<div id="readability-page-1" class="page"><div><p>
                    🤫 SSH (Secure Shell)
                    
                    </p><p>
                        일상에서의 SSH
                    </p>
                    
                    
                </div><div v-pre="">
                
                    <h2 id="ssh-server">SSH Server</h2>
<p>SSH 데몬 설정 파일은 <code>/etc/ssh/sshd_config</code>이다.</p>
<h2 id="authoized_keys">authoized_keys</h2>
<ul>
<li>역할: SSH 서버가 접속을 허용할 클라이언트의 공개키를 저장하는 파일이다. (사용자 인증 방식)</li>
<li>위치: 보통 사용자의 홈 디렉토리 아래의 <code>~/.ssh/authorized_keys</code>에 위치한다.</li>
<li>내용: 클라이언트의 공개 키가 저장된다.
서버는 클라이언트의 접속 시도 시,
이 파일에 저장된 공개 키와 클라이언트가 제공한 키를 비교하여 인증을 수행한다.</li>
<li>보안: 비밀번호 대신 공개 키를 사용하여 인증하기 때문에,
공개 키 인증 방식이 비밀번호 인증보다 더 안전하다.
특히, 비밀번호를 통한 무차별 대입 공격에 대한 저항력이 높다.</li>
</ul>
<p>SSH 데몬(sshd) 설치 혹은 실행 시 <code>/etc/ssh</code> 디렉토리에 비대칭키 쌍이 생성 및 저장된다.
만약 설치 시 생성되지 않았다면, 맨 처음 실행할 때 생성된다.
<code>ssh-keygen</code> 명령어를 사용해서 수동으로 생성 및 교체할 수도 있다.</p>
<div><pre tabindex="0"><code data-lang="sh">&gt; ls /etc/ssh | grep <span>"ssh_host"</span>
ssh_host_ecdsa_key
ssh_host_ecdsa_key.pub
ssh_host_ed25519_key
ssh_host_ed25519_key.pub
ssh_host_rsa_key
ssh_host_rsa_key.pub
</code></pre></div><p>수동으로 교체하는 명령어는 다음과 같다.</p>
<div><pre tabindex="0"><code data-lang="sh"><span># 새 키 생성</span>
sudo ssh-keygen -t rsa -f /etc/ssh/ssh_host_rsa_key_new

<span># 새 키를 기존 키로 대체</span>
sudo mv /etc/ssh/ssh_host_rsa_key /etc/ssh/ssh_host_rsa_key_old
sudo mv /etc/ssh/ssh_host_rsa_key_new /etc/ssh/ssh_host_rsa_key
sudo mv /etc/ssh/ssh_host_rsa_key.pub /etc/ssh/ssh_host_rsa_key_old.pub
sudo mv /etc/ssh/ssh_host_rsa_key_new.pub /etc/ssh/ssh_host_rsa_key.pub

<span># SSH 서버 재시작</span>
sudo systemctl restart sshd
</code></pre></div><h2 id="주로-사용하는-server-설정">주로 사용하는 Server 설정</h2>
<p>설정 완료 후 데몬 재시작(<code>systemctl restart sshd</code>)해야 적용된다.</p>
<div><pre tabindex="0"><code data-lang="sh"><span>## /etc/ssh/sshd_config</span>
<span># This is the sshd server system-wide configuration file.  See</span>
<span># sshd_config(5) for more information.</span>

<span># SSH 서버가 Listen할 포트 지정</span>
Port <span>22</span>

<span># 서버의 호스트 키 파일 경로를 지정</span>
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key

<span># 루트 로그인 허용 여부</span>
PermitRootLogin no <span># yes, prohibit-password</span>

<span># 비밀번호 인증 허용 여부</span>
PasswordAuthentication no <span># yes</span>

<span># 공개키 인증 허용 여부</span>
PubkeyAuthentication yes <span># no</span>

<span># 허용할 사용자 및 그룹</span>
AllowUsers user1 user2
AllowGroups sshusers

<span># 거부할 사용자 및 그룹</span>
DenyUsers user3 user4
DenyGroups nogroup

<span># 비밀번호 인증 시도 횟수 제한</span>
MaxAuthTries <span>3</span> <span># default 6</span>

