Как подключиться к серверу по SSH и сохранить доступ

За 15–25 минут вы подключитесь к Linux-серверу по SSH и настроите вход по ключу, не рискуя потерять уже открытую сессию. Главное правило: сначала проверить новый способ входа во втором окне и только потом менять настройки, которые отключают парольную авторизацию.

Что понадобится до начала

Инструкция рассчитана на Linux-сервер под Debian или Ubuntu и клиент OpenSSH 9.x на Linux или macOS. Команды подключения и создания ключа есть и в других версиях OpenSSH, но названия служб и расположение настроек сервера могут отличаться. Вам нужны адрес сервера, имя пользователя с правом входа и пароль для первого подключения либо уже настроенный доступ. Если сервер арендован, найдите в панели провайдера веб-консоль: это запасной путь, если SSH перестанет отвечать.

Термин. SSH-ключ — пара файлов: закрытый ключ остаётся на вашем компьютере, открытый добавляют в список разрешённых ключей на сервере. Никому не отправляйте закрытый ключ и не загружайте его на сервер.

Подключитесь и настройте вход по ключу

1. Откройте терминал и подключитесь. Замените user на имя учётной записи, а SERVER_IP — на IP-адрес или доменное имя сервера. Если провайдер выдал нестандартный порт, добавьте параметр -p с его номером.

   ssh user@SERVER_IP

   При первом подключении клиент покажет отпечаток ключа сервера и спросит, доверяете ли вы ему. Сверьте отпечаток с данными в панели провайдера, если они доступны; не подтверждайте незнакомый ключ автоматически. После подтверждения введите пароль. Проверка: в терминале появилась командная строка удалённого сервера.
2. Создайте отдельную пару ключей. Откройте второе локальное окно терминала, чтобы не потерять активное подключение. Команда создаёт ключ Ed25519 в стандартном расположении; при запросе задайте парольную фразу для защиты закрытого ключа.

   ssh-keygen -t ed25519 -C "laptop-ssh"

   Если программа спросит, перезаписать ли существующий файл, ответьте «нет», если не уверены, что старый ключ больше не нужен. Проверка: в каталоге ~/.ssh появились файлы id_ed25519 и id_ed25519.pub. Первый — закрытый, его не копируют на сервер и не пересылают.
3. Добавьте открытый ключ на сервер. В Linux или macOS выполните локально:

   ssh-copy-id -i ~/.ssh/id_ed25519.pub user@SERVER_IP

   Введите пароль учётной записи, если его попросят. Утилита добавит открытый ключ в файл разрешённых ключей пользователя. Если команда ssh-copy-id не установлена или недоступна, не отключайте вход по паролю: сначала воспользуйтесь инструкцией для вашей системы из официальной документации OpenSSH. Проверка: команда завершилась сообщением об успешном добавлении ключа либо сообщает, что ключ уже установлен.
4. Проверьте вход в новом окне. Оставьте первое SSH-соединение открытым. В третьем окне запустите:

   ssh -i ~/.ssh/id_ed25519 user@SERVER_IP

   Введите парольную фразу ключа, если клиент её запросит. Проверка: открылась новая командная строка на сервере. Если пароль сервера по-прежнему запрашивается, не переходите к отключению парольного входа — сначала разберите ошибку ниже.
5. Убедитесь, что у вас есть рабочий аккаунт для администрирования. Если вы планируете менять системные настройки, проверьте, что вошли под обычным пользователем с правом выполнять команды через sudo. На сервере выполните:

   sudo -v

   Введите пароль пользователя, если система попросит. Проверка: команда завершается без сообщения об отсутствии прав. Не закрывайте старую сессию и не отключайте доступ для учётной записи, которой ещё не проверили вход.

Пока вы не вошли по ключу во второй отдельной сессии, старое соединение — ваша страховка. Не закрывайте его ради проверки новой настройки.

Как не запереть себя после настройки

Само добавление ключа не отключает вход по паролю — это два отдельных способа авторизации. Для личного сервера можно оставить парольный вход включённым, если вы не уверены в конфигурации или не готовы проверить восстановление доступа. Если вы всё же хотите отключить пароль, сначала убедитесь, что открытая и новая SSH-сессии работают, а доступ через консоль провайдера проверен.

Для Debian и Ubuntu настройки сервера обычно находятся в /etc/ssh/sshd_config и подключаемых из него файлах. Перед изменением проверьте документацию своей системы: облачный образ или пакет может задавать настройки отдельно, а итог зависит от порядка чтения конфигурации. После изменения проверьте синтаксис и только затем перечитайте конфигурацию службы:

sudo sshd -t
sudo systemctl reload ssh

Первая команда должна завершиться без вывода об ошибке. Если она сообщает о проблеме, не выполняйте перезагрузку службы. В Debian и Ubuntu имя службы обычно ssh; в других дистрибутивах оно может отличаться. Оставьте старую сессию открытой и проверьте вход по ключу ещё раз в новом окне. Если новая сессия не открывается, восстановите прежнюю настройку из старой сессии или консоли провайдера. Не меняйте одновременно порт, разрешённых пользователей и способ авторизации: так сложнее понять, что именно лишило вас доступа.

Если подключение не получилось

• Permission denied (publickey). Сервер не принял ключ. Проверьте имя пользователя и адрес, убедитесь, что на сервер добавлен именно открытый файл id_ed25519.pub, и подключайтесь с тем закрытым ключом, которому он соответствует. Не публикуйте содержимое закрытого ключа для диагностики.
• Permission denied, please try again. Принимаемый способ входа может требовать пароль, но введённые данные не подошли, либо у пользователя нет разрешения на вход. Проверьте раскладку клавиатуры, имя пользователя и правила доступа у администратора или провайдера.
• Connection timed out. Клиент не дождался ответа. Проверьте адрес, порт, состояние сервера и сетевые правила в панели провайдера. Если используется нестандартный порт, укажите его через -p, например: ssh -p 2222 user@SERVER_IP.
• WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!. Отпечаток сервера отличается от сохранённого. Это бывает после переустановки сервера или замены его ключа, но может указывать и на подключение не к тому узлу. Сначала сверьте новый отпечаток через независимый канал с администратором или провайдером. Не удаляйте предупреждение вслепую.

Что делать дальше

Сохраните IP-адрес, имя пользователя, порт и способ восстановления доступа в менеджере паролей или внутренней документации команды — без закрытого ключа и его парольной фразы. Проверьте, что консоль провайдера доступна, пока не закрыли текущую SSH-сессию. Для повседневной работы можно настроить локальный файл SSH-клиента, но перед этим убедитесь, что базовое подключение по ключу стабильно. Следите за доступностью SSH и не применяйте изменения конфигурации без проверки их синтаксиса и повторного входа.