SSH-ключи вместо пароля: как настроить безопасный вход на VPS

Почему SSH-ключи лучше пароля

Аутентификация по SSH-ключам значительно надёжнее, чем использование пароля. Дело в том, что пароль можно подобрать, перехватить или украсть. Ключ же представляет собой длинную случайную последовательность, которую невозможно угадать. При этом вы носите с собой только приватный ключ (обычно на своём компьютере), а публичный ключ хранится на сервере. Даже если злоумышленник получит доступ к серверу, он не сможет восстановить ваш приватный ключ — только вы сможете войти.

Кроме того, SSH-ключи позволяют автоматизировать подключения: для скриптов, бэкапов, CI/CD. Вход происходит без ввода пароля, что удобно и безопасно.

Что понадобится для настройки

Перед началом убедитесь, что у вас есть:

• Доступ к VPS по SSH с паролем (или уже настроенный ключ);
• Локальный компьютер с операционной системой Linux, macOS или Windows (с установленным OpenSSH-клиентом);
• Права суперпользователя (sudo) на сервере для изменения настроек SSH.

Шаг 1: Генерация SSH-ключей

Если у вас ещё нет пары ключей, создайте её командой ssh-keygen. В терминале выполните:

ssh-keygen -t rsa -b 4096 -C "ваш_email@example.com"

Или используйте более современный алгоритм Ed25519:

ssh-keygen -t ed25519 -C "ваш_email@example.com"

Программа спросит, куда сохранить ключ. По умолчанию это ~/.ssh/id_ed25519 для Ed25519 или ~/.ssh/id_rsa для RSA. Можно оставить по умолчанию, нажав Enter.

Затем попросят ввести парольную фразу (passphrase). Это защита вашего приватного ключа: даже если кто-то украдёт файл ключа, он не сможет им воспользоваться без пароля. Рекомендуется установить парольную фразу, но для удобства автоматизации её можно оставить пустой. Однако учтите, что тогда ключ хранится без защиты.

Шаг 2: Копирование публичного ключа на сервер

После генерации у вас появятся два файла: приватный (например, id_ed25519) и публичный (id_ed25519.pub). Публичный ключ нужно скопировать на VPS. Самый простой способ — использовать утилиту ssh-copy-id:

ssh-copy-id пользователь@ваш-сервер.ru

Вам потребуется ввести пароль от сервера. Утилита автоматически добавит ваш публичный ключ в файл ~/.ssh/authorized_keys на сервере и установит правильные права.

Если ssh-copy-id недоступна (например, на Windows), вы можете скопировать ключ вручную. Выведите содержимое публичного ключа:

cat ~/.ssh/id_ed25519.pub

Затем подключитесь к серверу по SSH с паролем и выполните:

mkdir -p ~/.ssh
chmod 700 ~/.ssh
nano ~/.ssh/authorized_keys

Вставьте скопированный ключ в файл, сохраните и закройте редактор. Установите права на файл:

chmod 600 ~/.ssh/authorized_keys

Шаг 3: Проверка входа по ключу

Не спешите отключать пароль. Сначала убедитесь, что вход по ключу работает. Откройте новый терминал и выполните:

ssh пользователь@ваш-сервер.ru -i ~/.ssh/id_ed25519

Если вы сохранили ключ в нестандартное место, укажите путь. Если вход выполнен без запроса пароля (или только после ввода парольной фразы от ключа), значит, ключ настроен корректно. Обратите внимание: если появляется запрос пароля от пользователя сервера, значит, что-то пошло не так. В этом случае проверьте права на файлы и сообщения в журнале.

Шаг 4: Отключение входа по паролю

Когда вы убедились, что ключ работает, можно отключить парольную аутентификацию для повышения безопасности. Откройте конфигурационный файл SSH-демона:

sudo nano /etc/ssh/sshd_config

Найдите или добавьте следующие строки:

PubkeyAuthentication yes
PasswordAuthentication no
ChallengeResponseAuthentication no

Значение PasswordAuthentication no запрещает вход по паролю. ChallengeResponseAuthentication также отключает другие интерактивные методы входа. Убедитесь, что PubkeyAuthentication включён.

После изменений перезапустите службу SSH:

sudo systemctl restart sshd

На некоторых системах служба называется ssh (например, в Debian/Ubuntu). Проверьте:

sudo systemctl restart ssh

Дополнительные меры безопасности

Отключение пароля — важный шаг, но не последний. Рекомендуется также:

• Настроить фаервол (ufw, iptables) так, чтобы SSH был доступен только с нужных IP-адресов;
• Использовать fail2ban для автоматической блокировки подозрительных попыток;
• Изменить стандартный порт SSH (хотя это не панацея, но снизит количество сканирований);
• Ограничить вход для конкретных пользователей через AllowUsers;
• Регулярно обновлять систему и ключи.

Если вы используете несколько серверов, не используйте один и тот же ключ для всех. Лучше сгенерировать отдельные ключи для каждого сервера.

Что делать, если что-то пошло не так

Если вы отключили пароль, но ключ не работает, вы можете потерять доступ к серверу. Поэтому всегда держите открытым второе SSH-соединение, пока не убедитесь, что всё настроено правильно. Если вы всё же заблокировали себя, используйте консоль VPS от провайдера (например, веб-консоль или VNC) для восстановления доступа. В этом случае можно временно включить PasswordAuthentication и исправить настройки.

Заключение

Настройка SSH-ключей — простой и эффективный способ защитить ваш VPS. Потратив несколько минут, вы избавитесь от риска подбора пароля и сделаете управление сервером удобнее. Помните, что безопасность — это не разовое действие, а постоянный процесс. Регулярно проверяйте журналы, обновляйте систему и используйте современные методы аутентификации.