stepanzh

Что такое SSH и зачем SSH

Представьте, что используете телеграмм-бот. Вы нажали кнопку или отправили боту сообщение, и что-то получаете в ответ. Под капотом вы посылаете команду, она исполняется, а потом вам присылается ответ. Важно, что команда исполняется «где-то там», а не на вашем телефоне или компьютере. Ваше устройство лишь показывает результат. Это типичная ситуация общения по модели «клиент-сервер»: вы (client) просите оказать услугу (service) из списка доступных, а сервер её оказывает.

Технически, здесь три составляющие: телеграмм-клиент (ваше приложение), сервер (на нём исполняется бот) и инфраструктура, которую даёт Telegram (протоколы общения). Фактически, вы управляете сервером, используя мобильник.

Более общим является удалённый доступ (от слова «далеко»). Это когда вы со своего компьютера исполняете команды на другом компьютере. Ваш компьютер вот он, перед глазами: стационарник, ноутбук, телефон... локальная машина. А другой компьютер «где-то там»: сервер, кластер, телевизор, чайник, роутер... удалённая машина.

Так вот...

SSH (secure shell) позволяет безопасно с одной машины управлять другой. Как протокол, SSH предоставляет инфраструктуру. А чтобы ей воспользоваться, реализация SSH предоставляет набор программ, например, ssh, scp и ssh-keygen.

До SSH были популярны Telnet и rsh. Они также предназначены для удалённого управления чем-нибудь, но не безопасны сегодня, особенно при выходе в глобальную сеть: их трафик не шифруется.

SSH сейчас это стандартный способ удалённого доступа. Им пользуются бэкэндеры и сисадмины, чтобы настраивать сервера, а учёные и инженеры, чтобы запускать расчёты на каком-то быстром (дорогом) компьютере.

Подключение

По ssh можно подключиться двумя способами: по ключу или по паролю. Подключение по паролю неудобно и менее безопасно. По-хорошему, оно вовсе должно быть отключено на сервере.

В обоих случаях команда подключения одинакова.

ssh pupkin@192.168.0.1

Саму команду можно прочитать так: «подключиться к аккаунту pupkin на сервере с адресом 192.168.0.1». И имя аккаунта, и адрес сервера вам должен кто-то дать.

После команды вы увидите сообщение типа «добавить ли сервер в список и подключиться», тут вводим y (yes). Потом возможно несколько ситуаций.

1. Просят пароль: вводите пароль от аккаунта pupkin на сервере.
2. No matching key exchange found. Это хорошо: доступ по паролю закрыт, просто у вас ещё не сгенерирован ключ. Об этом ниже.
3. Просто подключаетесь: вы увидите приветствие и промпт командной оболочки на сервере, например, $ pupkin@super-server:~. Вы внутри.

После первого успешного подключения у вас ещё появится файл ~/.ssh/known_hosts. Это список серверов и их ключей/подписей. По ним ваш ssh клиент проверяет подлинность входящих сообщений.

Ключи

В протоколе SSH для шифрования трафика используются ключи. Ваш пэ-ка использует пару ключей, и сервер использует пару ключей. Ключи нужны, чтобы подписывать каждое сообщение, которыми два компа обмениваются. Так они распознают (authenticate) друг друга и, в конце концов, доверяют. (Вы когда-нибудь просили записать кружок, когда друг попросил скинуть тыщу? Ну вот это оно.)

Чтобы подключаться по ключу, нужно два действия.

1. Создать пару ключей на своей машине.
2. Положить публичный ключ на удалённую машину.

ssh-keygen -t ed25519 -C 'pupkin desktop'

cat ~/.ssh/id_ed25519.pub
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIJdD9cOqjBt+TIhWFEk+dNUtx0rsxV9uGE7S6+O1YnU3 pupkin desktop

scp ~/.ssh/id_ed25519.pub pupkin@192.168.0.1:~

ssh pupkin@192.168.0.1

# На сервере

mkdir -p ~/.ssh
cat ~/id_ed25519.pub >> ~/.ssh/authorized_keys
cat ~/.ssh/authorized_keys
rm ~/id_ed25519.pub

Ваша машина            Сервер
---------------------  ---------------------------------
~/.ssh/id_ed25519      /etc/ssh/ssh_host_ed25519
~/.ssh/id_ed25519.pub  /etc/ssh/ssh_host_ed25519.pub
~/.ssh/known_hosts     /home/pupkin/.ssh/authorized_keys

~/.ssh/config          /etc/ssh/ssh_config
                       /etc/ssh/sshd_config

Перекидываем файлы

SCP (secure copy) это утилита для передачи файлов по ssh. Она обычно устанавливается вместе с ssh клиентом.

