Menu

Cách Dùng Key Authentication Trong SSH Cho Quản Trị Viên Hệ Thống

Tại Sao Nên Sử Dụng Key Authentication Trong SSH?

Đối với quản trị viên hệ thống, bảo mật kết nối là ưu tiên hàng đầu. Phương thức xác thực bằng khóa (key authentication) trong SSH đã trở thành tiêu chuẩn vàng cho việc truy cập máy chủ từ xa an toàn. So với xác thực bằng mật khẩu truyền thống, phương pháp này không chỉ cung cấp lớp bảo mật mạnh mẽ hơn mà còn giúp đơn giản hóa quy trình đăng nhập cho quản trị viên.

Tạo và Thiết Lập Cặp Khóa SSH

Tạo Cặp Khóa SSH

Bước đầu tiên trong việc triển khai xác thực bằng khóa SSH là tạo một cặp khóa - khóa riêng tư (private key) và khóa công khai (public key). Khóa riêng tư sẽ được lưu trữ an toàn trên máy tính cá nhân của bạn, trong khi khóa công khai sẽ được sao chép đến máy chủ từ xa.

# Tạo cặp khóa RSA 4096-bit với comment để dễ nhận biết
ssh-keygen -t rsa -b 4096 -C "admin@example.com"

# Hoặc sử dụng thuật toán Ed25519 cho bảo mật cao hơn
ssh-keygen -t ed25519 -C "admin@example.com"

Khi chạy lệnh trên, hệ thống sẽ nhắc bạn chọn vị trí lưu khóa (mặc định là ~/.ssh/id_rsa hoặc ~/.ssh/id_ed25519) và thiết lập passphrase. Việc sử dụng passphrase thêm một lớp bảo mật trong trường hợp khóa riêng tư của bạn bị xâm phạm.

Sao Chép Khóa Công Khai Đến Máy Chủ

Sau khi tạo cặp khóa, bạn cần sao chép khóa công khai đến máy chủ từ xa. Cách đơn giản nhất là sử dụng lệnh ssh-copy-id.

ssh-copy-id username@remote_host

Nếu lệnh ssh-copy-id không khả dụng, bạn có thể sao chép khóa thủ công:

# Sao chép nội dung khóa công khai
cat ~/.ssh/id_rsa.pub

# Sau đó SSH đến máy chủ và thêm nội dung vào authorized_keys
mkdir -p ~/.ssh
chmod 700 ~/.ssh
echo "khóa_công_khai_của_bạn" >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

Cấu Hình SSH Server Để Tăng Cường Bảo Mật

Sau khi thiết lập xác thực bằng khóa, bạn nên cấu hình SSH server để tối ưu hóa bảo mật. Chỉnh sửa file /etc/ssh/sshd_config trên máy chủ từ xa với các thiết lập sau:

# Vô hiệu hóa xác thực bằng mật khẩu
PasswordAuthentication no

# Không cho phép đăng nhập trực tiếp với tài khoản root
PermitRootLogin prohibit-password

# Chỉ định phiên bản SSH
Protocol 2

# Giới hạn người dùng được phép đăng nhập SSH
AllowUsers admin_username sysadmin_username

# Thiết lập thời gian timeout
ClientAliveInterval 300
ClientAliveCountMax 2

Sau khi thực hiện các thay đổi, khởi động lại dịch vụ SSH:

sudo systemctl restart sshd

Quản Lý Nhiều Khóa SSH

Sử Dụng SSH Config File

Đối với quản trị viên phải quản lý nhiều máy chủ, việc cấu hình file ~/.ssh/config là giải pháp hiệu quả giúp tổ chức các kết nối SSH và sử dụng các khóa khác nhau cho từng máy chủ:

# Server Production
Host production
    HostName 192.168.1.10
    User admin
    Port 22
    IdentityFile ~/.ssh/id_rsa_production

# Server Development
Host development
    HostName dev.example.com
    User developer
    Port 2222
    IdentityFile ~/.ssh/id_ed25519_dev

Với cấu hình này, bạn có thể kết nối đơn giản bằng lệnh ssh production hoặc ssh development.

Các Phương Pháp Nâng Cao Trong Quản Lý Khóa SSH

Sử Dụng SSH Agent

SSH Agent giúp lưu trữ khóa riêng tư trong bộ nhớ, loại bỏ nhu cầu nhập passphrase nhiều lần. Đặc biệt hữu ích khi bạn sử dụng passphrase phức tạp cho khóa SSH:

# Khởi động ssh-agent
eval "$(ssh-agent -s)"

# Thêm khóa vào agent
ssh-add ~/.ssh/id_rsa

Sử Dụng Khóa SSH Với Xác Thực Hai Yếu Tố

Kết hợp xác thực khóa SSH với xác thực hai yếu tố (2FA) tạo thành hệ thống bảo mật nhiều lớp mạnh mẽ. Bạn có thể tích hợp SSH với các giải pháp 2FA như Google Authenticator hoặc Yubikey.

Khắc Phục Sự Cố Thông Thường

Khi gặp vấn đề với xác thực khóa SSH, bạn có thể:

  • Kiểm tra quyền truy cập của thư mục ~/.ssh và các file bên trong (700 cho thư mục, 600 cho khóa riêng tư)
  • Bật chế độ verbose khi kết nối SSH để xem thông tin chi tiết: ssh -v username@remote_host
  • Xác nhận khóa công khai đã được thêm đúng cách vào file authorized_keys trên máy chủ

Kết Luận

Xác thực bằng khóa SSH là phương pháp không thể thiếu trong bộ công cụ của quản trị viên hệ thống hiện đại. Không chỉ cung cấp bảo mật vượt trội so với mật khẩu truyền thống, nó còn giúp đơn giản hóa và tự động hóa quy trình truy cập máy chủ. Bằng cách áp dụng các thực hành tốt nhất được đề cập ở trên, quản trị viên có thể xây dựng hệ thống truy cập từ xa vừa an toàn vừa tiện lợi.