SSH Config Generator - Tạo SSH Config Online

Tính năng nổi bật

• Thêm nhiều máy chủ trong cùng một lần, mỗi máy một thẻ nhập riêng
• Sinh khối Host với tên gọi tắt và dòng HostName tương ứng
• Bỏ qua dòng Port khi cổng là 22, tránh làm tệp cấu hình dài vô ích
• Thêm dòng User khi bạn khai báo tên đăng nhập khác mặc định
• Thêm dòng IdentityFile trỏ tới tệp khóa riêng của từng máy
• Thêm dòng ProxyJump để đi qua máy trung gian trước khi tới máy đích
• Bỏ qua những dòng bạn để trống nên tệp kết quả luôn gọn
• Sao chép toàn bộ nội dung hoặc tải về thành tệp có tên config

Tệp cấu hình SSH tiết kiệm được gì

Ai quản trị vài máy chủ đều biết cảm giác phải gõ một dòng dài gồm tên đăng nhập, địa chỉ IP, cổng khác thường và đường dẫn tệp khóa mỗi lần kết nối, rồi lặp lại điều đó vài chục lần một ngày. Tệp cấu hình SSH gom toàn bộ những tham số đó vào một chỗ và gán cho chúng một tên gọi tắt, để lệnh kết nối rút xuống còn ssh kèm đúng một từ. Lợi ích không dừng ở việc gõ ít hơn. Toàn bộ công cụ dựa trên SSH đều đọc tệp này, nên sau khi khai báo một lần thì lệnh sao chép tệp, lệnh đồng bộ thư mục, lệnh làm việc với kho mã nguồn và cả tính năng kết nối từ xa của trình soạn thảo đều dùng chung tên gọi tắt đó. Ngoài ra tệp cấu hình còn là nơi duy nhất hợp lý để đặt những tùy chọn giữ kết nối không rớt và tái dùng kết nối, thứ mà gõ tay trên dòng lệnh thì gần như không ai làm.

Lợi ích khi sử dụng

• •Rút lệnh kết nối dài dòng xuống còn một từ dễ nhớ
• •Mọi công cụ dựa trên SSH đều dùng chung tên gọi tắt sau khi khai báo một lần
• •Khai báo được nhiều máy trong một lần thay vì soạn thủ công từng khối
• •Tệp xuất ra đúng cú pháp nên dán vào là dùng được ngay
• •Địa chỉ IP và tên đăng nhập chỉ nằm trong trình duyệt, không gửi lên máy chủ nào

Cách tạo tệp cấu hình SSH

1. 1Điền tên gọi tắt vào ô đầu tiên, đây là từ bạn sẽ gõ sau lệnh ssh nên hãy chọn từ ngắn và dễ nhớ.
2. 2Điền địa chỉ IP hoặc tên miền thật của máy chủ vào ô kế bên, cùng tên đăng nhập và cổng nếu khác 22.
3. 3Điền đường dẫn tệp khóa riêng nếu máy đó dùng khóa riêng, ví dụ dạng đường dẫn bắt đầu bằng dấu ngã trỏ vào thư mục ssh.
4. 4Điền tên gọi tắt của máy trung gian vào ô ProxyJump nếu máy đích chỉ vào được qua một máy khác.
5. 5Bấm thêm host để khai báo tiếp máy khác, rồi sao chép hoặc tải tệp về và đặt vào thư mục ssh trong thư mục người dùng.

Đặt tệp ở đâu và phân quyền thế nào

Tệp cấu hình cho riêng người dùng nằm ở đường dẫn ssh trong thư mục người dùng, tên tệp đúng là config không có phần mở rộng. Đây là chi tiết hay bị sai khi tải về trên Windows vì hệ thống có thể tự thêm đuôi txt, và khi đó SSH sẽ không đọc tệp. Về quyền, thư mục ssh nên đặt quyền 700 và tệp config nên đặt quyền 600, tức chỉ chủ sở hữu được đọc và ghi. SSH kiểm tra khá nghiêm phần này và sẽ từ chối dùng tệp nếu nó cho phép nhóm hoặc người khác ghi vào, vì một tệp cấu hình bị người khác sửa được là lỗ hổng nghiêm trọng: kẻ tấn công chỉ cần đổi dòng HostName là chuyển hướng kết nối của bạn sang máy của họ. Với các tệp khóa riêng thì quyền bắt buộc là 600, nếu lỏng hơn thì SSH báo lỗi và từ chối dùng khóa. Trên Windows, khi dùng OpenSSH tích hợp sẵn thì đường dẫn tương ứng nằm trong thư mục người dùng và cơ chế quyền theo kiểu Windows, nhưng nguyên tắc vẫn là chỉ tài khoản của bạn được toàn quyền.

Thứ tự các khối quyết định giá trị nào được áp dụng

Đây là quy tắc quan trọng nhất khi viết tệp cấu hình SSH và cũng là quy tắc hay bị hiểu ngược nhất. SSH đọc tệp từ trên xuống, và với mỗi tùy chọn, giá trị đầu tiên tìm được sẽ thắng; những lần khai báo sau cho cùng tùy chọn đó bị bỏ qua hoàn toàn. Đây là điều ngược với trực giác của người quen với các tệp cấu hình nơi khai báo sau ghi đè khai báo trước. Hệ quả thực hành rất cụ thể: các khối riêng cho từng máy phải đặt lên trên, còn khối chung dùng mẫu ký tự đại diện phải đặt xuống cuối cùng. Nếu bạn đặt một khối chung khai báo tên đăng nhập ở đầu tệp, mọi khối riêng phía dưới sẽ không đổi được tên đăng nhập nữa và bạn sẽ mất rất nhiều thời gian để hiểu tại sao. Ngoài ra, tên gọi tắt trong khối Host còn nhận mẫu ký tự đại diện, nên bạn viết được một khối áp dụng cho mọi máy có tên bắt đầu bằng một tiền tố, hoặc mọi máy thuộc một tên miền. Từ bản OpenSSH 7.3 trở đi còn có chỉ thị Include cho phép tách cấu hình ra nhiều tệp nhỏ, rất tiện khi bạn muốn để riêng cấu hình của từng khách hàng.

