Elastic Compute Service:Se connecter à une instance Linux avec OpenSSH ou Xshell

Avant de vous connecter

• L'instance exécute Linux.

• L'instance dispose d'une adresse IP publique statique ou d'une Elastic IP Address (EIP).

Méthode 1 : Utiliser un client OpenSSH (ligne de commande)

OpenSSH est le client SSH standard intégré à macOS et aux versions récentes de Windows. Il permet d'établir des connexions en ligne de commande vers des serveurs distants.

Méthode 2 : Utiliser le client Xshell (Windows uniquement)

Xshell est un client SSH pour Windows dédié à la gestion des serveurs Linux.

Bonnes pratiques pour la production

Renforcez la sécurité de vos connexions SSH dans les environnements de production.

• Vérifiez l'empreinte de l'hôte pour prévenir les attaques de type « man-in-the-middle »

  Lors de la première connexion, vérifiez l'empreinte de la clé hôte afin de confirmer que vous vous connectez bien à l'instance correcte.

• Désactivez la connexion par mot de passe et imposez l'authentification par paire de clés

  L'authentification par paire de clés est plus sécurisée que l'utilisation de mots de passe et réduit les risques d'attaques par force brute.

  1. Associez une paire de clés à votre instance.

  2. Connectez-vous à l'instance, modifiez le fichier /etc/ssh/sshd_config et définissez la valeur de PasswordAuthentication sur no. Redémarrez ensuite le service SSH.

• Modifiez le port SSH par défaut

  Le remplacement du port 22 par un port non standard (par exemple 2222) réduit l'exposition aux analyses automatisées.

  1. Autorisez le nouveau port : Ajoutez une règle entrante pour autoriser le trafic sur le nouveau port.

  2. Modifiez le port SSH : Connectez-vous à l'instance, éditez le fichier /etc/ssh/sshd_config et remplacez #Port 22 par Port 2222. Redémarrez ensuite le service SSH.

  3. Connectez-vous via le nouveau port : Spécifiez le port à l'aide de l'option -p, par exemple : ssh -p 2222 username@instance_ip.

• Autorisez l'accès uniquement depuis des adresses IP de confiance

  Modifiez les règles du groupe de sécurité afin de n'autoriser l'accès SSH que depuis des adresses IP de confiance.

FAQ

• Comment configurer une règle de groupe de sécurité pour le port 22 ?

  Dans le groupe de sécurité de l'instance, ajoutez une règle avec les paramètres suivants :

  Action	Protocol	Source	Destination (This Instance)
  Allow	Custom TCP	L'adresse IP publique de votre client local. Important L'utilisation de 0.0.0.0/0 autorise l'accès au port depuis n'importe quelle adresse IP, ce qui présente un risque de sécurité.	SSH(22) Si vous avez modifié le port SSH, utilisez le nouveau numéro de port.

• Comment vérifier l'empreinte de la clé hôte de l'instance ?

  Lors de la première connexion, le client SSH vous invite à vérifier l'empreinte de la clé hôte.

  Dans la console

  1. Accédez à ECS console - Instances. Sélectionnez une région et un groupe de ressources.

  2. Repérez l'instance et cliquez sur > Obtain Instance System Logs. Recherchez la section BEGIN SSH HOST KEY FINGERPRINTS pour afficher les empreintes.

     ##########################################################
     -----BEGIN SSH HOST KEY FINGERPRINTS-----
     1024 SHA256:VtyWxxx xxx xxx xxx xxx xxx xxx xxx xxx KezM root@ixxx xxx xxx xxx xxx KZ (DSA)
     256 SHA256:kCxxx xxx xxx xxx xxx xxx xxx xxx 0E root@iZxxx xxx xxx xxx KZ (ECDSA)
     256 SHA256:PExxx xxx xxx xxx xxx xxx xxx eQ root@iZbxxx xxx xxx xxx KZ (ED25519)
     3072 SHA256:Ymxxx xxx xxx xxx xxx xxx xxx DkE root@iZxxx xxx xxx xxx xZ (RSA)
     -----END SSH HOST KEY FINGERPRINTS-----
     ##########################################################

     Vérifiez que l'empreinte affichée par votre client SSH correspond exactement à l'une de celles présentes dans la sortie. Une divergence peut indiquer une attaque de type « man-in-the-middle ».

