Elastic Compute Service:Menghubungkan ke instans Linux dengan OpenSSH atau Xshell

Sebelum Anda menghubungkan

• Instans menjalankan Linux.

• Instans memiliki static public IP address atau Elastic IP Address (EIP).

Metode 1: Gunakan klien OpenSSH (command line)

OpenSSH adalah klien SSH standar yang sudah terpasang di macOS dan Windows modern, memungkinkan koneksi command-line ke server remote.

Metode 2: Gunakan klien Xshell (khusus Windows)

Xshell adalah klien SSH untuk Windows yang digunakan untuk mengelola server Linux.

Terapkan di lingkungan produksi

Perkuat koneksi SSH Anda untuk lingkungan produksi.

• Verifikasi sidik jari host untuk mencegah serangan man-in-the-middle

  Pada koneksi pertama, verifikasi sidik jari kunci host untuk memastikan Anda terhubung ke instans yang benar.

• Nonaktifkan logon berbasis password dan terapkan autentikasi pasangan kunci

  Autentikasi pasangan kunci lebih aman daripada password dan mengurangi risiko serangan brute-force.

  1. Ikatkan pasangan kunci ke instans Anda.

  2. Login ke instans, edit /etc/ssh/sshd_config, dan atur PasswordAuthentication menjadi no. Restart layanan SSH.

• Ubah Port SSH default

  Mengubah port 22 ke port non-standar (misalnya 2222) mengurangi paparan terhadap pemindaian otomatis.

  1. Allow the new port: Tambahkan aturan inbound untuk mengizinkan traffic pada port baru tersebut.

  2. Change the SSH port: Login ke instans, edit /etc/ssh/sshd_config, dan ubah #Port 22 menjadi Port 2222. Restart layanan SSH.

  3. Connect with the new port: Tentukan port dengan -p, contohnya: ssh -p 2222 username@instance_ip.

• Izinkan akses hanya dari alamat IP tepercaya

  Modifikasi aturan security group untuk mengizinkan akses SSH hanya dari alamat IP tepercaya.

FAQ

• Bagaimana cara mengonfigurasi aturan security group untuk port 22?

  Pada security group instans, tambahkan aturan dengan pengaturan berikut:

  Action	Protocol	Source	Destination (This Instance)
  Allow	Custom TCP	Alamat IP publik klien lokal Anda. Penting Menggunakan 0.0.0.0/0 memungkinkan alamat IP apa pun mengakses port tersebut, sehingga menimbulkan risiko keamanan.	SSH(22) Jika Anda telah mengubah port SSH, gunakan nomor port yang baru.

• Bagaimana cara memverifikasi sidik jari kunci host instans?

  Saat koneksi pertama kali dilakukan, klien SSH akan meminta Anda untuk memverifikasi sidik jari kunci host.

  Di Konsol

  1. Buka ECS console - Instances. Pilih wilayah dan kelompok sumber daya.

  2. Temukan instans tersebut dan klik > Obtain Instance System Logs. Cari BEGIN SSH HOST KEY FINGERPRINTS untuk melihat sidik jarinya.

     ##########################################################
     -----BEGIN SSH HOST KEY FINGERPRINTS-----
     1024 SHA256:VtyWxxx xxx xxx xxx xxx xxx xxx xxx xxx KezM root@ixxx xxx xxx xxx xxx KZ (DSA)
     256 SHA256:kCxxx xxx xxx xxx xxx xxx xxx xxx 0E root@iZxxx xxx xxx xxx KZ (ECDSA)
     256 SHA256:PExxx xxx xxx xxx xxx xxx xxx eQ root@iZbxxx xxx xxx xxx KZ (ED25519)
     3072 SHA256:Ymxxx xxx xxx xxx xxx xxx xxx DkE root@iZxxx xxx xxx xxx xZ (RSA)
     -----END SSH HOST KEY FINGERPRINTS-----
     ##########################################################

     Verifikasi bahwa sidik jari yang ditampilkan oleh klien SSH Anda persis sama dengan salah satu yang ada di output. Ketidakcocokan dapat mengindikasikan adanya serangan man-in-the-middle.

