SSH клиент: как подключиться к серверу по SSH — инструкция для новичка

Что такое SSH-клиент и зачем он нужен

SSH (Secure Shell, «безопасная оболочка») — протокол, который передаёт команды на удалённый сервер по зашифрованному каналу. SSH-клиент — программа на вашем компьютере, которая открывает этот канал. На сервере ей отвечает SSH-сервер, то есть служба sshd.

Допустим, вы арендовали VPS (Virtual Private Server, виртуальный сервер); если выбираете тариф, загляните в ответы на вопросы о VPS. Провайдер прислал IP-адрес 203.0.113.10, логин root и пароль. Вы вводите ssh root@203.0.113.10, клиент подключается к порту 22 и после пароля открывает командную строку сервера. Дальше вы управляете машиной так, будто сидите за ней, а команды для неё удобнее знать по материалу про Linux для сервера.

Для передачи файлов используется SFTP (SSH File Transfer Protocol): он работает поверх того же соединения. Если вы ещё не определились с типом сервера, сравните варианты в статье про VDS-сервер, а общие понятия собраны в материале о том, что такое хостинг.

Через SSH-клиент вы решаете типичные задачи на VPS:

• устанавливаете программы, например веб-сервер или базу данных;
• правите конфиги, скажем /etc/ssh/sshd_config;
• перезапускаете службы командой systemctl restart ssh;
• читаете логи и ищете причину сбоя;
• проверяете вход командами whoami и uname -a.

Как работает SSH-клиент: порт 22, ключи и шифрование

SSH (Secure Shell, «защищённая оболочка») работает по схеме «клиент — сервер». Клиент обращается к серверу, например 203.0.113.10, по TCP-порту 22. Стороны согласуют алгоритмы шифрования и выпускают общий сеансовый ключ, после чего команды, пароли и ответы идут только в зашифрованном виде. Если администратор сменил порт, укажите его ключом -p: ssh -p 2222 root@203.0.113.10.

Затем сервер предъявляет свой открытый ключ. При первом подключении клиент показывает его отпечаток и просит ввести yes. Отпечаток сохраняется в файле known_hosts в каталоге ~/.ssh. При следующих входах клиент сверяет ключ с сохранённым и предупреждает, если он изменился.

Последний этап — аутентификация. В основе входа по ключу лежит пара: открытый ключ вы кладёте на сервер, а закрытый остаётся у вас в ~/.ssh/id_ed25519 и никому не передаётся. Сервер проверяет, что у вас есть закрытый ключ, а сам ключ по сети не уходит.

Войти можно двумя способами:

• по паролю: проще на старте, но пароль можно подобрать, а при вводе символы на экране не отображаются;
• по ключу: надёжнее и удобнее, пароль на каждом входе не нужен.

Подробнее о том, как устроены сетевые протоколы, читайте в материале о сетевых протоколах. Порты и их назначение удобно разобрать на примере порта 25, а перенаправление соединений описано в статье про проброс портов.

Не путайте SSH с RDP (Remote Desktop Protocol). SSH даёт текстовую консоль и почти не нагружает канал, а RDP передаёт графический рабочий стол Windows. Как он устроен, объясняет статья про удалённый рабочий стол.

Какой SSH-клиент выбрать: сравнение программ

Все SSH-клиенты (Secure Shell, «защищённая оболочка») подключаются к серверу по порту 22 и дают одну и ту же командную строку. Различаются они удобством: одни работают в терминале, другие хранят список серверов и открывают несколько вкладок.

Начните со встроенного OpenSSH. Он есть в Windows 10 (версия 1809) и новее, в Windows 11, macOS и большинстве дистрибутивов Linux, поэтому команда ssh root@203.0.113.10 работает без установки. Если нужны окно настроек и сохранённые сессии, возьмите PuTTY или MobaXterm. Как настроить первый, описано в материале как пользоваться PuTTY.

