relecture et compléments avant publication
This commit is contained in:
Gregory Colpart
parent
50b533dd90
commit
d83595c102
152
HowtoOpenSSH.md
152
HowtoOpenSSH.md
|
|
@ -6,13 +6,8 @@ title: Howto OpenSSH
|
|||
* Documentation : <https://www.openssh.com/manual.html>
|
||||
|
||||
[OpenSSH](https://www.openssh.com/) est l'implémentation la plus répandue du protocole SSH permettant de se connecter sur une machine à travers le réseau de manière sécurisée.
|
||||
OpenSSH est développé par le projet [OpenBSD](HowtoOpenBSD), il
|
||||
OpenSSH est développé par le projet [OpenBSD](HowtoOpenBSD) avec une grande attention sur la sécurité. Il offre de nombreuses fonctionnalités : SCP, SFTP, clés SSH, tunnels, VPN, etc.
|
||||
|
||||
fait partie du projet [OpenBSD](HowtoOpenBSD) et permet de nombreuses fonctionnalités : SFTP, gestion de clés, tunnels, VPN, etc.
|
||||
|
||||
Ce protocole existe en plusieurs
|
||||
versions et nous utilisons uniquement la version 2. La version 1
|
||||
comporte des failles de sécurité et ne doit plus être utilisée.
|
||||
|
||||
## Installation
|
||||
|
||||
|
|
@ -243,6 +238,8 @@ Host foo ssh.example.com
|
|||
Host sql.example.com
|
||||
IdentityFile ~/.ssh/id_bastion_ed25519
|
||||
ProxyCommand ssh bastion.example.com -W %h:%p
|
||||
StrictHostKeyChecking no
|
||||
UserKnownHostsFile /dev/null
|
||||
|
||||
Host nfs.example.com
|
||||
ProxyCommand ssh -W bastion.example.com:2222 john@192.0.2.111
|
||||
|
|
@ -281,7 +278,18 @@ Options utiles pour `scp` :
|
|||
|
||||
## SFTP
|
||||
|
||||
Le protocole SFTP correspond au **SSH File Transfer Protocol** : c'est une extension du protocole SSH qui permet non seulement de transférer des fichiers (comme [SCP](HowtoOpenSSH#scp)) mais aussi d'avoir des fonctionnalités plus avancées (listing de répertoire, suppression de fichiers, etc.) similaire au vieux protocole FTP.
|
||||
Le protocole SFTP correspond au **SSH File Transfer Protocol** : c'est une extension du protocole SSH qui permet non seulement de transférer des fichiers (comme [SCP](HowtoOpenSSH#scp)) mais aussi d'avoir des fonctionnalités plus avancées (listing de répertoire, suppression de fichiers, etc.) similaire au vieux protocole FTP :
|
||||
|
||||
~~~
|
||||
$ sftp ssh.example.com
|
||||
Connected to ssh.example.com.
|
||||
sftp> ls
|
||||
sftp> lls
|
||||
sftp> pwd
|
||||
sftp> get FICHIER
|
||||
sftp> put FICHIER
|
||||
sftp> bye
|
||||
~~~
|
||||
|
||||
### chroot SFTP
|
||||
|
||||
|
|
@ -418,7 +426,7 @@ no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty ssh-rsa XXXXX co
|
|||
### Agent SSH
|
||||
|
||||
Il est important de protéger une clé SSH utilisée par humain par une passphrase.
|
||||
Pour éviter de taper sa passphrase à chaque utilisation, on peut utiliser un *agent SSH* qui va la retenir en mémoire.
|
||||
Pour éviter de taper sa passphrase à chaque utilisation, on peut utiliser un *agent SSH* qui va retenir la clé SSH en mémoire.
|
||||
|
||||
En général, un agent SSH est lancé par son Window Manager.
