Какво е SSH и как да се свържете със сървъра

Купили сте VPS и в писмото от хостинга има три реда: IP адрес, потребител и парола. Няма бутон „Влез“, няма познат контролен панел. Само указанието да се свържете „през SSH“. За човек, който досега е работил само със споделен хостинг, това звучи като начало на нещо сложно.

Всъщност SSH е просто начинът, по който се говори със сървър от разстояние. След първите пет минути ще ви се струва толкова естествен, колкото отварянето на сайт в браузъра. В тази статия ще разберете какво е SSH, как работи, как да се свържете от Windows, macOS и Linux, как да влизате с ключ вместо с парола и как да защитите достъпа, за да не стане сървърът ви лесна мишена.

Какво е SSH

SSH идва от английското Secure Shell, или „сигурна обвивка“. Това е протокол, тоест набор от правила, по които два компютъра установяват защитена връзка през интернет. Единият е вашият компютър, другият е сървърът. Щом връзката се отвори, получавате команден ред на сървъра: всичко, което напишете, се изпълнява там, а резултатът се връща на вашия екран.

Преди SSH за същото се използваха протоколи като Telnet, които изпращаха всичко като обикновен текст, включително паролите. Всеки, който може да подслушва мрежата по пътя, можеше да ги прочете. SSH се появява през 1995 г. точно за да реши този проблем. Днес той е стандартният начин за управление на Linux сървъри по целия свят.

Ако сте работили със споделен хостинг, вероятно никога не ви е трябвал. Там управлявате сайта през контролен панел в браузъра. При VPS и самостоятелен сървър обаче получавате цялата машина, а SSH е входната врата към нея.

Как работи SSH

На сървъра работи програма, която постоянно слуша за входящи връзки, обикновено на порт 22. На вашия компютър работи клиент, тоест програма, която се свързва към нея. Когато се свържете, двете страни първо се договарят как ще криптират разговора и си разменят ключове. Едва след това идва въпросът кой сте вие.

Има две важни проверки. Първата е, че сървърът доказва на вас, че е истинският сървър, а не някой, който се представя за него. За това служи неговият отпечатък, за който ще стане дума по-надолу. Втората е, че вие доказвате на сървъра, че имате право да влезете: с парола или със SSH ключ.

След като и двете проверки минат, всичко, което се изпраща между вас и сървъра, е криптирано. Командите, паролите и съдържанието на файловете пътуват така, че дори някой да ги прихване, не може да ги прочете.

За какво се използва SSH

Командният ред е най-известната употреба, но далеч не единствената:

• Управление на сървъра. Инсталиране на софтуер, обновяване на системата, рестартиране на услуги, преглед на логове.
• Прехвърляне на файлове. SFTP и SCP работят върху SSH и копират файлове криптирано, без отделен FTP сървър.
• Резервни копия и миграции. Инструменти като rsync пренасят цели сайтове между два сървъра директно, без да минават през вашия компютър.
• Работа с код. Git използва SSH, за да изпраща и тегли код от хранилища, без да въвеждате парола всеки път.
• Защитени тунели. През SSH можете да достъпите база данни или админ панел, които не са отворени към интернет, все едно са на вашия компютър.

Какво ви трябва, за да се свържете

Преди първото свързване проверете, че имате четири неща. Обикновено ги намирате в писмото, което хостингът изпраща при активиране на сървъра:

• Адрес на сървъра. IP адрес, например 203.0.113.10, или име, което сочи към него, например server.vashiyatdomeyn.bg.
• Потребител. При нов VPS това най-често е root, главният администратор.
• Парола или ключ. Първоначалната парола или SSH ключ, ако сте го задали при поръчката.
• Порт. По подразбиране е 22. Ако е сменен, ще ви е казано изрично.

Пета нужна вещ е програмата, с която да се свържете. Добрата новина е, че почти сигурно вече я имате.

Как да се свържете от Windows

В Windows 10 и 11 клиентът за SSH е вграден. Отворете PowerShell или Command Prompt и напишете:

ssh root@203.0.113.10

Вместо примерния адрес сложете адреса на своя сървър. Ако портът не е 22, добавете го така: ssh -p 2222 root@203.0.113.10. Ще ви бъде поискана паролата. Когато я пишете, на екрана не се появява нищо, дори звездички. Това е нормално и е мярка за сигурност. Напишете я и натиснете Enter.

