Подключение по SSH: как войти и не потерять доступ

За 15–30 минут вы проверите SSH-подключение, настроите вход по ключу и убедитесь, что сможете войти повторно. Главное правило: не закрывайте рабочую сессию, пока не проверили новую. Иначе ошибка в настройках или ключе может оставить вас без доступа к серверу.

Что нужно до начала

Инструкция рассчитана на Linux-клиент с OpenSSH 9.x и Linux-сервер с OpenSSH 9.x. Команды на сервере могут немного различаться между дистрибутивами. До подключения подготовьте:

• адрес сервера — доменное имя или IP;
• имя пользователя, которому разрешён вход по SSH;
• порт SSH: часто это 22, но администратор мог назначить другой;
• пароль для первого входа либо уже установленный публичный ключ;
• способ аварийного доступа: консоль в панели хостинга или помощь администратора.

Если вы собираетесь менять настройки SSH, аварийный доступ особенно важен. Уточните также у администратора контрольный отпечаток ключа сервера: при первом соединении терминал покажет его, и его нужно сверить.

Подключитесь и проверьте, что попали на нужный сервер

1. Проверьте SSH-клиент. В терминале выполните команду ниже. В ответе должна появиться версия OpenSSH. Если система пишет, что команда не найдена, установите SSH-клиент штатным способом для вашего дистрибутива.

ssh -V

1. Откройте соединение. Подставьте имя пользователя и адрес сервера. Если порт отличается от 22, укажите его после -p.

ssh -p 22 user@server.example

При первом соединении OpenSSH может показать сообщение The authenticity of host can't be established и отпечаток ключа сервера. Не подтверждайте его наугад: сравните отпечаток с данными от администратора или из панели хостинга. Если совпал, подтвердите доверие к серверу. После этого введите пароль, если его запросит программа. Пароль при вводе обычно не отображается — это нормально.

1. Убедитесь, что вошли. После успешной авторизации появится командная строка сервера. Выполните whoami: команда должна вывести имя пользователя, под которым вы подключились. Не закрывайте это окно, пока не проверите повторный вход.

Настройте вход по ключу

Ключ удобнее пароля при регулярной работе, но сам по себе не гарантирует доступ: на сервере должна быть установлена соответствующая открытая часть ключа. Создайте пару ключей на своём компьютере. Если файл с таким именем уже существует, не соглашайтесь на перезапись, пока не выясните, что это за ключ.

1. Создайте ключ. Команда рассчитана на OpenSSH 9.x. Введите её в отдельном терминале на клиентском Linux-компьютере. На запрос о парольной фразе задайте длинную фразу: она защищает закрытый ключ, если файл скопируют с вашего устройства. Проверка: в каталоге ~/.ssh появились файлы id_ed25519 и id_ed25519.pub.

ssh-keygen -t ed25519 -a 64 -f ~/.ssh/id_ed25519 -C "laptop-to-server"

Файл без расширения — закрытый ключ. Не отправляйте его в чаты, почту и тикеты. Файл с расширением .pub — открытый ключ; именно его можно добавить на сервер.

1. Установите открытый ключ и проверьте вход в новой сессии. Пока текущий доступ по паролю работает, запустите:

ssh-copy-id -i ~/.ssh/id_ed25519.pub -p 22 user@server.example

Введите пароль сервера, если программа его запросит. Затем откройте новое окно терминала и проверьте вход именно по созданному ключу:

ssh -i ~/.ssh/id_ed25519 -p 22 user@server.example

Проверка пройдена, если новая сессия открылась. Может потребоваться парольная фраза от ключа — это не пароль пользователя на сервере. Только после успешного повторного входа можно завершить старую сессию. Если ssh-copy-id недоступна или вход по паролю запрещён, попросите администратора добавить содержимое файла id_ed25519.pub в список разрешённых ключей пользователя. Не меняйте настройки сервера, чтобы обойти запрет.

Как не отрезать себе доступ настройками

При работе с серверной конфигурацией держите текущую SSH-сессию открытой. Сначала сохраните копию изменяемого файла и уточните, как в вашей системе называется служба SSH. После правки проверьте конфигурацию командой:

sudo sshd -t

Если команда сообщает об ошибке, не перезагружайте и не перезапускайте службу: исправьте конфигурацию или восстановите копию. Если проверка прошла, примените изменения способом, рекомендованным для вашего дистрибутива, и откройте вторую SSH-сессию. Убедитесь, что новый вход работает, и только затем закрывайте старую.

Особенно опасно одновременно менять порт, правила межсетевого экрана и способ авторизации. Сначала проверьте каждый пункт отдельно и убедитесь, что новый порт разрешён в сетевых правилах хостинга и сервера. Не отключайте вход по паролю, пока не подтвердили авторизацию ключом во второй сессии и не проверили аварийный доступ.

Старая сессия — не запасной план навсегда, но это ваша страховка на время проверки. Закрывайте её только после того, как новая сессия действительно вошла.

Если подключение не работает

• Connection timed out. Сервер не ответил за отведённое время. Проверьте адрес, порт, сетевое соединение и правила файрвола; уточните у администратора, доступен ли сервер извне.
• Connection refused. Узел доступен, но соединение на этом порту отклонено. Возможны неверный порт или неработающая SSH-служба. Сверьте настройки с администратором, а не перебирайте порты наугад.
• Permission denied (publickey). Сервер не принял ключ. Проверьте имя пользователя, путь к ключу, выбранный порт и то, добавлен ли открытый ключ именно этому пользователю.
• WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!. Ключ сервера отличается от сохранённого ранее. Причиной может быть переустановка сервера, но также и соединение не с тем узлом. Сначала подтвердите новый отпечаток у администратора; не удаляйте предупреждение, пока причина неизвестна.

Термин. Отпечаток ключа сервера — короткое контрольное представление его ключа. Сверка помогает убедиться, что вы подключаетесь к ожидаемому серверу, а не к другому узлу с тем же адресом.

Что проверить после первого входа

Сохраните закрытый ключ в надёжном месте и подготовьте способ восстановить доступ, если компьютер потеряется или выйдет из строя. Если сервером пользуется команда, заведите отдельные учётные записи и ключи для людей, которым нужен доступ: общий логин усложняет отзыв прав и разбор действий.

Следующий шаг — договориться с администратором о ротации ключей и аварийном доступе. Если сервер ваш, после настройки проверьте вход из нового терминала и убедитесь, что в панели хостинга доступна консоль восстановления. При дальнейших изменениях SSH держите открытой проверенную сессию и меняйте по одному параметру за раз.