Синтаксис scp мимикрирует синтаксис cp.

scp ~/documents/some-data.tar pupkin@192.68.0.1:~/temporary/

Так локальный файл ~/documents/some-data.tar отправляется (копируется) на удалённую машину. В итоге на сервере появится файл /home/pupkin/temporary/some-data.tar.

Всё отличие от cp только во втором аргументе: прежде чем указать путь, необходимо указать адрес машины и поставить двоеточие.

• После того, как вы ввели pupkin@192.68.0.1:~/ пожмакайте Tab. По-хорошему, должна сработать подсказка для пути.
• С опцией -r вы можете отправлять целые папки.

Если вы не используете подключение по ключу, то scp будет на каждый чих требовать пароль. Используйте ключи!

Конфиг

Host mlcluster
  HostName 192.168.0.1
  User pupkin

Некст левел для упрощения жизни после настройки ключей это настройка конфига. Базовый конфиг вверху, его стандартное место это ~/.ssh/config.

Теперь pupkin может подключаться к серверу такой командой.

ssh mlcluster

А отправлять файлы вот так.

scp some-data.tar mlcluster:~/temporary/

Можно считать mlcluster shorthand-ом для pupkin@192.168.0.1: не надо запоминать юзернэйм и адрес сервера.

В конфиге много настроек. Например, можно указать какой ключ использовать (когда у вас их несколько) или смэтчить настройки клиента и сервера (чтоб не ругались).

Клиенты

SSH-клиент (ssh client) это программа, которой вы пользуетесь, чтобы работать по SSH. Клиенты бывают разные, я пользовался только стандартным OpenSSH, из командной строки. На Windows его можно получить при установке git, на MacOS и Ubuntu он предустановлен. Но есть и графические клиенты, я слышал про PuTTY для Windows.

X11

X Window System (она же X, X11 или «иксы») позволяет работать с графическими программами: вы видите морду приложения, жмакаете кнопки, а реально она исполняется на сервере. Например, на сервере установлен gnuplot, и вы хотите построить график прям с сервера, не перекидывая его (или данные) на свою машину. Gnuplot поддерживает X11, но чтобы увидеть график, нужно подключиться к серверу с опцией -X.

ssh -X mlcluster

• Если вы хотите всегда подключаться с X11, можно дописать строчку в конфиг. Но бывает и так, что на сервере по умолчанию включена поддержка X11.
• Более громоздкие программы тоже умеют работать поверх X11, например, COMSOL Multiphysics.
• Чтобы проверить, что X11 подключение поддерживается, запустите на сервере что-нибудь простое: xeyes или xclock. Появилось окошко? Значит всё ок.
• Поддерживать иксы должен уметь и сервер, и ваш терминал. Например, Windows Terminal так не умеет (по крайней мере, из коробки).

Jupyter Notebook

Можно исполнять код через jupyter на сервере, а работать в своём браузере. Для этого...

На сервере запускаете jupyter в no-browser режиме.

# На сервере

jupyter notebook --no-browser --port=8080

Подключаетесь к серверу с пробросом портов.

# На локальной машине

ssh -L 8080:localhost:8080 mlcluster

Открываете в своём браузере ссылку, которую вам выдал jupyter.

GitHub / GitLab

Мне бывает удобно писать код на локальном компе, а запускать на удалённом. Чтобы не пользоваться scp, я пушу код со своей машины, а пулю на удалённой. Чтобы было удобно, можно на сервере сгенерировать ключи и публичный сообщить гитхабу / гитлабу.

IDE

Современные IDE, вроде продуктов Jetbrains или VSCode умеют подключаться по SSH на сервер. Как и с X11 вы таскаете файлы и комитите тут, а на самом деле всё происходит там. Довольно удобно. Знайте что такая опция есть.

В итоге

В итоге SSH не страшная штука. Команд, о которых я рассказал, реально достаточно для работы (полу)программиста. Вам стоит понимать, что такое ключи, и научиться пользоваться двумя-тремя командами. Попробуйте поработать с SSH через терминал (особенно, на *nix системах), а если надоест, проверьте, поддерживают ли ваши инструменты SSH.