Guide : Installation et configuration d’un serveur SSH

Ce guide vous montre comment installer, configurer et utiliser un serveur SSH de manière sécurisée et pratique.

Installer et configurer le serveur SSH sur la VM
Connexion et finalisation de la configuration
Configuration du client SSH via un fichier de configuration
Références

Installer et configurer le serveur SSH sur la VM #

On supposera que la VM Debian server est configurée en mode NAT et que le port 2222 de la machine hôte est publié pour le port 22 de la VM.

Installer un serveur ssh

Installer openssh sur le serveur (Ubuntu/Debian) :

sudo apt update && sudo apt install -y openssh-server

Lancer le service (via systemd) et vérifier que le serveur SSH est en cours d’exécution :

sudo systemctl enable --now ssh
sudo systemctl start ssh
#check
systemctl status ssh

Sécuriser la connexion SSH

Pour sécuriser (un minimum requis) le serveur SSH, il est fortement recommandé :

D’interdire la connexion SSH en root ;
D’interdire la connexion par mot de passe (forcer l’usage du chiffrement par clefs). Cette configuration sera faite dans un second temps ;
De définir une liste d’utilisateurs autorisés à se connecter en SSH (white list)

Éditer le fichier /etc/ssh/sshd_config avec votre éditeur favori :

PermitRootLogin no
#Laisser à yes pour l'instant, il faut d'abord déployer la clé via mot de passe !
PasswordAuthentication yes
PubkeyAuthentication yes
AllowUsers mon_user

Redémarrer le service pour recharger la configuration :

sudo systemctl restart ssh

Création des clefs pour le chiffrement

Remplacez user par votre utilisateur UNIX (sur la VM)

Sur votre machine hôte, générer une paire de clés publique/privée avec ssh-keygen:

ssh-keygen -t ed25519 -C "user@vm"

ssh-keygen a généré deux fichiers nommés par défaut :

~/.ssh/id_ed25519 (clé privée, à garder secrète !)
~/.ssh/id_ed25519.pub (clé publique, à déployer sur le serveur)

Copier (déployer) la clé publique sur le serveur avec ssh-copy-id :

ssh-copy-id -p 2222 -i ~/.ssh/id_ed25519.pub user@localhost

Ou manuellement :

cat ~/.ssh/id_ed25519.pub | ssh -p 2222 user@localhost "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

À propos de l’algorithme utilisé

L’algorithme Ed25519 repose sur la cryptographie à courbes elliptiques (ECC). Pourquoi Ed25519 ?

Sécurité élevée : Basé sur la courbe elliptique Edwards25519, il offre une excellente résistance aux attaques cryptographiques ;
Performance optimisée : Plus rapide à générer et à vérifier que RSA. Une clé Ed25519 est de 256 bits, contre 2048-4096 bits pour RSA, offrant un bon ratio sécurité/taille.

Autres algorithmes disponibles :

#RSA avec clé 4096 bits (moins efficace que Ed25519)
ssh-keygen -t rsa -b 4096  
# ECDSA (courbe P-384)
ssh-keygen -t ecdsa -b 384  

#À éviter !!
ssh-keygen -t dsa # X

Connexion et finalisation de la configuration #

Pour se connecter en utilisant les clefs, plusieurs méthodes sont possibles :

Manuelle :

ssh -i ~/.ssh/id_ed25519 -p 2222 user@localhost

Avec ssh-agent :
```
ssh-add ~/.ssh/id_ed25519
```
Via un fichier de configuration ssh (à privilégier, ce que nous allons faire ici)

Configuration du client SSH via un fichier de configuration #

La configuration du client via un fichier de configuration est pratique, notamment pour gérer plusieurs connexions.

Créer ou éditer le fichier ~/.ssh/config

#Configuration d'un host (serveur SSH)
Host server                     # Alias de votre serveur
HostName 127.0.0.1              # Son IP (NAT, ici l'ip de la vm est localhost)
Port 2222                       # Port (NAT)
User mon_user                   # user
IdentityFile ~/.ssh/id_ed25519  # Clé privée à utiliser

#Vous pouvez ajouter à la suite d'autre hosts, en indiquant un Host différent à chaque fois.

Pour vous connecter, il suffit à présent de saisir la commande :

ssh server

Sur le serveur, maintenant que votre clef est déployée, désactiver la connexion par mot de passe (fichier /etc/ssh/sshd_config) :

#A présent que la clef est déployée on peut interdire l'accès par mot de passe
#-PasswordAuthentication yes
PasswordAuthentication no

Sur le serveur, vérifier la configuration :

sudo sshd -T
sudo sshd -T | grep -E 'passwordauthentication|challengeresponseauthentication'

Depuis le client (machine hôte), tester que la connexion par mot de passe ne fonctionne plus :

# Doit être refusé !
ssh -o PreferredAuthentications=password -o PubkeyAuthentication=no -p 2222 user@localhost