<span># 비밀번호 인증 시도 간격</span>
LoginGraceTime <span>120</span> <span># seconds == 2m</span>
</code></pre></div><p><code>/etc/hosts.allow</code> 파일에 허용할 IP를 설정할 수 있다.</p>
<div><pre tabindex="0"><code data-lang="sh"><span># 모든 호스트 허용</span>
sshd: ALL
<span># 하나의 IP를 허용할 경우</span>
sshd: 192.168.1.33
<span># IP 대역으로 허용할 경우</span>
sshd: 192.168.1.0/24
<span># 특정 도메인을 허용할 경우</span>
sshd: .example.com
</code></pre></div><h2 id="ssh-client">SSH Client</h2>
<p>system-wide 설정 파일은 <code>/etc/ssh/ssh_config</code>이다.</p>
<h2 id="설정-파일-우선-순위">설정 파일 우선 순위</h2>
<ol>
<li>명령줄 옵션: 가장 우선한다.</li>
<li>환경 변수</li>
<li><code>$HOME/.ssh/config</code>: 사용자별 설정 파일</li>
<li><code>/etc/ssh/ssh_config</code>: 전역 설정 파일</li>
</ol>
<h2 id="known_hosts">known_hosts</h2>
<ul>
<li>역할: SSH 클라이언트가 접속하려는 서버의 HostKey(공개키)를 저장하는 파일이다. (서버 인증 방식)</li>
<li>위치: 보통 사용자의 홈 디렉토리 아래의 <code>~/.ssh/known_hosts</code>에 위치한다.</li>
<li>내용: 서버의 호스트 키 정보가 저장된다.
클라이언트가 처음 특정 서버에 접속할 때,
서버의 호스트 키를 확인하고 <code>known_hosts</code> 파일에 저장한다.
이후 동일 서버에 접속할 때는 이 파일을 참조하여 서버의 신원을 확인한다.</li>
<li>보안: 서버의 호스트 키가 변경되면 SSH 클라이언트는 보안 경고를 출력하고 접속을 차단한다.
이는 중간자 공격(MITM, Man-in-the-Middle Attack)을 방지하기 위한 메커니즘이다.</li>
</ul>
<h2 id="주로-사용하는-host-설정">주로 사용하는 Host 설정</h2>
<div><pre tabindex="0"><code data-lang="sh"><span># $HOME/.ssh/config</span>
Host my-host
  User markruler
  HostName 111.222.111.222
  IdentityFile ~/.ssh/my-key.pem
  IdentitiesOnly yes
  LogLevel VERBOSE
</code></pre></div><p>remote host의 SSH 데몬이 최신 키를 지원하지 않는 오래된 버전인 경우</p>
<div><pre tabindex="0"><code data-lang="sh">Host old-host
  HostName 111.222.111.222
  User markruler
  <span>HostKeyAlgorithms</span> <span>=</span> +ssh-rsa,ssh-dss
  LogLevel VERBOSE
</code></pre></div><ul>
<li><a href="https://cloud.ibm.com/docs/hp-virtual-servers?topic=hp-virtual-servers-generate_ssh">HostKeyAlgorithms</a>
<ul>
<li>ssh-ed25519</li>
<li>ssh-rsa</li>
<li>ssh-dss</li>
<li>ecdsa-sha2-nistp256</li>
</ul>
</li>
</ul>
<h2 id="git">Git</h2>
<div><pre tabindex="0"><code data-lang="sh"><span># 회사 계정과 분리하고 싶을 경우</span>
Host work.github.com
  HostName github.com
  IdentityFile ~/.ssh/github_work_ed25519
  User git

