OpenSSH-Konto verhindern einschränkende Berechtigungen wie 700 on .ssh und 600 auf authorized_keys, dass andere Benutzer Authentifizierungsdateien ändern; das richtige Konto muss sie besitzen.

Überprüfen Sie die Client-Diagnose und die Server-Authentifizierungsprotokolle, die Ihnen zur Verfügung stehen. Serverrichtlinien können Benutzer, Schlüsseltypen oder Authentifizierungskombinationen einschränken. Erweitern Sie keine Berechtigungen, um eine abgelehnte Schlüsselarbeit zu erstellen. Teilen Sie eine gekürzte Fehlermeldung, wenn Sie Hilfe suchen, anstatt einen privaten Schlüssel, eine Passphrase oder ein vollständiges sensibles Diagnoseprotokoll.

Authentifizierungseinstellungen nur ändern, nachdem der Zugriff nachgewiesen wurde

Ein Arbeitsschlüssel ändert nicht automatisch die Passwortrichtlinie des Servers. Wenn Sie die Authentifizierungseinstellungen ändern möchten, überprüfen Sie die Hauptkonfiguration von OpenSSH und alle enthaltenen Dateien, die sich auf das Konto auswirken. PasswordAuthentication und Tastatur-interaktive Authentifizierung sind separate Einstellungen, und eine Bedienerrichtlinie oder ein Match-Block können das effektive Ergebnis ändern.

Sichern Sie die entsprechende Konfiguration und validieren Sie sie mit dem installierten Daemon, bevor Sie Änderungen vornehmen; sudo sshd -t ist die OpenSSH-Syntaxprüfung für Systeme, auf die dieser Befehl und dieses Privileg zutreffen. Verwenden Sie die für Ihre Distribution dokumentierte Service-Management-Methode. Halten Sie die ursprüngliche Sitzung offen und beweisen Sie eine weitere neue Schlüsselverbindung nach der Änderung, bevor Sie sie schließen.

Weiter mit der Linux VPS Sicherheits-Checkliste

Drehen Sie den Zugriff und halten Sie die Wiederherstellung unabhängig von einem Laptop

Geben Sie jedem Administrator einen eigenen Schlüssel, so dass eine Zugriffsänderung keine private Datei erfordert. Beim Austausch eines Geräts installieren und testen Sie zuerst den neuen öffentlichen Schlüssel und entfernen Sie dann den alten öffentlichen Schlüsseleintrag, nachdem Sie ihn identifiziert haben. Eine verlorene Passphrase kann nicht aus dem verschlüsselten privaten Schlüssel wiederhergestellt werden; Erstellen Sie einen Ersatz durch eine funktionierende autorisierte Zugriffsmethode.

Überprüfen Sie die Tasten, wenn ein Teammitglied geht oder ein Gerät verloren geht. Das Entfernen eines Public-Key-Eintrags verhindert zukünftige Schlüsselanmeldungen durch diesen Eintrag, überprüft aber auch aktive Sitzungen und andere Zugriffsmethoden. Führen Sie ein genehmigtes Wiederherstellungsverfahren mit Ihren Serviceaufzeichnungen, sodass der Zugriff nicht vollständig von dem Gerät abhängt, das Sie ersetzen.

• Der private Schlüssel wurde nie hochgeladen oder an den Support gesendet.
• Eine zweite Verbindung arbeitet mit dem beabsichtigten Account und der Identität.
• Der Host-Fingerabdruck wurde über einen vertrauenswürdigen Kanal überprüft.
• Recovery und Key Revocation werden vor politischen Änderungen dokumentiert.

Planen Sie unabhängige Backups und Recovery · Validieren einer Nginx-Website nach dem Herstellen des Zugriffs