<div id="readability-page-1" class="page"><div><p>
          🤫 SSH (Secure Shell)
          
          </p><p>
            일상에서의 SSH
          </p>
          
          
        </div><div v-pre="">
            
            <h2 id="ssh-server">SSH Server</h2>
<p>SSH 데몬 설정 파일은 <code>/etc/ssh/sshd_config</code>이다.</p>
<h2 id="authoized_keys">authoized_keys</h2>
<ul>
<li>역할: SSH 서버가 접속을 허용할 클라이언트의 공개키를 저장하는 파일이다. (사용자 인증 방식)</li>
<li>위치: 보통 사용자의 홈 디렉토리 아래의 <code>~/.ssh/authorized_keys</code>에 위치한다.</li>
<li>내용: 클라이언트의 공개 키가 저장된다.
서버는 클라이언트의 접속 시도 시,
이 파일에 저장된 공개 키와 클라이언트가 제공한 키를 비교하여 인증을 수행한다.</li>
<li>보안: 비밀번호 대신 공개 키를 사용하여 인증하기 때문에,
공개 키 인증 방식이 비밀번호 인증보다 더 안전하다.
특히, 비밀번호를 통한 무차별 대입 공격에 대한 저항력이 높다.</li>
</ul>
<p>SSH 데몬(sshd) 설치 혹은 실행 시 <code>/etc/ssh</code> 디렉토리에 비대칭키 쌍이 생성 및 저장된다.
만약 설치 시 생성되지 않았다면, 맨 처음 실행할 때 생성된다.
<code>ssh-keygen</code> 명령어를 사용해서 수동으로 생성 및 교체할 수도 있다.</p>
<div><pre tabindex="0"><code data-lang="sh">&gt; ls /etc/ssh | grep <span>"ssh_host"</span>
ssh_host_ecdsa_key
ssh_host_ecdsa_key.pub
ssh_host_ed25519_key
ssh_host_ed25519_key.pub
ssh_host_rsa_key
ssh_host_rsa_key.pub
</code></pre></div><p>수동으로 교체하는 명령어는 다음과 같다.</p>
<div><pre tabindex="0"><code data-lang="sh"><span># 새 키 생성</span>
sudo ssh-keygen -t rsa -f /etc/ssh/ssh_host_rsa_key_new

<span># 새 키를 기존 키로 대체</span>
sudo mv /etc/ssh/ssh_host_rsa_key /etc/ssh/ssh_host_rsa_key_old
sudo mv /etc/ssh/ssh_host_rsa_key_new /etc/ssh/ssh_host_rsa_key
sudo mv /etc/ssh/ssh_host_rsa_key.pub /etc/ssh/ssh_host_rsa_key_old.pub
sudo mv /etc/ssh/ssh_host_rsa_key_new.pub /etc/ssh/ssh_host_rsa_key.pub

<span># SSH 서버 재시작</span>
sudo systemctl restart sshd
</code></pre></div><h2 id="주로-사용하는-server-설정">주로 사용하는 Server 설정</h2>
<p>설정 완료 후 데몬 재시작(<code>systemctl restart sshd</code>)해야 적용된다.</p>
<div><pre tabindex="0"><code data-lang="sh"><span>## /etc/ssh/sshd_config</span>
<span># This is the sshd server system-wide configuration file.  See</span>
<span># sshd_config(5) for more information.</span>

<span># SSH 서버가 Listen할 포트 지정</span>
Port <span>22</span>

<span># 서버의 호스트 키 파일 경로를 지정</span>
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key

<span># 루트 로그인 허용 여부</span>
PermitRootLogin no <span># yes, prohibit-password</span>

<span># 비밀번호 인증 허용 여부</span>
PasswordAuthentication no <span># yes</span>

<span># 공개키 인증 허용 여부</span>
PubkeyAuthentication yes <span># no</span>

<span># 허용할 사용자 및 그룹</span>
AllowUsers user1 user2
AllowGroups sshusers

<span># 거부할 사용자 및 그룹</span>
DenyUsers user3 user4
DenyGroups nogroup

<span># 비밀번호 인증 시도 횟수 제한</span>
MaxAuthTries <span>3</span> <span># default 6</span>

