Elastic Compute Service:Connect to a Linux instance with OpenSSH or Xshell

Antes de conectar

• A instância executa Linux.

• A instância possui um endereço IP público estático ou um Elastic IP Address (EIP).

Método 1: Usar um cliente OpenSSH (linha de comando)

O OpenSSH é o cliente SSH padrão integrado ao macOS e às versões modernas do Windows, permitindo conexões via linha de comando com servidores remotos.

Método 2: Usar o cliente Xshell (apenas Windows)

O Xshell é um cliente SSH para Windows destinado ao gerenciamento de servidores Linux.

Aplicar em produção

Reforce suas conexões SSH para ambientes de produção.

• Verifique a impressão digital do host para evitar ataques man-in-the-middle

  Na primeira conexão, verifique a impressão digital da chave do host para confirmar que você está se conectando à instância correta.

• Desative o acesso por senha e imponha a autenticação por par de chaves

  A autenticação por par de chaves é mais segura que senhas e reduz o risco de ataques de força bruta.

  1. Vincule um par de chaves à sua instância.

  2. Acesse a instância, edite /etc/ssh/sshd_config e defina PasswordAuthentication como no. Reinicie o serviço SSH.

• Altere a porta SSH padrão

  Mudar a porta 22 para uma porta não padrão (como 2222) reduz a exposição a varreduras automatizadas.

  1. Permita a nova porta: Adicione uma regra de entrada para permitir tráfego na nova porta.

  2. Altere a porta SSH: Acesse a instância, edite /etc/ssh/sshd_config e altere #Port 22 para Port 2222. Reinicie o serviço SSH.

  3. Conecte-se pela nova porta: Especifique a porta com -p, por exemplo: ssh -p 2222 username@instance_ip.

• Permita acesso apenas de endereços IP confiáveis

  Modifique as regras do grupo de segurança para permitir acesso SSH apenas de endereços IP confiáveis.

Perguntas frequentes

• Como configuro uma regra de grupo de segurança para a porta 22?

  No grupo de segurança da instância, adicione uma regra com estas configurações:

  Action	Protocol	Source	Destination (This Instance)
  Allow	Custom TCP	O endereço IP público do seu cliente local. Importante Usar 0.0.0.0/0 permite que qualquer endereço IP acesse a porta, o que representa um risco de segurança.	SSH(22) Se você alterou a porta SSH, use o novo número de porta.

• Como verifico a impressão digital da chave do host da instância?

  Na primeira conexão, o cliente SSH solicita que você verifique a impressão digital da chave do host.

  No console

  1. Acesse o ECS console - Instances. Selecione uma região e um grupo de recursos.

  2. Localize a instância e clique em > Obtain Instance System Logs. Localize BEGIN SSH HOST KEY FINGERPRINTS para visualizar as impressões digitais.

     

     Verifique se a impressão digital exibida pelo seu cliente SSH corresponde exatamente a uma das listadas na saída. Uma divergência pode indicar um ataque man-in-the-middle.

     Se esta seção estiver ausente, acesse a instância para visualizar a impressão digital.

  Na instância

  Acesse a instância usando o Workbench e execute o seguinte comando:

  for f in /etc/ssh/ssh_host_*_key.pub; do ssh-keygen -l -f "$f"; done

  Saída de exemplo:

  1024 SHA256:9C******co root@Connect-Instance-Example (DSA)
  256 SHA256:u6******SU root@Connect-Instance-Example (ECDSA)
  256 SHA256:iQ******jg root@Connect-Instance-Example (ED25519)
  3072 SHA256:8R******64 root@Connect-Instance-Example (RSA)

  Verifique se a impressão digital exibida pelo seu cliente SSH corresponde exatamente a uma das listadas na saída. Uma divergência pode indicar um ataque man-in-the-middle.

• Como simplificar o comando de conexão com um arquivo de configuração SSH?

  Crie um arquivo config SSH na sua máquina local para definir aliases de servidor.

  1. Localize ou crie o arquivo de configuração.

     Windows 10/11

     Caminho padrão: C:\Users\YourUsername\.ssh\config. Crie o arquivo se ele não existir.

     Substitua YourUsername pelo seu nome de usuário atual do Windows.

     macOS

     Caminho padrão: ~/.ssh/config. Crie o arquivo se ele não existir.

  2. Edite o arquivo de configuração e adicione as informações da instância.

     Abra o arquivo config e adicione um bloco Host para cada servidor.

     # Configure an alias "web-server" for the web server
     Host web-server
         HostName        47.98.xxx.xxx
         User            root
         Port            22
         # (Optional) If you use a key pair to log on, specify the private key path. Ignore this if you use a password.
         IdentityFile    /path/to/your/private_key.pem
     
     # You can add more configurations for other servers
     Host other-server
         HostName        8.123.xxx.xxx
         User            ecs-user
         Port            2222
         IdentityFile    ~/.ssh/another_key.pem

     Descrição dos parâmetros:

     • Host: Um alias personalizado.

     • HostName: O endereço IP público.

     • User: O nome de usuário de acesso.

     • Port: A porta SSH (padrão: 22).

     • IdentityFile: O caminho do arquivo de chave privada.

  3. Conecte-se usando o alias.

     Salve o arquivo config. Conecte-se usando o alias:

     # Connect directly using the alias. SSH automatically reads the IP address, username, and key information from the config file.
     ssh web-server

• Por que recebo um erro Connection timed out?

  O cliente não conseguiu alcançar o servidor. Verifique os seguintes itens:

  1. O endereço IP público está correto.

  2. O grupo de segurança permite tráfego na porta necessária.

  3. A instância está em execução (Running).

  4. Use a ferramenta ECS console - Diagnostics para diagnosticar quaisquer problemas.

• Por que recebo um erro Permission denied, please try again?

  O servidor rejeitou sua senha. Verifique os seguintes itens:

  1. Redefina a senha no console e tente novamente.

  2. Use a ferramenta ECS console - Diagnostics para diagnosticar quaisquer problemas.

• Por que recebo um erro Permission denied (publickey)?

  O servidor rejeitou sua chave. Verifique os seguintes itens:

  1. Vincule o par de chaves novamente no console e tente outra vez.

  2. O caminho para o arquivo de chave privada está correto e corresponde ao par de chaves vinculado à instância.

  3. (No macOS) As permissões do arquivo de chave privada são 400 ou 600.

  4. Use a ferramenta ECS console - Diagnostics para diagnosticar quaisquer problemas.

• Por que recebo um erro WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!?

  Esse recurso de segurança do SSH é acionado quando a chave do host do servidor muda. Isso pode ocorrer após uma alteração no disco do sistema, reinstalação do SO ou exclusão do arquivo de chave do host.

  Solução: Verifique a impressão digital da chave do host. Se estiver correta, remova a impressão digital desatualizada:

  ssh-keygen -R <instance_public_IP_address>