|
||||
Sinon, on peut le lancer automatiquement via son `~/.profile` :
|
||||
|
|
@ -434,7 +442,7 @@ SSH_AUTH_SOCK=/tmp/ssh-IklIVmCGvWgT/agent.1151
|
|||
SSH_AGENT_PID=1198
|
||||
~~~
|
||||
|
||||
On peut alors lancer la commande `ssh-add` qui va nous demander notre passphrase et la transmettre à l'agent SSH :
|
||||
On peut alors lancer la commande `ssh-add` qui va nous demander notre passphrase pour transmettre la clé à l'agent SSH :
|
||||
|
||||
~~~
|
||||
$ ssh-add -t 36000
|
||||
|
|
@ -503,6 +511,16 @@ Enfin il faut noter que si l'on veut utiliser un port local inférieur à 1024,
|
|||
# ssh -L 443:127.0.0.1:443 ssh.example.com
|
||||
~~~
|
||||
|
||||
### Tunnel SSH inverse
|
||||
|
||||
Si l'on est derrière une connexion NAT par exemple, on peut ouvrir un tunnel pour permettre une connexion distante depuis une machine accessible en SSH :
|
||||
|
||||
~~~
|
||||
ssh -R 22000:127.0.0.1:22 ssh.example.com
|
||||
~~~
|
||||
|
||||
Depuis *ssh.example.com* on peut ainsi accéder à la machine derrière le NAT via `ssh -p22000 127.0.0.1`.
|
||||
|
||||
### Proxy SOCKS via SSH
|
||||
|
||||
On peut lancer un proxy SOCKS passant par un serveur distant ainsi :
|
||||
|
|
@ -563,7 +581,7 @@ $ ssh -J bastion.example.com cible.example.com
|
|||
|
||||
### Agent forwarding
|
||||
|
||||
Si vous voulez utiliser une [clé SSH](HowtoOpenSSH#cle-SSH) locale depuis un serveur distant, vous pouvez utiliser l'option `-A` :
|
||||
Si vous voulez utiliser une [clé SSH](HowtoOpenSSH#cle-SSH) locale depuis un serveur distant, vous pouvez utiliser l'option `-A` qui va rendre votre agent local accessible depuis le serveur distant :
|
||||
|
||||
~~~
|
||||
$ ssh -A ssh.example.com
|
||||
|
|
@ -573,6 +591,12 @@ SSH_AUTH_SOCK=/tmp/ssh-sUSruIwyCa/agent.3265
|
|||
|
||||
> *Note* : attention, cette option doit être utilisée en connaissance de cause car l'utilisateur *root* sur la machine *ssh.example.com* aura accès à vos clés et donc aux machines distantes auxquelles vous avez accès avec vos clés.
|
||||
|
||||
On peut également ajouter les clés SSH présentes sur un serveur distant en faisant :
|
||||
|
||||
~~~
|
||||
$ ssh ssh.example.com -t -A ssh-add
|
||||
~~~
|
||||
|
||||
### VPN over SSH
|
||||
|
||||
On peut utiliser OpenSSH comme VPN !
|
||||
|
|
@ -625,6 +649,50 @@ On peut également désactiver cette vérification en utilisant un fichier alter
|
|||
$ ssh -o UserKnownHostsFile=/dev/null ssh.example.com
|
||||
~~~
|
||||
|
||||
On peut également générer à l'avance les fingerpints dans un fichier `~/.ssh/known_hosts2` (utilisé par défaut).