С PuTTY

Много хора предпочитат PuTTY, безплатна програма, която от години е стандарт за SSH под Windows. Свалете я от официалния ѝ сайт и я стартирайте:

1. В полето „Host Name“ въведете IP адреса на сървъра.
2. В полето „Port“ оставете 22, освен ако хостингът не ви е дал друг.
3. Уверете се, че „Connection type“ е SSH.
4. Ако ще се свързвате често, напишете име в „Saved Sessions“ и натиснете „Save“, за да не въвеждате адреса всеки път.
5. Натиснете „Open“, въведете потребителя на реда „login as“ и после паролата.

В PuTTY има още едно удобство: маркирате текст с мишката и той автоматично се копира, а с десен бутон поставяте копиран текст. Така е лесно да поставите дълга команда, без да я преписвате.

Как да се свържете от macOS и Linux

На Mac отворете приложението Terminal, а на Linux който и да е терминал. Командата е същата като в Windows:

ssh root@203.0.113.10

Ако се свързвате към няколко сървъра, можете да си запишете настройките във файла ~/.ssh/config. Там задавате кратко име, адрес, потребител и порт за всеки сървър. След това вместо дългата команда пишете само ssh moyatserver.

Първото свързване и отпечатъкът на сървъра

При първото свързване към нов сървър ще видите съобщение, което започва горе-долу така: „The authenticity of host … can't be established“, последвано от дълъг низ, наречен отпечатък (fingerprint), и въпрос дали да продължите.

Това не е грешка. Вашият компютър просто вижда този сървър за първи път и ви пита дали му вярвате. Ако напишете „yes“, отпечатъкът се запомня. При всяко следващо свързване компютърът проверява, че отсреща е същият сървър. Ако някой се опита да се представи за него, ще получите ясно предупреждение.

Ако искате да сте напълно сигурни, сравнете отпечатъка с този, който ви е дал хостингът, или с този, който виждате през отдалечената конзола в панела. При нормален нов сървър можете спокойно да потвърдите.

SSH ключове: по-сигурно от парола

Паролата, колкото и да е дълга, може да бъде отгатната, открадната или повторена на друго място. SSH ключът работи различно. Той е двойка свързани файлове: частен ключ, който стои само на вашия компютър, и публичен ключ, който качвате на сървъра. Сървърът пуска само този, който притежава частния ключ, а самият частен ключ никога не пътува по мрежата.

Ключът се създава с една команда в терминала или PowerShell:

ssh-keygen -t ed25519

Програмата ще ви попита къде да запише ключа и дали да го защитите с фраза. Оставете мястото по подразбиране и задайте фраза. Така, дори някой да открадне файла, без фразата няма да може да го използва.

След това качете публичния ключ на сървъра. На macOS и Linux най-лесно е с ssh-copy-id root@203.0.113.10. В Windows копирайте съдържанието на файла id_ed25519.pub и го добавете на нов ред във файла ~/.ssh/authorized_keys на сървъра. Ако ползвате PuTTY, ключът се създава с придружаващата програма PuTTYgen, а в PuTTY го посочвате в раздела „Connection → SSH → Auth“.

От този момент влизате без парола. Сървърът проверява ключа автоматично, а вие въвеждате само фразата, ако сте задали такава.

Основни команди за първите минути

Не е нужно да знаете стотици команди, за да се ориентирате на сървъра. Ето тези, които ще ползвате най-често в началото:

Едно важно правило: когато сте влезли като root, сървърът изпълнява всяка команда без да пита. Преди да изтриете или промените нещо, проверете два пъти къде се намирате и какво точно пишете.

Как да защитите SSH достъпа

Веднага щом сървърът получи публичен IP адрес, към порт 22 започват да прииждат автоматични опити за вход. Програми обхождат интернет и пробват най-често срещаните потребители и пароли. Това не е лично, но ако паролата е слаба, рано или късно ще успеят. Ето какво да направите в първия ден:

• Влизайте с ключ. Настройте SSH ключ, както е описано по-горе.
• Изключете влизането с парола. Във файла /etc/ssh/sshd_config задайте PasswordAuthentication no и рестартирайте услугата за SSH.
• Ограничете директния вход като root. Създайте отделен потребител с администраторски права и задайте PermitRootLogin no или поне prohibit-password.
• Блокирайте повтарящите се опити. Програми като fail2ban спират адреси, които многократно въвеждат грешна парола.
• Ограничете достъпа по IP. Ако се свързвате само от офиса и той има постоянен IP адрес, разрешете порт 22 само за него в защитната стена.

