Sesiones SSH

Cómo alcanza un usuario un activo Linux, Unix o de red por SSH, desde el navegador o desde su propio cliente en el puerto 2222, y la cadena de conexión, el orden de autenticación y los interruptores g

Qué es esto y cuándo usarlo

Para SSH la solución se comporta como un bastion host. El usuario se conecta a la solución, no al activo: la solución lo autentica, comprueba la autorización, abre la conexión con el destino usando la credencial almacenada y graba todo lo que viene después. El usuario nunca necesita la contraseña del activo.

Hay dos formas de entrar, y ambas producen la misma sesión grabada:

Método	Dónde se ejecuta	Uso típico
Web CLI	Un terminal en el navegador	Acceso del día a día, terceros, cualquiera sin cliente instalado
Cliente nativo	PuTTY, MobaXterm, Termius, OpenSSH, VS Code Remote-SSH	Ingenieros que quieren sus propias herramientas, acceso por clave, un panel lateral de SFTP

Hay dos puertos en juego, y confundirlos es el error más habitual aquí. El puerto 22 es el puerto SSH del propio activo, que la solución usa para alcanzar el destino. El puerto 2222 es el listener SSH de la propia solución, y es a él al que se conecta un cliente nativo. El valor predeterminado es 2222 y no 22 para no chocar con el sshd del host donde se ejecuta la solución.

El acceso por cliente nativo puede apagarse para toda la plataforma, lo que obliga a que cada sesión SSH pase por el terminal grabado del navegador. Vea Client connection en la referencia de campos.

Antes de empezar

• El activo registrado con el protocolo SSH en un puerto alcanzable, con OpenSSH en ejecución, también en Windows si pretende alcanzar un host Windows por SSH.

• Una cuenta en el activo, registrada en la solución.

• Una autorización que conceda al usuario ese activo, esa cuenta, el protocolo SSH y la acción Conectar. Consulte Autorizaciones.

• El puerto 2222 abierto desde la estación del usuario hasta la dirección de la solución, si va a usar su propio cliente.

• Ninguna regla de método de conexión que niegue el cliente que pretende usar.

Conectarse desde el navegador

1. Abra la lista de acceso a dispositivos, haga clic derecho en el activo y elija conectar.

2. Seleccione el protocolo SSH en el menú de la izquierda del diálogo Conectar.

3. Elija la cuenta en Seleccione una cuenta.

4. Fije el método de conexión en Web y haga clic en Conectar.

Conectarse desde un cliente nativo

Todos los clientes se configuran igual: el host es la dirección de la solución, el puerto es el 2222 y el nombre de usuario lleva la información de enrutamiento. Existen dos formatos de cadena:

# Interactivo: aterriza en un menú con los activos que tiene autorizados
ssh -p 2222 <pamUser>@<pamAddress>

# Directo: va derecho a un activo y una cuenta, sin menú
ssh -p 2222 <pamUser>@<assetAccount>@<assetAddress>@<pamAddress>

Parámetro	Significado	Ejemplo
pamUser	Su nombre de usuario en la solución	joao.silva
assetAccount	La cuenta en el activo de destino	root
assetAddress	La dirección del activo	192.168.1.100
pamAddress	La dirección de la solución	10.0.0.50
-p 2222	El puerto SSH de la solución	2222

La consola puede generar la cadena por usted, en dos formas adicionales que identifican el activo por su UUID en lugar de por su dirección:

# Credencial permanente
ssh <pamUser>#<accountName>#<assetUUID>@<pamAddress> -p 2222

# Token de conexión de un solo uso
ssh <token>@<pamAddress> -p 2222

Un token de conexión dura poco y viene con su propia contraseña de un solo uso. No guarde un token en ~/.ssh/config: la entrada parecerá correcta y dejará de funcionar en cuanto el token caduque. Guarde entradas permanentes solo para la forma con credencial y para la forma manual.

Llevar la cadena a ~/.ssh/config

Los clientes que piden host, puerto y usuario por separado, incluida la extensión Remote-SSH de VS Code, necesitan la cadena troceada. La regla es la misma sea cual sea el formato de partida:

• todo lo que va antes de la última @ se pone en User

• la dirección posterior a la última @ se pone en HostName

• el número que sigue a -p se pone en Port

Host pam-prod-web
  HostName 10.0.0.50
  User joao.silva@root@192.168.1.100
  Port 2222

Después, conéctese con ssh pam-prod-web.

Orden de autenticación

El cliente pregunta en secuencia, y lo que pide no es lo que sugieren los nombres de los mensajes:

1. Password: su contraseña en la solución, nunca la contraseña del activo.

2. OTP code: el código de seis dígitos de su aplicación de autenticación, solicitado solo cuando el MFA está habilitado en su cuenta. En un terminal normal llega como un mensaje [MFA verify].

Para autenticarse con clave, genere un par, registre la mitad pública en Configuración personal › Claves SSH y conéctese con -i:

ssh-keygen -t rsa -b 4096 -f ~/.ssh/datadike_key
ssh -p 2222 -i ~/.ssh/datadike_key joao.silva@10.0.0.50

La solución también puede generar el par por usted. En ese caso, la clave privada se puede descargar una sola vez, justo después de crearla; si pierde esa descarga, el único remedio es crear otra clave.