|
||||
|
||||
Pour générer les fingerprints, on peut utiliser la commande `ssh-keyscan` :
|
||||
|
||||
~~~
|
||||
$ ssh-keyscan ssh.example.com
|
||||
ssh.example.com ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC2nP2WzQ8hkZDiEq5+QSGFhTB7SYfRa7/IG0gMOIoCDXH8b3sfsBUUEL8ZSFaWgNKskUnpgg/fqAhvnDLOPskr3OGXRfrCR68fCqn5H1zBrHB1kpdjPW9ezUe1xoY3hGp6LITANHWpZie1wBjYAzaBO70hNAo4JMCQvZXDsQdyws2DRSuYtiAoG/ZY0+t2VZh3MJLcofv1wNo43M+aHJR2xWmQSE7cWjMlcw/QOmsWJBv1+Kb/nK2Q7buX/byvY8ySu5ydATnyEinzbutZXc/t/FioOtWMeqh6NlD3aPGIpUTmf8ow+c1QwZWOC3T2GWyTD5KVmAZSm77lWkpYFcd1
|
||||
ssh.example.com ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIBsUneE642qr/kzKwJcKl9Cgog/kgCqRLZwZs4J7RRt8
|
||||
~~~
|
||||
|
||||
Puis l'on crée un fichier contenant :
|
||||
|
||||
~~~
|
||||
example-ssh,ssh.example.com,192.0.2.42 ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC2nP2WzQ8hkZDiEq5+QSGFhTB7SYfRa7/IG0gMOIoCDXH8b3sfsBUUEL8ZSFaWgNKskUnpgg/fqAhvnDLOPskr3OGXRfrCR68fCqn5H1zBrHB1kpdjPW9ezUe1xoY3hGp6LITANHWpZie1wBjYAzaBO70hNAo4JMCQvZXDsQdyws2DRSuYtiAoG/ZY0+t2VZh3MJLcofv1wNo43M+aHJR2xWmQSE7cWjMlcw/QOmsWJBv1+Kb/nK2Q7buX/byvY8ySu5ydATnyEinzbutZXc/t/FioOtWMeqh6NlD3aPGIpUTmf8ow+c1QwZWOC3T2GWyTD5KVmAZSm77lWkpYFcd1
|
||||
example-ssh,ssh.example.com,192.0.2.42 ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIBsUneE642qr/kzKwJcKl9Cgog/kgCqRLZwZs4J7RRt8
|
||||
~~~
|
||||
|
||||
Ce fichier contenant les fingerprints peut aussi être placé dans `/etc/ssh/ssh_known_hosts` ou `/etc/ssh/ssh_known_hosts2` et sera ainsi utilisé par défaut par tous les utilisateurs d'une machine.
|
||||
|
||||
Une autre technique pour vérifier un fingerprint est d'avoir des enregistrements DNS SSHFP.
|
||||
On peut les générer à l'aide de la commande `ssh-keygen` :
|
||||
|
||||
~~~
|
||||
$ ssh-keygen -r ssh.example.com
|
||||
ssh.example.com IN SSHFP 1 1 b0db7dbfe0775199662453c9d6eace6f993b9fdc
|
||||
ssh.example.com IN SSHFP 1 2 13e60f2c4d2848aea91c420b783273afe6c23efd23818ab220f167a53a0be886
|
||||
ssh.example.com IN SSHFP 2 1 c2ea7d50f05af4cabc8e6add3491a08654127f83
|
||||
ssh.example.com IN SSHFP 2 2 1222b6f7ad0d3447a31e3cba1af2eaf8aab7316570b63cc3eccdd4d865fee474
|
||||
ssh.example.com IN SSHFP 3 1 d93dbd0af9c7fd456b3fa4e9094ede031791da84
|
||||
ssh.example.com IN SSHFP 3 2 3b885c365ae3cebab6dea63b3eb697d2060d9da906e129011841d665a4ccfe4f
|
||||
ssh.example.com IN SSHFP 4 1 39d521c3d4b6f672149c1cc053014c9ebdfd4727
|
||||
ssh.example.com IN SSHFP 4 2 0f28d1764793b519c9c74bfb7c6d0dc9b980bdf22c68d1e324d19247d8cbe161
|
||||
~~~
|
||||
|
||||
On peut ainsi vérifier à la connexion :
|
||||
|
||||
~~~
|
||||
$ ssh -o "VerifyHostKeyDNS ask" ssh.example.com
|
||||
The authenticity of host 'ssh.example.com (192.0.2.42)' can't be established.
|
||||
ED25519 key fingerprint is SHA256:sln94vzrKSsTezPvT6pyO/Glavvl7/Ao8Wcd46BeRb0.