Host github.com
  IdentityFile ~/.ssh/github_ed25519
  User git

Host bitbucket.org
  IdentityFile ~/.ssh/bitbucket_ed25519
  User git
</code></pre></div><p>위에서 Github 주소를 회사 repository와 구분해서 관리할 경우 remote repository 주소도 변경해야 한다.
새로 clone 받는 경우에는 clone 받을 때 주소만 변경해주면 된다.</p>
<div><pre tabindex="0"><code data-lang="sh">git clone git@work.github.com:xpdojo/kubernetes.git
</code></pre></div><div><pre tabindex="0"><code data-lang="toml"><span># .git/config</span>
[remote <span>"origin"</span>]
  url = git@work.github.com:xpdojo/kubernetes.git
  fetch = +refs/heads/*:refs/remotes/origin/*
</code></pre></div><h2 id="local-forward">Local Forward</h2>
<ul>
<li>Bastion Host를 두고 Local Forwarding이 필요한 경우</li>
</ul>
<div><pre tabindex="0"><code data-lang="sh">Host tost
  User markruler
  HostName ec2-111.222.111.222.ap-northeast-2.compute.amazonaws.com
  LocalForward localhost:14000 something.abcd.ap-northeast-2.rds.amazonaws.com:1521
  IdentityFile ~/.ssh/my-rds-key.pem
  LogLevel VERBOSE
</code></pre></div><p>커넥션을 끊어야 할 경우 PID을 직접 죽인다.</p>
<div><pre tabindex="0"><code data-lang="sh">ps -ef | grep tost
<span># markrul+   38624    4372  0 08:37 ?        00:00:00 ssh -f -N tost</span>
<span>kill</span> -TERM <span>38624</span>
</code></pre></div><p><strong>위 설정과 동일한 명령어</strong>는 다음과 같다.</p>
<div><pre tabindex="0"><code data-lang="sh">ssh -vv -f -N <span>\
</span><span></span>  -i <span>"~/.ssh/my-rds-key.pem"</span> <span>\
</span><span></span>  -L 14000:something.abcd.ap-northeast-2.rds.amazonaws.com:1521 <span>\
</span><span></span>  ec2-111.222.111.222.ap-northeast-2.compute.amazonaws.com
</code></pre></div><h2 id="참조">참조</h2>
<ul>
<li>ChatGPT</li>
<li>Client
<ul>
<li><a href="https://www.ssh.com/academy/ssh/config">SSH config file for OpenSSH client</a> - SSH Academy</li>
<li><a href="https://linux.die.net/man/5/ssh_config">ssh_config(5)</a> - Linux man page</li>
</ul>
</li>
<li>Server
<ul>
<li><a href="https://linux.die.net/man/5/sshd_config">sshd_config(5)</a> - Linux man page</li>
</ul>
</li>
</ul>