<span># 비밀번호 인증 시도 간격</span>
LoginGraceTime <span>120</span> <span># seconds == 2m</span>
</code></pre></div><p><code>/etc/hosts.allow</code> 파일에 허용할 IP를 설정할 수 있다.</p>
<div><pre tabindex="0"><code data-lang="sh"><span># 모든 호스트 허용</span>
sshd: ALL
<span># 하나의 IP를 허용할 경우</span>
sshd: 192.168.1.33
<span># IP 대역으로 허용할 경우</span>
sshd: 192.168.1.0/24
<span># 특정 도메인을 허용할 경우</span>
sshd: .example.com
</code></pre></div><h2 id="ssh-client">SSH Client</h2>
<p>system-wide 설정 파일은 <code>/etc/ssh/ssh_config</code>이다.</p>
<h2 id="설정-파일-우선-순위">설정 파일 우선 순위</h2>
<ol>
<li>명령줄 옵션: 가장 우선한다.</li>
<li>환경 변수</li>
<li><code>$HOME/.ssh/config</code>: 사용자별 설정 파일</li>
<li><code>/etc/ssh/ssh_config</code>: 전역 설정 파일</li>
</ol>
<h2 id="known_hosts">known_hosts</h2>
<ul>
<li>역할: SSH 클라이언트가 접속하려는 서버의 HostKey(공개키)를 저장하는 파일이다. (서버 인증 방식)</li>
<li>위치: 보통 사용자의 홈 디렉토리 아래의 <code>~/.ssh/known_hosts</code>에 위치한다.</li>
<li>내용: 서버의 호스트 키 정보가 저장된다.
클라이언트가 처음 특정 서버에 접속할 때,
서버의 호스트 키를 확인하고 <code>known_hosts</code> 파일에 저장한다.
이후 동일 서버에 접속할 때는 이 파일을 참조하여 서버의 신원을 확인한다.</li>
<li>보안: 서버의 호스트 키가 변경되면 SSH 클라이언트는 보안 경고를 출력하고 접속을 차단한다.
이는 중간자 공격(MITM, Man-in-the-Middle Attack)을 방지하기 위한 메커니즘이다.</li>
</ul>
<h2 id="주로-사용하는-host-설정">주로 사용하는 Host 설정</h2>
<div><pre tabindex="0"><code data-lang="sh"><span># $HOME/.ssh/config</span>
Host my-host
  User markruler
  HostName 111.222.111.222
  IdentityFile ~/.ssh/my-key.pem
  IdentitiesOnly yes
  LogLevel VERBOSE
</code></pre></div><p>remote host의 SSH 데몬이 최신 키를 지원하지 않는 오래된 버전인 경우</p>
<div><pre tabindex="0"><code data-lang="sh">Host old-host
  HostName 111.222.111.222
  User markruler
  <span>HostKeyAlgorithms</span> <span>=</span> +ssh-rsa,ssh-dss
  LogLevel VERBOSE
</code></pre></div><ul>
<li><a href="https://cloud.ibm.com/docs/hp-virtual-servers?topic=hp-virtual-servers-generate_ssh">HostKeyAlgorithms</a>
<ul>
<li>ssh-ed25519</li>
<li>ssh-rsa</li>
<li>ssh-dss</li>
<li>ecdsa-sha2-nistp256</li>
</ul>
</li>
</ul>
<h2 id="git">Git</h2>
<div><pre tabindex="0"><code data-lang="sh"><span># 회사 계정과 분리하고 싶을 경우</span>
Host work.github.com
  HostName github.com
  IdentityFile ~/.ssh/github_work_ed25519
  User git

Host github.com
  IdentityFile ~/.ssh/github_ed25519
  User git

Host bitbucket.org
  IdentityFile ~/.ssh/bitbucket_ed25519
  User git
</code></pre></div><p>위에서 Github 주소를 회사 repository와 구분해서 관리할 경우 remote repository 주소도 변경해야 한다.
새로 clone 받는 경우에는 clone 받을 때 주소만 변경해주면 된다.</p>
<div><pre tabindex="0"><code data-lang="sh">git clone git@work.github.com:xpdojo/kubernetes.git
</code></pre></div><div><pre tabindex="0"><code data-lang="toml"><span># .git/config</span>
[remote <span>"origin"</span>]
  url = git@work.github.com:xpdojo/kubernetes.git
  fetch = +refs/heads/*:refs/remotes/origin/*
</code></pre></div><h2 id="local-forward">Local Forward</h2>
<ul>
<li>Bastion Host를 두고 Local Forwarding이 필요한 경우</li>
</ul>
<div><pre tabindex="0"><code data-lang="sh">Host tost
  User markruler
  HostName ec2-111.222.111.222.ap-northeast-2.compute.amazonaws.com
  LocalForward localhost:14000 something.abcd.ap-northeast-2.rds.amazonaws.com:1521
  IdentityFile ~/.ssh/my-rds-key.pem
  LogLevel VERBOSE
</code></pre></div><p>커넥션을 끊어야 할 경우 PID을 직접 죽인다.</p>
<div><pre tabindex="0"><code data-lang="sh">ps -ef | grep tost
<span># markrul+   38624    4372  0 08:37 ?        00:00:00 ssh -f -N tost</span>
<span>kill</span> -TERM <span>38624</span>
</code></pre></div><p><strong>위 설정과 동일한 명령어</strong>는 다음과 같다.</p>
<div><pre tabindex="0"><code data-lang="sh">ssh -vv -f -N <span>\
</span><span></span>  -i <span>"~/.ssh/my-rds-key.pem"</span> <span>\
</span><span></span>  -L 14000:something.abcd.ap-northeast-2.rds.amazonaws.com:1521 <span>\
</span><span></span>  ec2-111.222.111.222.ap-northeast-2.compute.amazonaws.com
</code></pre></div><h2 id="참조">참조</h2>
<ul>
<li>ChatGPT</li>
<li>Client
<ul>
<li><a href="https://www.ssh.com/academy/ssh/config">SSH config file for OpenSSH client</a> - SSH Academy</li>
<li><a href="https://linux.die.net/man/5/ssh_config">ssh_config(5)</a> - Linux man page</li>
</ul>
</li>
<li>Server
<ul>
<li><a href="https://linux.die.net/man/5/sshd_config">sshd_config(5)</a> - Linux man page</li>
</ul>
</li>
</ul>

            
            
            
            
          </div></div>

임창수 블로그

Changsu

SSH Server SSH 데몬 설정 파일은 /etc/ssh/sshd_config이다.
authoized_keys  역할: SSH 서버가 접속을 허용할 클라이언트의 공개키를 저장하는 파일이다. (사용자 인증 방식) 위치: 보통 사용자의 홈 디렉토리 아래의 ~/.ssh/authorized_keys에 위치한다. 내용: 클라이언트의 공개 키가 저장된다. 서버는 클라이언트의 접속 시도 시, 이 파일에 저장된 공개 키와 클라이언트가 제공한 키를 비교하여 인증을 수행한다. 보안: 비밀번호 대신 공개 키를 사용하여 인증하기 때문에, 공개 키 인증 방식이 비밀번호 인증보다 더 안전하다. 특히, 비밀번호를 통한 무차별 대입 공격에 대한 저항력이 높다.

🤫 SSH (Secure Shell)

댓글