     Jika bagian ini tidak tersedia, login ke instans untuk melihat sidik jarinya.

  Di Instans

  Login ke instans menggunakan Workbench dan jalankan perintah berikut:

  for f in /etc/ssh/ssh_host_*_key.pub; do ssh-keygen -l -f "$f"; done

  Contoh output:

  1024 SHA256:9C******co root@Connect-Instance-Example (DSA)
  256 SHA256:u6******SU root@Connect-Instance-Example (ECDSA)
  256 SHA256:iQ******jg root@Connect-Instance-Example (ED25519)
  3072 SHA256:8R******64 root@Connect-Instance-Example (RSA)

  Verifikasi bahwa sidik jari yang ditampilkan oleh klien SSH Anda persis sama dengan salah satu yang ada di output. Ketidakcocokan dapat mengindikasikan adanya serangan man-in-the-middle.

• Bagaimana cara menyederhanakan perintah koneksi dengan file konfigurasi SSH?

  Buat file konfigurasi SSH config di mesin lokal Anda untuk mendefinisikan alias server.

  1. Temukan atau buat file konfigurasi tersebut.

     Windows 10/11

     Jalur default: C:\Users\YourUsername\.ssh\config. Buat file tersebut jika belum ada.

     Ganti YourUsername dengan username Windows Anda saat ini.

     macOS

     Jalur default: ~/.ssh/config. Buat file tersebut jika belum ada.

  2. Edit file konfigurasi dan tambahkan informasi instans.

     Buka file config dan tambahkan blok Host untuk setiap server.

     # Konfigurasikan alias "web-server" untuk server web
     Host web-server
         HostName        47.98.xxx.xxx
         User            root
         Port            22
         # (Opsional) Jika Anda menggunakan pasangan kunci untuk login, tentukan jalur kunci privat. Abaikan jika menggunakan password.
         IdentityFile    /path/to/your/private_key.pem
     
     # Anda dapat menambahkan konfigurasi lain untuk server lainnya
     Host other-server
         HostName        8.123.xxx.xxx
         User            ecs-user
         Port            2222
         IdentityFile    ~/.ssh/another_key.pem

     Penjelasan parameter:

     • Host: Alias kustom.

     • HostName: Alamat IP publik.

     • User: Username login.

     • Port: Port SSH (default: 22).

     • IdentityFile: Jalur file kunci privat.

  3. Koneksikan menggunakan alias.

     Simpan file config. Lakukan koneksi menggunakan alias:

     # Lakukan koneksi langsung menggunakan alias. SSH secara otomatis membaca alamat IP, username, dan informasi kunci dari file config.
     ssh web-server

• Mengapa saya mendapatkan error Connection timed out?

  Klien gagal mencapai server. Periksa hal-hal berikut:

  1. Alamat IP publik sudah benar.

  2. Security group mengizinkan traffic pada port yang diperlukan.

  3. Instans dalam status Running.

  4. Gunakan tool ECS console - Diagnostics untuk mendiagnosis masalah apa pun.

• Mengapa saya mendapatkan error Permission denied, please try again?

  Server menolak password Anda. Periksa hal-hal berikut:

  1. Reset password di Konsol dan coba lagi.

  2. Gunakan tool ECS console - Diagnostics untuk mendiagnosis masalah apa pun.

• Mengapa saya mendapatkan error Permission denied (publickey)?

  Server menolak kunci Anda. Periksa hal-hal berikut:

  1. Bind ulang pasangan kunci di Konsol dan coba lagi.

  2. Jalur ke file kunci privat sudah benar dan sesuai dengan pasangan kunci yang terikat pada instans.

  3. (Pada macOS) Izin file kunci privat adalah 400 atau 600.

  4. Gunakan tool ECS console - Diagnostics untuk mendiagnosis masalah apa pun.

• Mengapa saya mendapatkan error WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!?

  Fitur keamanan SSH ini aktif ketika kunci host server berubah. Hal ini dapat terjadi setelah pergantian disk sistem, instalasi ulang OS, atau penghapusan file kunci host.

  Solusi: Verifikasi sidik jari kunci host. Jika benar, hapus sidik jari lama:

  ssh-keygen -R <instance_public_IP_address>