Các tùy chọn nên thêm tay sau khi tải tệp về

Công cụ sinh ra bộ khung cơ bản, nhưng có mấy dòng đáng thêm vào mà nó chưa hỗ trợ. Đầu tiên là IdentitiesOnly với giá trị yes, đặt kèm mỗi khi bạn khai IdentityFile. Không có dòng này, chương trình quản lý khóa sẽ lần lượt mời tất cả khóa nó đang giữ trước khi tới khóa bạn chỉ định, và nếu bạn có nhiều hơn sáu khóa thì máy chủ sẽ ngắt vì vượt số lần thử xác thực cho phép, báo lỗi quá nhiều lần xác thực thất bại dù khóa đúng vẫn nằm trong máy. Thứ hai là cặp ServerAliveInterval đặt 60 và ServerAliveCountMax đặt 3, giúp phiên làm việc không bị rớt khi bạn để yên vài phút; nguyên nhân rớt thường là thiết bị mạng trung gian đóng kết nối im lặng chứ không phải máy chủ. Thứ ba là bộ tùy chọn tái dùng kết nối gồm ControlMaster đặt auto, ControlPath trỏ tới một đường dẫn tệp tạm và ControlPersist đặt một khoảng thời gian; nhóm này khiến các lần kết nối sau tới cùng máy đi chung một đường hầm đã mở nên gần như tức thì, rất đáng giá khi bạn chạy nhiều lệnh liên tiếp. Thứ tư, trên macOS thì AddKeysToAgent và UseKeychain giúp không phải nhập lại mật khẩu bảo vệ khóa.

ProxyJump và cách đi qua máy trung gian

Trong hạ tầng có kiểm soát, các máy chủ thật thường không mở cổng ra Internet mà chỉ nhận kết nối từ một máy trung gian đặt ở vùng biên. Trước đây người ta phải viết một dòng ProxyCommand khá rối dùng công cụ netcat để làm việc này. Từ bản OpenSSH 7.3, tùy chọn ProxyJump ra đời và thay thế hoàn toàn cách cũ với cú pháp gọn hơn nhiều: bạn chỉ cần ghi tên gọi tắt của máy trung gian vào dòng ProxyJump trong khối của máy đích. Điều quan trọng cần hiểu về cơ chế: kết nối tới máy đích được mã hóa đầu cuối và máy trung gian chỉ chuyển tiếp gói tin chứ không giải mã được nội dung, đồng thời khóa riêng của bạn không bao giờ được sao chép lên máy trung gian. Đây là điểm khác biệt căn bản so với cách làm cũ mà nhiều người vẫn dùng là chép khóa riêng lên máy trung gian rồi từ đó kết nối tiếp; cách đó rất nguy hiểm vì khóa riêng của bạn nằm trên một máy mà nhiều người có quyền truy cập. Nếu cần đi qua nhiều tầng, dòng ProxyJump nhận danh sách nhiều máy phân tách bằng dấu phẩy và SSH sẽ nhảy lần lượt.

Những thứ tuyệt đối không đặt vào tệp cấu hình

Thứ nhất và rõ nhất là mật khẩu. Cấu hình SSH không có tùy chọn nào nhận mật khẩu, và đó là chủ ý chứ không phải thiếu sót; nếu bạn thấy hướng dẫn nào bảo dùng công cụ ngoài để tự động nhập mật khẩu, hãy chuyển sang dùng khóa thay vì đi đường vòng đó. Thứ hai là tùy chọn StrictHostKeyChecking đặt thành no. Nhiều người thêm dòng này cho đỡ bị hỏi xác nhận khi kết nối lần đầu, nhưng nó tắt luôn cơ chế phát hiện kẻ đứng giữa: khi khóa máy chủ đổi vì có người chen vào giữa, SSH sẽ im lặng kết nối thay vì cảnh báo. Nếu thật sự cần bỏ bước hỏi cho môi trường tự động dùng máy ảo tạm, hãy dùng giá trị accept-new thay vì no, vì nó chỉ tự chấp nhận máy hoàn toàn mới và vẫn cảnh báo khi khóa của một máy đã biết bị đổi. Thứ ba, cân nhắc kỹ trước khi bật chuyển tiếp tác nhân khóa: khi bật, người có quyền quản trị trên máy bạn đang kết nối tới có thể mượn khóa của bạn trong lúc phiên còn mở, nên chỉ bật với những máy bạn thực sự tin tưởng. Cuối cùng, nhớ rằng tệp cấu hình là bản đồ hạ tầng của bạn, đừng đưa nó lên kho mã nguồn công khai.

Câu hỏi thường gặp (FAQ)

Từ khóa liên quan

• ssh config là gì
• tạo file ssh config
• cấu hình ssh config host
• ssh không cần gõ ip
• identityfile trong ssh config
• identitiesonly yes
• lỗi too many authentication failures
• proxyjump ssh
• bastion host là gì
• serveraliveinterval giữ kết nối ssh
• ssh controlmaster tái dùng kết nối
• phân quyền 600 cho ssh config
• ssh config trên windows
• include trong ssh config
• ssh nhiều key cho nhiều server
• stricthostkeychecking accept-new
• forwardagent có an toàn không
• ssh key ed25519
• kết nối server qua ssh nhanh hơn
• quản lý nhiều server bằng ssh