Ver el código de «Comunicación remota a través de SSH»


[[File:SSH-on-the-first-try.JPG|right|thumb]]

= Introducción =

[[File:SSH-secret.jpg|right|thumb|150px|SSh... vai cifrado!]]

A tarefa consiste en establecer a conexión remota a un servidor ssh público ou a unha máquina nosa, a través de liña de comandos ou ferramentas gráficas.

Qué ventaxas ten ssh? Qué inconvintes? Cómo funciona?

 '''AMPLIACIÓN'''.
 Podes sabeer máis lendo a [[FAQ de SSH]].

= Desde Windows =

<div style="column-count:2;-moz-column-count:2;-webkit-column-count:2">
* [https://docs.microsoft.com/en-us/windows-server/administration/openssh/openssh_install_firstuse Guía oficial de Microsoft para uso de Openssh]
* [https://winscp.net/eng/docs/guide_windows_openssh_server Guía do software WinSCP]
</div>

= Desde Linux =

<div style="column-count:2;-moz-column-count:2;-webkit-column-count:2">
* [https://linuxconfig.org/quick-guide-to-enabling-ssh-on-ubuntu-24-04 Guía paso a paso de SSH en Ubuntu 24.04]
* [https://www.cyberciti.biz/faq/ubuntu-linux-install-openssh-server/ Outra guía con Ubuntu 18.04]
* [https://help.ubuntu.com/community/SSH Guía en Ubuntu]
</div>

Instalación:
 sudo apt update
 sudo apt install openssh-server

Comprobando o servizo:
 sudo systemctl status ssh

Para arrancalo/paralo/reinicialo (cambiar pola opción axeitada en start/stop/restart:
 sudo systemctl start/stop/restart ssh

Para que arranque despois dun reinicio:
 sudo systemctl disable ssh

Para deshabilitar o servizo no arranque:
 sudo systemctl enable ssh

[[File:SSH-User-Computer.JPG|thumb|right|200px]]

Configuración do firewall:
 sudo ufw allow ssh

Para conectar:
 ssh username@ip_address

Se non coñecedes a ip do equipo:
 ip a

 '''Troubleshooting'''. Se non está permitindo conectar:
 A) Revisa o firewall. En caso de dúbida, nun entorno pedagóxico podes deshabilitalo con
  sudo ufw disable
 B) Revisa que hai conectividade facendo ping entre máquinas. Se non a hai, revisa a configuración de rede (en virtualbox, posiblemente tes que cambiar o modo de conexión de rede (adaptador ponte, rede nat, rede interna...)

= Algunhas configuracións =

En Ubuntu, o ficheiro de configuración sshd principal se atópase en /etc/ssh/sshd_config. É moi recomendable facer unha copia de seguridade da versión actual do ficheiro antes de editalo:

Para facer cambios na configuracion
 sudo nano /etc/ssh/sshd_config. 

 '''CONSELLO'''. Fai copia do ficheiro antes de facer cambios para sempre coñecer a configuración orixinal e poder reverter se algo vai mal
 sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.original
 sudo chmod a-w /etc/ssh/sshd_config.original
 Ou tamén:
 sudo cp /etc/ssh/sshd_config{,.bak}


'''IMPORTANTE''' 

Un cambio erróneo pode facer que perdas a conexión remota... por iso é aconsellable probar a configuración despois dos cambios e antes do reinicio con
 sudo sshd -t -f /etc/ssh/sshd_config

Para coñecer as opcións de configuración:
 man sshd_config

== Cambiar porto por defecto ==
O porto por defecto é o 22
 Port 22

Pode ser axeitado cambialo para non dar pistas a un posible atacante que faga un escaneo de portos.

De facer o cambio, para conectar por terminal será co parámetro -p:
 ssh -p port_number remote_host

Cómo iniciar sesión en SSH con claves
Si bien es útil poder iniciar sesión en un sistema remoto usando contraseñas, es mucho mejor configurar una autenticación basada en claves.

== Cómo funciona a autenticación baseada en claves ==

Funciona mediante a creación dun par de claves: unha clave privada e unha clave pública:
* A clave privada atópase no equipo cliente e protéxese e mantense en segrego
* A clave pública pode entregarse a alguén ou colocarse en calquera servidor ai que desexe acceder.

Cando intente conectarse usando un par de claves, o servidor usará a clave pública para crear unha mensaxe para o equipo cliente que só pode leerse coa clave privada.

Despois o equipo cliente envía a resposta axeitada ao servidor e así o servidor saberá que o cliente é lexítimo.

O proceso completo realízase automáticamente despois de configurar as claves.

=== Cómo crear claves SSH ===
As claves SSH deben xenerarse no equipo desde o que se desexa iniciar sesión (Xeneralmente o noso equipo local)

[[File:SSH-key-joke.jpg|right|thumb]]

Pode facerse con este commando:
 ssh-keygen -t rsa

Intro para aceptar os valores predeterminados. As túas claves crearanse en ~/.ssh/id_rsa.pub e ~/.ssh/id_rsa.

Cambia ao directorio .ssh escribindo:
 cd ~/.ssh

Vemos os permisos dos ficheiros:
 ls -l
 
 -rw-r--r-- 1 demo demo  807 Sep  2 22:15 authorized_keys
 -rw------- 1 demo demo 1679 Sep  2 23:13 id_rsa
 -rw-r--r-- 1 demo demo  396 Sep  2 23:13 id_rsa.pub

So o propietario pode leer o ficheiro id_rsa e escribir nel (Así é como debería ser mantido en segredo).