|
||||
Matching host key fingerprint found in DNS.
|
||||
Are you sure you want to continue connecting (yes/no)?
|
||||
~~~
|
||||
|
||||
### ControlMaster
|
||||
|
||||
OpenSSH peut permettre de réutiliser une connexion en cours pour d'autres connexions via l'option `ControlMaster`.
|
||||
|
|
@ -645,6 +713,23 @@ $ sshfs ssh.example.com:/foo/bar /mnt
|
|||
$ fusermount -u /mnt/ssh
|
||||
~~~
|
||||
|
||||
### X Forwarding
|
||||
|
||||
SSH peut créer automatiquement un tunnel et gérer la variable $DISPLAY pour afficher en local les applications graphiques distantes.
|
||||
Côté serveur, il faut la présence du package `xauth` et l'option `X11Forwarding yes` dans la configuration SSH.
|
||||
On peut alors lancer :
|
||||
|
||||
~~~
|
||||
$ ssh -X ssh.example.com
|
||||
$ xlogo
|
||||
~~~
|
||||
|
||||
### mosh
|
||||
|
||||
<https://mosh.org/>
|
||||
|
||||
En cas de connexion réseau avec une latence ou de la perte de paquets, une alternative à OpenSSH est **mosh**.
|
||||
|
||||
|
||||
## FAQ
|
||||
|
||||
|
|
@ -713,3 +798,50 @@ $ unset TMOUT
|
|||
$ export TMOUT=999999
|
||||
~~~
|
||||
|
||||
### Comment lister les clés SSH en mémoire d'un agent SSH ?
|
||||
|
||||
On peut utiliser la commande `ssh-add -l` :
|
||||
|
||||
~~~
|
||||
$ ssh-add -l
|
||||
256 71:fd:ba:ef:aa:94:27:14:05:d8:b6:db:28:e4:65:c2 /home/jdoe/.ssh/id_ed25519 (ED25519)
|
||||
2048 2b:c8:ae:c0:d3:25:93:83:d4:41:4d:21:1e:80:2f:f4 rsa w/o comment (RSA)
|
||||
~~~
|
||||
|
||||
À noter que l'on peut forcer un agent SSH à oublier les clés SSH à l'aide d'une des deux commandes suivantes :
|
||||
|
||||
~~~
|
||||
$ ssh-add -D
|
||||
All identities removed.
|
||||
|
||||
$ keychain --clear
|
||||
* ssh-agent: All identities removed.
|
||||
* gpg-agent: All identities removed.
|
||||
~~~
|
||||
|
||||
On peut aussi verrouiller temporairement son agent SSH via :
|
||||
|
||||
~~~
|
||||
$ ssh-add -x
|
||||
Enter lock password:
|
||||
Again:
|
||||
Agent locked.
|
||||
|
||||
$ ssh-add -l
|
||||
The agent has no identities.
|
||||
|
||||
$ ssh-add -X
|
||||
Enter lock password:
|
||||
Agent unlocked.
|
||||
~~~
|
||||
|
||||
### Comment protéger un serveur SSH des attaques ?
|
||||
|
||||
Voici plusieurs méthodes pour protéger son serveur SSH (qui peuvent se cumuler)
|
||||
|
||||
- ne pas ouvrir son port SSH à l'extérieur à l'exception de certaines adresses IP
|
||||
- modifier le port d'écoute de son serveur SSH pour diminuer un peu les attaques automatiques (`Port 2200` dans *sshd_config*)
|
||||
- utiliser du Port Knocking pour camoufler son port SSH
|
||||
- ne pas autoriser les connexions SSH avec un mot de passe (`PasswordAuthentication no` dans *sshd_config*)
|
||||
- configurer [Fail2Ban](HowtoFail2Ban) pour bannir les adresses IP qui se trompent de mot de passe
|
||||
|
||||
|
|
|
|||
Loading…
Reference in a new issue