Едно предупреждение от практиката: когато променяте настройките на SSH, не затваряйте текущата връзка. Отворете втора и проверете, че можете да влезете с новите настройки. Ако нещо се обърка, първата сесия още е отворена и можете да върнете промяната. Иначе рискувате да заключите сами себе си. Тогава остава отдалечената конзола в панела на хостинга. Какво се случва, когато някой все пак успее да влезе, сме описали в статията за хакнат сайт.

Чести грешки при свързване

Почти всички проблеми при свързване се свеждат до няколко съобщения. Ето какво означават:

Connection timed out

Компютърът ви не получава никакъв отговор. Най-често адресът е грешен, сървърът е изключен или защитна стена по пътя блокира порта. Проверете адреса и дали сървърът е стартиран в панела.

Connection refused

Сървърът отговаря, но отказва връзката на този порт. Обикновено услугата за SSH не работи или слуша на друг порт. Проверете порта, а ако трябва, влезте през отдалечената конзола и стартирайте услугата.

Permission denied

Връзката е установена, но сървърът не приема данните ви. Причината е грешна парола, грешен потребител или ключ, който не е качен правилно. Проверете и правата на файловете: папката ~/.ssh трябва да е с права 700, а authorized_keys с 600.

Remote host identification has changed

Отпечатъкът на сървъра не съвпада със запомнения. Ако току-що сте преинсталирали операционната система, това е очаквано и махате стария запис с ssh-keygen -R 203.0.113.10. Ако не сте правили нищо такова, спрете и проверете с хостинга, преди да продължите.

SSH, SFTP и FTP: каква е разликата

Трите често се бъркат. FTP е стар протокол за прехвърляне на файлове, който изпраща паролата и данните без криптиране. SFTP върши същата работа, но върху SSH, тоест всичко е защитено. Повечето програми за качване на файлове, като FileZilla или WinSCP, поддържат SFTP. Ако имате SSH достъп, използвайте SFTP вместо FTP.

За по-големи задачи, като преместване на цял сайт между два сървъра, SSH позволява нещо още по-удобно: файловете се копират директно от сървър на сървър с rsync. Как изглежда цялото преместване, стъпка по стъпка, сме описали в статията за прехвърляне на сайт на друг хостинг.

Нужен ли ви е SSH, ако имате контролен панел

Не задължително. Ако на сървъра има контролен панел, повечето ежедневни задачи, като сайтове, поща и бази данни, се правят през браузъра. SSH ви трябва за неща, които панелът не покрива: инсталиране на специфичен софтуер, отстраняване на проблеми, автоматизация, работа с Git.

Ако изобщо не искате да се занимавате с команден ред, има и друг вариант: управляван сървър, при който настройката и поддръжката са грижа на хостинга. Разликите между двата подхода сме обяснили подробно в статията какво е VPS. А ако търсите машина, на която сами да упражните наученото тук, VPS сървър с пълен root достъп, SSH и отдалечена конзола е най-добрият начин да започнете.

Често задавани въпроси

Безопасно ли е SSH?

Да. Цялата връзка е криптирана, а сървърът и клиентът се проверяват взаимно. Най-слабото място обикновено не е протоколът, а слабата парола. Затова влизането с ключ и забраната на паролите правят SSH много по-устойчив на автоматичните атаки.

На кой порт работи SSH?

По подразбиране на порт 22. Някои администратори го сменят, за да намалят автоматичните опити за вход. Това намалява шума в логовете, но не замества истинската защита с ключове.

Мога ли да ползвам SSH от телефон?

Да. Има приложения за Android и iOS, които работят като SSH клиент. За спешна проверка вършат работа, но за по-сериозна работа компютърът е много по-удобен.

Какво да направя, ако съм се заключил?

Влезте през отдалечената конзола в панела на хостинга. Тя работи като екран, свързан директно към машината, и не зависи от SSH. Оттам можете да поправите настройките и да рестартирате услугата.

Има ли SSH на споделения хостинг?

Зависи от доставчика и плана. На споделения хостинг SSH често е ограничен или изключен по подразбиране, защото повечето задачи се вършат през контролния панел.

Заключение

SSH изглежда плашещо само първия път. Всъщност това е сигурен и бърз начин да говорите със сървъра си от всяко място: с една команда в терминала или с няколко кликвания в PuTTY. Научете основните команди, преминете от парола към ключ и затворете входа за автоматичните атаки още в първия ден. Така сървърът остава под ваш контрол, а не на някой, който е отгатнал паролата ви.