Lo que debe ver

La forma interactiva abre un menú con los activos que tiene autorizados, y elegir uno lo deja en un shell del destino. La forma directa se salta el menú. En cualquier caso, está en el activo con la cuenta que eligió, y whoami y hostname deben confirmarlo. Si informan del propio host de la solución, la parte de enrutamiento del nombre de usuario estaba mal y usted nunca salió del bastion.

Cómo verificar que funcionó

1. Escriba algo identificable en la sesión y desconéctese.

2. Abra Auditoría › Sesiones y confirme que existe un registro con protocolo SSH, la cuenta que usó y su estación como dirección de origen.

3. Abra la pestaña Comandos de la sesión, o Auditoría › Comandos, y confirme que el comando que escribió está listado. Esta es la comprobación que prueba que la sesión fue realmente intermediada: una conexión que llegó directa al activo no deja registro de comandos.

4. Confirme que se ofrece Replay en la sesión terminada. Consulte Grabaciones de sesión.

Si lo que cambió fue el acceso por cliente nativo, verifíquelo desde el lado del usuario: el diálogo Conectar ya no debe ofrecer el método de cliente para ningún activo.

Errores comunes

Síntoma	Causa	Solución
Conexión rechazada, o expira en el 2222	El listener SSH de la solución es inalcanzable	Pruebe telnet <pamAddress> 2222; revise el firewall del camino y que los servicios de la plataforma estén en marcha
Credenciales rechazadas	Se escribió la contraseña del activo en lugar de la de la solución	Use su contraseña en la solución; la credencial del activo se inyecta por usted
Credenciales rechazadas con la contraseña correcta	Ninguna autorización cubre a este usuario, activo y cuenta	Revise la regla: el activo, la cuenta y el protocolo SSH tienen que estar en ella
Permission denied (publickey)	Otros pueden leer el archivo de clave privada, o la clave no está registrada	chmod 400 key.pem en Linux y macOS; icacls "key.pem" /inheritance:r /grant:r "%username%:R" en Windows
El cliente rechaza la cadena de conexión	Los tramos con @ están en el orden equivocado, o falta uno	Reconstrúyala como pamUser@assetAccount@assetAddress@pamAddress y compruebe que la última @ precede a la dirección de la solución
Un usuario dado de baja en el AD sigue entrando	Su clave pública SSH sigue registrada y la autenticación por clave pública está habilitada	Deshabilite Clave pública cuando las identidades vengan del AD o de LDAP, según el aviso de más abajo
La sesión se cae estando inactiva	El tiempo de espera por inactividad la cerró	Suba Tiempo máximo de inactividad en Configuración del sistema › Seguridad › Sesiones, o acepte el comportamiento
"Session in use" al conectar	Otra sesión ya ocupa el activo	Espere, o pida a un administrador que cierre la anterior desde Auditoría › Sesiones › En línea

Si los usuarios se autentican por AD o LDAP, apague la Clave pública. Un usuario dado de baja en el directorio cuya clave pública siga registrada en la solución puede seguir abriendo sesiones SSH, pasando de largo por todo su proceso de baja. La autenticación por contraseña sigue al directorio; una clave registrada, no.

Referencia de campos

Ajustes globales de terminal, en Configuración del sistema › Componentes › Básico, bajo SSH & Terminal protocol. Se aplican a todas las sesiones SSH, Telnet y SFTP de la plataforma:

Campo	Predeterminado	Qué hace
Client connection	Habilitado	Permite conexiones desde clientes SSH nativos. Deshabilitarlo quita la opción de cliente del diálogo Conectar y fuerza cada sesión al terminal del navegador
Password	Habilitado	Permite la autenticación por contraseña contra el conector de terminal. La credencial del propio activo la inyecta la solución en cualquier caso y nunca se muestra al usuario
Public key	Habilitado	Permite la autenticación SSH por clave pública. Apáguelo cuando las identidades vengan del AD o de LDAP
Asset sorting	Name	Orden de la lista de activos que se ofrece al conectar: Name, alfabéticamente, o Address, por IP o nombre de host
Asset page size	Auto	Activos por página en esa lista. Auto la ajusta a la ventana del usuario; fije un número para inventarios muy grandes

Límites de sesión, en Configuración del sistema › Seguridad › Sesiones:

Campo	Predeterminado	Qué hace
Tiempo máximo de inactividad (minutos)	30	Desconecta una sesión inactiva durante más tiempo que este
Tiempo máximo en línea (horas)	(sin valor)	Desconecta una sesión abierta durante más tiempo que este, activa o no

El puerto en el que la solución escucha SSH pertenece a la política de puertos TCP y su valor predeterminado es 2222.

Páginas relacionadas

• Métodos de conexión: quitar el cliente nativo para un público determinado

• Transferencia de archivos: SFTP por la misma cuenta y el mismo puerto

• Inspección de comandos: bloquear comandos dentro de la sesión

• Grabación de sesión: lo que deja tras de sí una sesión SSH

• Puertos y protocolos: el puerto usado para alcanzar cada plataforma