Пара ключей: закрытый хранится у пользователя, открытый кладут на сервер в ~/.ssh/authorized_keys. При входе сервер проверяет, что клиент владеет закрытым ключом, — сам ключ по сети не передаётся. Bastion (jump host) — единственная точка входа во внутреннюю сеть: серверы не открыты в интернет, доступ проходит через один контролируемый и журналируемый хост.
А ещё Современная альтернатива — короткоживущие SSH-сертификаты или доступ через SSO
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Почему ключи лучше паролей: пароли подбирают ботами круглосуточно, ключи — нет; ключ можно отозвать у конкретного человека, не меняя общий пароль.
Настройка:
sottossh-keygen -t ed25519 -C "ivan@laptop"
ssh-copy-id user@server
ssh -J user@bastion user@10.0.1.15~/.ssh/config хранит алиасы, пользователя, ключ и ProxyJump.
Bastion: минимальный набор ПО, обновления, журналирование сессий, доступ только с известных адресов или через VPN, двухфакторная аутентификация. Внутренние серверы принимают SSH только от bastion.
Ротация доступа: при увольнении удалить ключ со всех серверов — поэтому ключи раскладывают автоматизацией (Ansible) или используют центральную выдачу сертификатов.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.