     Si cette section est absente, connectez-vous à l'instance pour consulter l'empreinte.

  Dans l'instance

  Connectez-vous à l'instance via Workbench et exécutez la commande suivante :

  for f in /etc/ssh/ssh_host_*_key.pub; do ssh-keygen -l -f "$f"; done

  Exemple de sortie :

  1024 SHA256:9C******co root@Connect-Instance-Example (DSA)
  256 SHA256:u6******SU root@Connect-Instance-Example (ECDSA)
  256 SHA256:iQ******jg root@Connect-Instance-Example (ED25519)
  3072 SHA256:8R******64 root@Connect-Instance-Example (RSA)

  Vérifiez que l'empreinte affichée par votre client SSH correspond exactement à l'une de celles présentes dans la sortie. Une divergence peut indiquer une attaque de type « man-in-the-middle ».

• Comment simplifier la commande de connexion grâce à un fichier de configuration SSH ?

  Créez un fichier de configuration SSH config sur votre machine locale pour définir des alias serveur.

  1. Localisez ou créez le fichier de configuration.

     Windows 10/11

     Chemin par défaut : C:\Users\YourUsername\.ssh\config. Créez le fichier s'il n'existe pas.

     Remplacez YourUsername par votre nom d'utilisateur Windows actuel.

     macOS

     Chemin par défaut : ~/.ssh/config. Créez le fichier s'il n'existe pas.

  2. Modifiez le fichier de configuration et ajoutez les informations de l'instance.

     Ouvrez le fichier config et ajoutez un bloc Host pour chaque serveur.

     # Configure an alias "web-server" for the web server
     Host web-server
         HostName        47.98.xxx.xxx
         User            root
         Port            22
         # (Optional) If you use a key pair to log on, specify the private key path. Ignore this if you use a password.
         IdentityFile    /path/to/your/private_key.pem
     
     # You can add more configurations for other servers
     Host other-server
         HostName        8.123.xxx.xxx
         User            ecs-user
         Port            2222
         IdentityFile    ~/.ssh/another_key.pem

     Description des paramètres :

     • Host : Un alias personnalisé.

     • HostName : L'adresse IP publique.

     • User : Le nom d'utilisateur de connexion.

     • Port : Le port SSH (par défaut : 22).

     • IdentityFile : Le chemin d'accès au fichier de clé privée.

  3. Connectez-vous en utilisant l'alias.

     Enregistrez le fichier config. Connectez-vous en utilisant l'alias :

     # Connect directly using the alias. SSH automatically reads the IP address, username, and key information from the config file.
     ssh web-server

• Pourquoi obtiens-je l'erreur Connection timed out ?

  Le client n'a pas pu atteindre le serveur. Vérifiez les points suivants :

  1. L'adresse IP publique est correcte.

  2. Le groupe de sécurité autorise le trafic sur le port requis.

  3. L'instance est en cours d'exécution (état Running).

  4. Utilisez l'outil ECS console - Diagnostics pour diagnostiquer les éventuels problèmes.

• Pourquoi obtiens-je l'erreur Permission denied, please try again ?

  Le serveur a rejeté votre mot de passe. Vérifiez les points suivants :

  1. Réinitialisez le mot de passe dans la console et réessayez.

  2. Utilisez l'outil ECS console - Diagnostics pour diagnostiquer les éventuels problèmes.

• Pourquoi obtiens-je l'erreur Permission denied (publickey) ?

  Le serveur a rejeté votre clé. Vérifiez les points suivants :

  1. Réassociez la paire de clés dans la console et réessayez.

  2. Le chemin d'accès au fichier de clé privée est correct et correspond à la paire de clés associée à l'instance.

  3. (Sous macOS) Les autorisations du fichier de clé privée sont définies sur 400 ou 600.

  4. Utilisez l'outil ECS console - Diagnostics pour diagnostiquer les éventuels problèmes.

• Pourquoi obtiens-je l'erreur WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! ?

  Cette fonctionnalité de sécurité SSH se déclenche lorsque la clé hôte du serveur change. Cela peut se produire après un changement de disque système, une réinstallation du système d'exploitation ou la suppression des fichiers de clés hôtes.

  Solution : Vérifiez l'empreinte de la clé hôte. Si elle est correcte, supprimez l'ancienne empreinte :

  ssh-keygen -R <instance_public_IP_address>