Sunucunuz için SSH anahtarlarını kurun

Bir SSH anahtar çifti iki parçadan oluşur: bilgisayarınızda kalan bir özel anahtar ve sunucuya koyduğunuz bir açık anahtar. Bağlandığınızda bilgisayarınız özel anahtara sahip olduğunu kanıtlar; ağda hiçbir şifre dolaşmaz ve saldırganların tahmin edebileceği bir şey kalmaz. Bu rehberde bir anahtar oluşturacak, sunucunuza kuracak ve test edeceksiniz.

1. adım: Bir anahtar çifti oluşturun

Bunu sunucuda değil, kendi bilgisayarınızda çalıştırın:

ssh-keygen -t ed25519 -C "alex@laptop"

-C değeri yalnızca anahtarı sonra tanımanıza yardımcı olan bir açıklamadır. Varsayılan dosyayı kabul etmek için Enter'a basın, ardından parolayı iki kez girin.

Doğrulama: ev dizininizdeki .ssh klasöründe artık iki dosya bulunur: id_ed25519 (özel anahtar, asla paylaşmayın) ve id_ed25519.pub (açık anahtar). Parmak izini şu komutla görün:

ssh-keygen -lf ~/.ssh/id_ed25519.pub

Windows'ta klasör C:\Users\Adiniz\.ssh konumundadır; PowerShell bu komuttaki ~ işaretini de anlar.

2. adım: Açık anahtarı sunucuya kopyalayın

ssh-copy-id -i ~/.ssh/id_ed25519.pub alex@203.0.113.10

Get-Content $env:USERPROFILE\.ssh\id_ed25519.pub | ssh alex@203.0.113.10 "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

mkdir -p ~/.ssh
chmod 700 ~/.ssh
nano ~/.ssh/authorized_keys

chmod 600 ~/.ssh/authorized_keys

authorized_keys dosyasındaki her satır bir açık anahtardır. Her satıra bir anahtar yazın ve oraya asla özel anahtar yapıştırmayın.

3. adım: Anahtarı test edin

Yeni bir terminal açın ve bağlanın:

ssh -i ~/.ssh/id_ed25519 alex@203.0.113.10

Doğrulama: istemci sunucu şifresini değil anahtarın parolasını sorar ve sizi içeri alır. Ayrıntısını görmek isterseniz ssh -v [email protected] çalıştırın: Authenticated to 203.0.113.10 ([203.0.113.10]:22) using "publickey". gibi bir satır anahtarın kullanıldığını doğrular.

4. adım: Parolayı bir agent'a hatırlatın

Get-Service ssh-agent | Set-Service -StartupType Automatic
Start-Service ssh-agent

ssh-add $env:USERPROFILE\.ssh\id_ed25519

ssh-add --apple-use-keychain ~/.ssh/id_ed25519

ssh-add ~/.ssh/id_ed25519

Doğrulama: ssh-add -l anahtarın parmak izini listeler ve yeni bağlantılar artık parola sormaz.

5. adım: Bir kısayol kaydedin (isteğe bağlı)

Bilgisayarınızdaki ~/.ssh/config dosyasına bir kayıt ekleyin:

Host myserver
    HostName 203.0.113.10
    User alex
    IdentityFile ~/.ssh/id_ed25519
    IdentitiesOnly yes

Artık ssh myserver yeterlidir. IdentitiesOnly yes, istemcinin yalnızca bu anahtarı sunmasını sağlar; çok sayıda anahtarınız olduğunda "Too many authentication failures" hatasını önler.

PuTTY kullanıyorsanız

PuTTY kendi anahtar biçimini (.ppk) kullanır. PuTTYgen'i açın ve ya anahtar türü EdDSA (Ed25519) ile Generate'i seçin ya da mevcut OpenSSH anahtarınızı Conversions › Import key ile yükleyin. Bir parola belirleyin, ardından Save private key'i seçin. "Public key for pasting into OpenSSH authorized_keys file" kutusundaki metni 2. adımdaki gibi sunucudaki authorized_keys dosyasına kopyalayın. PuTTY'de Open'ı seçmeden önce .ppk dosyasını Connection › SSH › Auth › Credentials altında seçin ve oturumu kaydedin.

Donanım güvenlik anahtarları

Bir FIDO2 güvenlik anahtarınız varsa yalnızca cihaz takılıyken ve dokunulduğunda çalışan bir anahtar oluşturabilirsiniz:

ssh-keygen -t ed25519-sk

Sunucuda OpenSSH 8.2 veya daha yeni bir sürüm çalışmalıdır; tüm güncel Ubuntu ve Debian sürümleri bu koşulu karşılar. Cihaz kaybolursa diye ikinci bir anahtar veya başka bir giriş yolu bulundurun.

Sorun giderme

Sunucu hâlâ şifre soruyor. Anahtar kabul edilmedi. Sunucuda ~/.ssh izninin 700, authorized_keys izninin 600 olduğunu, ikisinin de kullanıcıya ait olduğunu ve anahtarın bölünmemiş tek bir satırda durduğunu kontrol edin. ssh -v istemcinizin hangi anahtarları sunduğunu gösterir.

Permission denied (publickey). Şifreyle giriş zaten kapalı ve anahtar kabul edilmiyor. Başka bir yolla girin (hizmet sayfanızda görünüyorsa web konsolu) ve authorized_keys dosyasını düzeltin. Bkz. SSH bağlantı sorunları.

WARNING: UNPROTECTED PRIVATE KEY FILE! Özel anahtar dosyanızı başka kullanıcılar okuyabiliyor. macOS ve Linux'ta chmod 600 ~/.ssh/id_ed25519 çalıştırın. Windows'ta dosyanın Özellikler › Güvenlik sekmesinden diğer kullanıcıları kaldırın.

Too many authentication failures. Agent'ınız çok fazla anahtar sundu. 5. adımdaki gibi bu sunucu için IdentitiesOnly yes ve bir IdentityFile satırı ekleyin.

Sonraki adımlar

• Şifre ve root girişlerini kapatın: SSH sıkılaştırma.
• İlk saat kontrol listesini tamamlayın: yeni bir Linux sunucuyu güvenli hale getirin.