                    
                    <hr id="EOF">
		    <p>Last modified on 2024-07-18</p>
                    
                </div></div>

임창수 블로그

Changsu

임창수 블로그 https://markruler.github.io/posts/network/ssh/ -
SSH Server
SSH 데몬 설정 파일은 /etc/ssh/sshd_config이다.
authoized_keys
역할: SSH 서버가 접속을 허용할 클라이언트의 공개키를 저장하는 파일이다. (사용자 인증 방식)
위치: 보통 사용자의 홈 디렉토리 아래의 ~/.ssh/authorized_keys에 위치한다.
내용: 클라이언트의 공개 키가 저장된다.
서버는 클라이언트의 접속 시도 시,
이 파일에 저장된 공개 키와 클라이언트가 제공한 키를 비교하여 인증을 수행한다.
보안: 비밀번호 대신 공개 키를 사용하여 인증하기 때문에,
공개 키 인증 방식이 비밀번호 인증보다 더 안전하다.
특히, 비밀번호를 통한 무차별 대입 공격에 대한 저항력이 높다.
SSH 데몬(sshd) 설치 혹은 실행 시 /etc/ssh 디렉토리에 비대칭키 쌍이 생성 및 저장된다.
만약 설치 시 생성되지 않았다면, 맨 처음 실행할 때 생성된다.
ssh-keygen 명령어를 사용해서 수동으로 생성 및 교체할 수도 있다.
> ls /etc/ssh | grep "ssh_host"
ssh_host_ecdsa_key
ssh_host_ecdsa_key.pub
ssh_host_ed25519_key
ssh_host_ed25519_key.pub
ssh_host_rsa_key
ssh_host_rsa_key.pub
수동으로 교체하는 명령어는 다음과 같다.
# 새 키 생성
sudo ssh-keygen -t rsa -f /etc/ssh/ssh_host_rsa_key_new
# 새 키를 기존 키로 대체
sudo mv /etc/ssh/ssh_host_rsa_key /etc/ssh/ssh_host_rsa_key_old
sudo mv /etc/ssh/ssh_host_rsa_key_new /etc/ssh/ssh_host_rsa_key
sudo mv /etc/ssh/ssh_host_rsa_key.pub /etc/ssh/ssh_host_rsa_key_old.pub
sudo mv /etc/ssh/ssh_host_rsa_key_new.pub /etc/ssh/ssh_host_rsa_key.pub
# SSH 서버 재시작
sudo systemctl restart sshd
주로 사용하는 Server 설정
설정 완료 후 데몬 재시작(systemctl restart sshd)해야 적용된다.
## /etc/ssh/sshd_config
# This is the sshd server system-wide configuration file.  See
# sshd_config(5) for more information.
# SSH 서버가 Listen할 포트 지정
Port 22
# 서버의 호스트 키 파일 경로를 지정
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key
# 루트 로그인 허용 여부
PermitRootLogin no # yes, prohibit-password
# 비밀번호 인증 허용 여부
PasswordAuthentication no # yes
# 공개키 인증 허용 여부
PubkeyAuthentication yes # no
# 허용할 사용자 및 그룹
AllowUsers user1 user2
AllowGroups sshusers
# 거부할 사용자 및 그룹
DenyUsers user3 user4
DenyGroups nogroup
# 비밀번호 인증 시도 횟수 제한
MaxAuthTries 3 # default 6
# 비밀번호 인증 시도 간격
LoginGraceTime 120 # seconds == 2m
/etc/hosts.allow 파일에 허용할 IP를 설정할 수 있다.
# 모든 호스트 허용
sshd: ALL
# 하나의 IP를 허용할 경우
sshd: 192.168.1.33
# IP 대역으로 허용할 경우
sshd: 192.168.1.0/24
# 특정 도메인을 허용할 경우
sshd: .example.com
SSH Client
system-wide 설정 파일은 /etc/ssh/ssh_config이다.
설정 파일 우선 순위
명령줄 옵션: 가장 우선한다.
환경 변수
$HOME/.ssh/config: 사용자별 설정 파일
/etc/ssh/ssh_config: 전역 설정 파일
known_hosts
역할: SSH 클라이언트가 접속하려는 서버의 HostKey(공개키)를 저장하는 파일이다. (서버 인증 방식)
위치: 보통 사용자의 홈 디렉토리 아래의 ~/.ssh/known_hosts에 위치한다.
내용: 서버의 호스트 키 정보가 저장된다.
클라이언트가 처음 특정 서버에 접속할 때,
서버의 호스트 키를 확인하고 known_hosts 파일에 저장한다.
이후 동일 서버에 접속할 때는 이 파일을 참조하여 서버의 신원을 확인한다.
보안: 서버의 호스트 키가 변경되면 SSH 클라이언트는 보안 경고를 출력하고 접속을 차단한다.
이는 중간자 공격(MITM, Man-in-the-Middle Attack)을 방지하기 위한 메커니즘이다.
주로 사용하는 Host 설정
# $HOME/.ssh/config
Host my-host
  User markruler
  HostName 111.222.111.222
  IdentityFile ~/.ssh/my-key.pem
  IdentitiesOnly yes
  LogLevel VERBOSE
remote host의 SSH 데몬이 최신 키를 지원하지 않는 오래된 버전인 경우
Host old-host
  HostName 111.222.111.222
  User markruler
  HostKeyAlgorithms = +ssh-rsa,ssh-dss
  LogLevel VERBOSE
HostKeyAlgorithms
ssh-ed25519
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
Git
# 회사 계정과 분리하고 싶을 경우
Host work.github.com
  HostName github.com
  IdentityFile ~/.ssh/github_work_ed25519
  User git
Host github.com
  IdentityFile ~/.ssh/github_ed25519
  User git
Host bitbucket.org
  IdentityFile ~/.ssh/bitbucket_ed25519
  User git
위에서 Github 주소를 회사 repository와 구분해서 관리할 경우 remote repository 주소도 변경해야 한다.
새로 clone 받는 경우에는 clone 받을 때 주소만 변경해주면 된다.
git clone git@work.github.com:xpdojo/kubernetes.git
# .git/config
[remote "origin"]
  url = git@work.github.com:xpdojo/kubernetes.git
  fetch = +refs/heads/*:refs/remotes/origin/*
Local Forward
Bastion Host를 두고 Local Forwarding이 필요한 경우
Host tost
  User markruler
  HostName ec2-111.222.111.222.ap-northeast-2.compute.amazonaws.com
  LocalForward localhost:14000 something.abcd.ap-northeast-2.rds.amazonaws.com:1521
  IdentityFile ~/.ssh/my-rds-key.pem
  LogLevel VERBOSE
ssh -f -N tost
커넥션을 끊어야 할 경우 PID을 직접 죽인다.
ps -ef | grep tost
# markrul+   38624    4372  0 08:37 ?        00:00:00 ssh -f -N tost
kill -TERM 38624
위 설정과 동일한 명령어는 다음과 같다.
ssh -vv -f -N \
  -i "~/.ssh/my-rds-key.pem" \
  -L 14000:something.abcd.ap-northeast-2.rds.amazonaws.com:1521 \
  ec2-111.222.111.222.ap-northeast-2.compute.amazonaws.com
참조
ChatGPT
Client
SSH config file for OpenSSH client - SSH Academy
ssh_config(5) - Linux man page
Server
sshd_config(5) - Linux man page
- https://markruler.github.io/posts/network/ssh/ - Im Changsu 2020 - 2024

🤫 SSH (Secure Shell)

댓글