Mais o ficheiro id_rsa.pub pode compartirse e ten permisos apropiados para que así sexa.

=== Cómo transferir su clave pública al servidor ===

Mentras temos acceso con ccontrasinal a un servidor, podemos copiar a súa clave pública nel mediante a emisión deste comando:
 ssh-copy-id remote_host

 Con isto iniciarase unha sesión SSH. Despois de ingresar o noso contrasinal, a nosa clave pública copiarase no ficheiro de claves autorizadas do servidor, o que permitirá iniciar sesión sin o contrasinal nas seguintes conexións.

=== Deshabilitar a autenticación mediante contrasinal ===

Se creou claves SSH, pode mellorar a seguridade do servidor deshabilitando a autenticación mediante contrasinal. Así, ademáis de por consola, a forma de iniciar sesión será mediante a clave privada que se emparella coa clave pública que se tivo instalado no servidor.

 '''CUIDADO'''- Antes de continuar con este paso, asegúrese de tes instalada unha clave pública no servidor. De non ser así, non poderá ter acceso por SSH!

Como root ou usuario con privilexios sudo, abrimos o ficheiro de configuración sshd:
 sudo nano /etc/ssh/sshd_config

Na liña que di ''Password Authentication'' eliminamos o # inicial (para descomentar) e cambiamos o seu valor a no:
 PasswordAuthentication no

Deben quedar estes parametros así (xa o están de  forma predeterminada):
PubkeyAuthentication yes
ChallengeResponseAuthentication no

Gardamos cambios, e reiniciamos o servizo:
 sudo systemctl reload ssh

A autenticación mediante contrasinal estará deshabilitada e so debe poder accederse mediante a autenticación de claves SSH.

== Outros parámentros ==

[[File:SSH-as-root.jpg|right|thumb|200px|Non é recomendable permitir que root acceda por ssh]]

Estos parámetros especifican parte de la información de inicio de sesión.

; LoginGraceTime
: especifica cantos segundos manterase a conexión activa sen iniciar sesión (cando pide usuario e contrasinal). 
; PermitRootLogin 
: selecciona se permite que o usuario root inicie sesión (mellor desactivalo por cuestións de seguridade. Na maioría dos casos modificar a no cando se teña creado unha conta de usuario que teña acceso a maiores privilexios (a través de su ou sudo) e que poida iniciar sesión a través de ssh.
; strictModes
: é un protector de la seguridade que denegará un intento de inicio de sesión se calquera pode ler os ficheiros de autenticación (evita intentos de inicio de sesión cando os ficheiros de configuración non sexan seguro)s.
; Reenvío X11
: Estos parámetros configuran una capacidad llamada Reenvío X11. Esto le permite ver en el sistema local la interfaz gráfica de usuario (GUI) del sistema remoto.
:: X11Forwarding yes
:: X11DisplayOffset 10
:: Esta opción debe habilitarse no servidor e asignarse co cliente SSH durante a conexión coa opción -X.

 '''INTERESANTE'''- Unha boa idea pode ser ter algunhas sesións activas cado realice cambios. Así poderás reverter a configuración de ser preciso.

= Túneles SSH =
* https://ebolges.com/como-deshabilitar-la-autenticacion-de-contrasena-y-acceso-root-por-ssh-y-como-establecer-tuneles-ssh
== Túneles directos ==

== Túneles inversos ==

= Copia de ficheiros con scp =
* [https://algodelinux.com/el-shell-de-linux-copiar-un-conjunto-de-archivos-a-otra-maquina-mediante-scp/ Copiar archivos a outra máquina con SCP]

= Acceso mediante ferramentas con interfaz gráfica =
<div style="column-count:2;-moz-column-count:2;-webkit-column-count:2">
* [https://www.putty.org/ Putty]
* [https://winscp.net/eng/index.php WinSCP]
</div>

= Para comprobar o funcionamento =
<div style="column-count:2;-moz-column-count:2;-webkit-column-count:2">
* Podemos conectar dunha máquina virtual a outra (que estén na mesma rede ou sexan accesibles).
* Desde a nosa máquina a unha máquina virtual (configurada a tarxeta coma adaptador ponte)
* Ou podemos facer uso de servidores [https://www.sftp.net/public-online-sftp-servers SSH públicos]
</div>

= Referencias =
<div style="column-count:2;-moz-column-count:2;-webkit-column-count:2">
* [https://www.redeszone.net/tutoriales/seguridad/servidor-ssh-comprobar-seguridad-proteger/ Comprueba la seguridad de tu servidor SSH y protégelo de ataques]
* [https://www.redeszone.net/2016/08/29/ssh-audit-conoce-esta-herramienta-auditar-servidor-ssh-comprobar-seguro/ ssh audit]
* [https://www.redeszone.net/tutoriales/servidores/servidor-openssh-linux-configuracion-maxima-seguridad/ Servidor OpenSSH en Linux: Manual de configuración para máxima seguridad]
* [https://www.digitalocean.com/community/tutorials/ssh-essentials-working-with-ssh-servers-clients-and-keys SSH Essentials: Working with SSH Servers, Clients, and Keys]
* [https://phoenixnap.com/kb/linux-ssh-commands Comandos SSH]
* [https://en.wikibooks.org/wiki/OpenSSH Wikibook OpenSSH]
* [https://www.hackplayers.com/2014/01/securizando-openssh-mode-paranoico.html Securizando Openssh]
* [https://www.cipherdyne.org/fwknop/ fwknop: Single Packet Authorization > Port Knocking]
</div>