Сравните пять популярных программ по платформам, интерфейсу, лицензии и целевой аудитории:

Для передачи файлов одного SSH-клиента обычно мало: понадобится отдельный SFTP-клиент (SSH File Transfer Protocol). Подключение через него разобрано в статье как подключиться по SFTP в FileZilla.

Как подключиться к серверу через SSH-клиент: пошаговая инструкция

Перед подключением возьмите в панели хостинга три значения: IP-адрес сервера (его адрес в сети) 203.0.113.10, логин root и пароль. Если сервера ещё нет, сначала арендуйте виртуальный сервер и дождитесь, пока данные появятся в панели.

SSH (Secure Shell, защищённая оболочка) по умолчанию использует порт 22. Если провайдер его сменил, добавьте ключ -p, например ssh -p 2222 root@203.0.113.10. Если на сервере нужна другая система, заранее установите Debian на сервер.

Дальше действуйте по порядку, шаги одинаковы для Windows, macOS и Linux:

1. Найдите данные доступа. В панели хостинга скопируйте IP 203.0.113.10, логин root и пароль.
2. Откройте программу. В Windows запустите PowerShell, в macOS или Linux откройте Terminal. Если нужен графический клиент, запустите PuTTY.
3. Введите команду подключения: ssh root@203.0.113.10. В PuTTY заполните поле Host Name значением 203.0.113.10, в поле Port оставьте 22, в Connection type выберите SSH и нажмите Open.
4. Сверьте отпечаток. При первом подключении клиент покажет отпечаток ключа сервера. Сравните его с отпечатком в панели, если он там есть, и введите yes. Отпечаток сохранится в файле known_hosts.
5. Введите пароль. Символы на экране не отображаются, это нормально. Наберите пароль целиком и нажмите Enter.
6. Проверьте вход. Выполните whoami: сервер ответит root. Затем выполните uname -a, чтобы увидеть версию ядра и название системы.
7. Выйдите из сессии командой exit. Соединение закроется, а терминал вернётся к вашему компьютеру.

Чтобы не вводить адрес каждый раз, сохраните сессию. В PuTTY впишите имя в поле Saved Sessions и нажмите Save, подробности есть в материале как пользоваться PuTTY. Весь путь от первого шага до выхода занимает 5–10 минут. Если что-то осталось непонятным, загляните в ответы на вопросы о VPS.

Вход по ключу вместо пароля и базовая защита SSH

Пароль можно подобрать перебором, а закрытый ключ Ed25519 подобрать практически нельзя. Создайте пару ключей на своём компьютере командой ssh-keygen -t ed25519, затем отправьте публичную часть на сервер: ssh-copy-id root@203.0.113.10. Закрытый ключ хранится в ~/.ssh/id_ed25519 и должен иметь права 600, а каталог ~/.ssh — 700, иначе клиент откажется его использовать.

Откройте новую сессию и убедитесь, что вход по ключу проходит без запроса пароля. Только после этого правьте конфигурацию сервера в файле /etc/ssh/sshd_config. Ошибка в нём может закрыть доступ, поэтому на время правок держите вторую открытую сессию: она не оборвётся при перезапуске службы и позволит откатить изменения.

В конфигурации измените параметры из списка:

• PasswordAuthentication no — отключает вход по паролю; включайте строку только после проверки входа по ключу.
• Port 2222 — любой порт из диапазона 1024–65535 вместо 22; если на сервере включён файрвол, сначала откройте в нём новый порт.
• systemctl restart ssh — применяет правки (в части дистрибутивов служба называется sshd).

После смены порта подключайтесь с ключом -p, например ssh -p 2222 root@203.0.113.10. Дополнительно установите fail2ban: эта программа временно блокирует IP-адреса, с которых идёт много неудачных попыток входа. Защита SSH — лишь часть картины, поэтому изучите, как отразить DDoS-атаку, как проверить сайт на безопасность и как настроить резервное копирование на случай сбоя.

