Как создать несколько публичных ключей ssh?

Question

[Сергей Бурдужа]

Добрый вечер.
Я на работе купил себе сервер.
На компьютере есть приватный и публичный ключ ssh, которые идут по-умолчанию. id_rsa
Я на сервере создал папку .ssh и файл .ssh/authorized_keys и туда скопировал публичный ключ с компьютера.

Теперь в терминале ввожу ssh user@ip_address и попадаю на сервер без пароля.

Это мне понятно.

А что мне дома делать.

Тут же есть тоже ssh ключи, с которыми я к гитхабу подключаюсь.

Мне же нужно как-то перетащить тот публичный ключ с сервера себе на ноутбук, но ведь ключи работают в связке приватный и публичный.

Помогите разобраться.

Answer 1

[Александр Карабанов]

Мне же нужно как-то перетащить тот публичный ключ с сервера себе на ноутбук, но ведь ключи работают в связке приватный и публичный.

Не нужно. Публичный ключ помещается на машину к которой ты собираешься подключаться.

Удобно копировать публичные ключи с компьютера на сервер с помощью ssh-copy-id.
ssh-copy-id user@ip_address и публичный ключ с домашнего компьютера скопируется на сервер.

Всегда делай отдельную пару ключей для каждой машины (домашний компьютер, рабочий компьютер, ноутбук, телефон, планшет - у каждого устройства должны быть отдельные ключи).

Приватный ключ никогда не должен покидать машину на которой был с генерирован, а так же должен быть защищён паролем (чтобы не вводить пароль от ключа каждый раз используй ssh-agent).

PS
Рекомендую вместо RSA использовать ED25519, пару ключей можно сгенерировать так ssh-keygen -t ed25519. Такие ключи нисколько не устумают в криптостойкости RSA, но шифрование происходит быстрее и, они короче (оценишь, когда надо будет скопировать публичный ключ руками).

Comments

[Сергей Бурдужа]

Допустим у меня на сервере ip адрес 12345.

Я на работе генерирую ключи.

Потом ssh-copy-id user@12345

И этот ключ запишется в .ssh/authorized_keys ?

И дома уже с другими ключами тоже через
ssh-copy-id user@12345

Не перезапишет .ssh/authorized_keys ?

[Сергей Бурдужа]

Просто я на стороне серевера могу запретить доступ к ssh через root@ip_addres, а только через пользователя.

И запретить ввести пароль, а только по ключу.

[Александр Карабанов]

Да, всё верно. Ключи добавятся, не перезапишутся.
Если ключей на машине несколько, то скопируются все публичные ключи.

[Сергей Бурдужа]

Александр Карабанов, Я начну с rsa, мне копировать не трудно.

А что насчет ssh config, где можно указать хост, hostname, user.
Это как бы тоже можно сгенерировать еще один ключ, например для bitbucket, и туда залить публичный ключ, чтобы не использовать везде один и тот же.

[Александр Карабанов]

Сергей Бурдужа, можно по-разному настроить запреты. И по имени пользователя и по IP и по группе, в котоой состоит пользователь (наоборот тоже).
Возможность логиниться по паролю действительно лучше запретить.

[Александр Карабанов]

How can one allow or deny an ssh login for a speci...

[Сергей Бурдужа]

И последний вопрос.
Допустим, у меня есть еще один компьютер, я сгенерировал ключи по-умолчанию.
На сервере отключил доступ через пароль и root.

Теперь, если я введу
ssh-copy-id user@12345

То меня все равно спросят пароль?

[Александр Карабанов]

Если ключ добавлен у пользователя user, то войдёшь без пароля.
Сначала убедись, что всё работает, убедись, что пользователь состоит в группе sudo, а потом отключай возможность логиниться по паролю.

PS
Памятка пользователям ssh
Магия SSH

[Сергей Бурдужа]

Александр Карабанов, Спасибо.

[Roman Paltsev]

Александр Карабанов Здравствуйте.
У меня есть сервер, на работе я сгенерировал на компьютере ключи и прописал публичный ключ на сервер командой ssh-copy-id, отключил вход в ssh по логину и паролю и вхожу там только по ключу.
Если мне нужно входить и на домашнем компе в этот сервер через ssh, то мне надо сначала опять включить возможность входа в ssh по логину и паролю потом сгенерировать ключи на домашнем компьютере, командой ssh-copy-id вписать в сервер еще один публичный ключ теперь уже от домашнего компьютера и после этого опять закрыть вход по логину и паролю.
Либо скопировать публичный ключ с домашнего компьютера, передать его на рабочий компьютер и с рабочего компьютера вбить его в .ssh/authorized_keys
Верно я понял логику?

[Сергей Бурдужа]

Roman Paltsev, у меня такая ситуация
Есть акаунт на bitbucket, свой, и есть акаунт компании.
В акаунте компании я создал группу и добавил пользователей, и когда создаю новый проект, подлючаю эту группу, и сразу у всех пользователе есть доступ, это удобно.
Пришел новый человек, добавил в группу, ушел, исключаю...

Проблема в том, что бесплатно только 5 чел, и взяли стажера, не было понятно будет работать или нет, и теперь я уже не вместился в эту группу, и приходилось работать из под аккаунта компании.

Вот для чего нужны несколько ключей.

Вот как я сделал.

# Два акаунта на bitbucket

## Создание ключей

ssh-keygen -f ~/.ssh/sites-bludelego -C "[e-mail]"

## Добавление ssh
### start ssh agent
eval `ssh-agent -s`

ssh-add ~/.ssh/sites-bludelego

## Копирование публичного ключа

xclip -sel clip < ~/.ssh/sites-bludelego.pub

## Добавление кода в  ~/.ssh/config file.

Host bitbucket.org
Hostname bitbucket.org
IdentityFile ~/.ssh/id_rsa

Host bitbucket.org-b
Hostname bitbucket.org
PreferredAuthentications publickey
IdentityFile ~/.ssh/sites-bludelego

и теперь когда клонирую, добавляю -b

[Александр Карабанов]

Roman Paltsev, публичный ключ не является секретом и может свободно передаваться по открытым каналам.

По сути публичный ключ это набор буков и достаточно его любым способом записать в authorized_keys.

Утилита ssh-copy-id создана для удобства, но пользоваться ею необязательно - можно просто записать ещё один открытый ключ в authorized_keys

Answer 2

[Arman]

также в .ssh/authorized_keys публичный ключ домашнего компа. Или ты наоборот к домашнему компу хочешь подключиться?

Comments

[Сергей Бурдужа]

Я на работе уже настроил, скопировал ключ с компьютера на сервер в authorized_keys.

Тепере хочу дома подключиться через ssh без пароля.
Но тут у меня приватный ключ другой и публичный тоже.

Answer 3

[Павел]

создай еще одну пару ключей. в чем проблема то?

Comments

[Сергей Бурдужа]

Вопрос решен.