Частые ошибки SSH-подключения и как их исправить

Большинство сбоев сводится к шести сообщениям: Connection timed out, Connection refused, Permission denied, REMOTE HOST IDENTIFICATION HAS CHANGED, Permissions too open и Too many authentication failures. У каждого своя причина, и найти её можно за 1–2 минуты.

Читайте последнюю строку ответа клиента: она называет проблему. В примерах ниже используется сервер 203.0.113.10, логин root и порт 22.

Connection timed out

Сервер не ответил за отведённое время. Причина: неверный IP-адрес либо порт 22 закрыт файрволом сервера или провайдера. Сверьте IP в панели хостинга и проверьте правила файрвола: TCP-порт должен быть открыт. Похожая картина с веб-сервером разобрана в материале как исправить ошибку 522 Connection timed out, а принцип проверки портов — в статьях про порт 25 и про порт HTTPS.

Connection refused

Сервер ответил, но на порту никто не слушает: служба sshd (SSH-демон) не запущена или SSH работает на другом порту. Откройте консоль в панели хостинга, выполните systemctl status ssh (в части дистрибутивов sshd) и запустите службу. Если порт сменили, укажите его ключом: ssh -p 2222 root@203.0.113.10.

Permission denied

Сервер отклонил логин, пароль или ключ. Проверьте имя пользователя (обычно root), раскладку и Caps Lock; символы пароля при вводе не отображаются, это нормально. При входе по ключу убедитесь, что публичный ключ добавлен командой ssh-copy-id root@203.0.113.10.

REMOTE HOST IDENTIFICATION HAS CHANGED

Обычно сервер переустановили, и отпечаток в файле known_hosts устарел. Удалите старую запись командой ssh-keygen -R 203.0.113.10, подключитесь снова и введите yes. Если сервер вы не переустанавливали, не подключайтесь: отпечаток мог подменить посторонний.

Permissions too open

Клиент отказывается использовать закрытый ключ, потому что к нему есть доступ у других пользователей. Выполните chmod 600 ~/.ssh/id_ed25519, а для каталога — chmod 700 ~/.ssh.

Too many authentication failures

SSH-агент перебирает все загруженные ключи, и сервер обрывает связь после лимита попыток. Укажите нужный ключ явно: ssh -i ~/.ssh/id_ed25519 root@203.0.113.10.

Читайте последнюю строку ошибки и сверяйте по порядку IP-адрес, порт, логин и права ключа: так решается подавляющее большинство случаев.

Для кого SSH-клиент не подходит и какие есть альтернативы

SSH (Secure Shell) подходит не для каждой задачи. Если на сервере установлена Windows, команда ssh root@203.0.113.10 не поможет: для такой системы используют RDP (Remote Desktop Protocol), который открывает полноценный рабочий стол. Подробнее об этом в материале про удалённый рабочий стол RDP.

Командная строка не нужна и тем, кто хочет просто создать сайт, почту или базу данных. Для этого хватит панели хостинга, например ISPmanager или аналога, а при сбое сети выручит веб-консоль в личном кабинете. На виртуальном хостинге SSH-доступ бывает только на части тарифов, поэтому проверьте условия до оплаты.

На выделенных серверах бывает, что система не загружается и SSH недоступен. Тогда заходят через BMC (Baseboard Management Controller) по интерфейсу IPMI (Intelligent Platform Management Interface): он работает независимо от операционной системы. Разбор есть в статье о том, что такое BMC в сервере.

Выбирайте инструмент под задачу:

• рабочий стол Windows-сервера: RDP;
• сайты, почта, базы без команд: панель хостинга;
• доступ при сбое сети: веб-консоль в личном кабинете;
• загрузка и правка файлов: SFTP-клиент, например FileZilla, настройку описывает инструкция по подключению через SFTP;
• система не стартует: BMC и IPMI.

Новичку лучше начать с панели хостинга и SFTP, а SSH освоить позже, когда понадобятся установка пакетов и настройка служб. Если вы выбираете сервер для этого, сначала изучите ответы на вопросы о VPS.