Dans un environnement domotique ou serveur maison, on passe tr\u00e8s souvent par la console pour administrer ses machines : Home Assistant, Proxmox, TrueNAS, LXC, mini-PC, NAS, Raspberry Pi, etc.<\/p>\n\n\n\n
Le protocole SSH<\/strong> permet de se connecter \u00e0 distance \u00e0 une machine Linux depuis un autre ordinateur, simplement depuis un terminal.<\/p>\n\n\n\n Dans cet article, on va voir deux m\u00e9thodes :<\/p>\n\n\n\n L\u2019exemple utilis\u00e9 ici :<\/p>\n\n\n\n La m\u00e9thode la plus simple consiste \u00e0 se connecter avec un utilisateur et son mot de passe.<\/p>\n\n\n\n Depuis le PC local, on ouvre un terminal puis on tape :<\/p>\n\n\n\n Par exemple, pour se connecter en Ou avec un utilisateur classique :<\/p>\n\n\n\n Au premier acc\u00e8s, SSH affiche souvent un message de ce type :<\/p>\n\n\n\n On r\u00e9pond :<\/p>\n\n\n\n Puis on saisit le mot de passe de l\u2019utilisateur distant.<\/p>\n\n\n\n Si tout est correct, on arrive sur la console de la machine distante :<\/p>\n\n\n\n ou :<\/p>\n\n\n\n R\u00e9ponse possible :<\/p>\n\n\n\n Apr\u00e8s saisie du mot de passe, la session SSH est ouverte.<\/p>\n\n\n\n Si la connexion \u00e9choue, il faut v\u00e9rifier que le service SSH est bien lanc\u00e9 sur la machine distante.<\/p>\n\n\n\n Sur une machine Debian \/ Ubuntu \/ Proxmox \/ LXC :<\/p>\n\n\n\n ou selon les distributions :<\/p>\n\n\n\n Pour l\u2019activer au d\u00e9marrage :<\/p>\n\n\n\n Pour le d\u00e9marrer imm\u00e9diatement :<\/p>\n\n\n\n Sur TrueNAS, cela se r\u00e8gle depuis l\u2019interface Web :<\/p>\n\n\n\n Si on veut autoriser temporairement la connexion en La m\u00e9thode la plus propre consiste \u00e0 utiliser une cl\u00e9 SSH<\/strong>.<\/p>\n\n\n\n Au lieu de saisir un mot de passe \u00e0 chaque connexion, le PC local s\u2019authentifie avec une paire de cl\u00e9s :<\/p>\n\n\n\n La cl\u00e9 priv\u00e9e ne doit jamais \u00eatre copi\u00e9e sur un serveur.<\/p>\n\n\n\n Depuis le PC bureau, on cr\u00e9e une cl\u00e9 SSH :<\/p>\n\n\n\n Explication :<\/p>\n\n\n\n SSH demande ensuite :<\/p>\n\n\n\n Deux possibilit\u00e9s :<\/p>\n\n\n\n Dans un r\u00e9seau local personnel, pour de l\u2019administration simple, on laisse souvent vide.<\/p>\n\n\n\n Apr\u00e8s cr\u00e9ation, on obtient deux fichiers :<\/p>\n\n\n\n On peut v\u00e9rifier :<\/p>\n\n\n\n Pour autoriser le PC local \u00e0 se connecter, on copie la cl\u00e9 publique sur la machine distante avec Exemple vers TrueNAS ou un serveur en Ou vers un utilisateur classique :<\/p>\n\n\n\n Le mot de passe est demand\u00e9 une derni\u00e8re fois.<\/p>\n\n\n\n Ensuite, la cl\u00e9 publique est ajout\u00e9e dans :<\/p>\n\n\n\n sur la machine distante.<\/p>\n\n\n\n Depuis le PC local :<\/p>\n\n\n\n Si tout est bon, la connexion se fait directement, sans demander le mot de passe du compte distant.<\/p>\n\n\n\n Pour \u00e9viter de retaper l\u2019adresse IP, l\u2019utilisateur, le port et la cl\u00e9 \u00e0 chaque fois, on peut cr\u00e9er un alias SSH.<\/p>\n\n\n\n Sur le PC local :<\/p>\n\n\n\n On ajoute par exemple :<\/p>\n\n\n\n On enregistre, puis on prot\u00e8ge le fichier :<\/p>\n\n\n\n Ensuite, la connexion devient tr\u00e8s simple :<\/p>\n\n\n\n Au lieu de :<\/p>\n\n\n\n On peut d\u00e9clarer plusieurs h\u00f4tes dans le m\u00eame fichier Exemple :<\/p>\n\n\n\n On peut ensuite se connecter simplement avec :<\/p>\n\n\n\n SSH est assez strict sur les permissions des fichiers.<\/p>\n\n\n\n Sur le PC bureau :<\/p>\n\n\n\n Si les permissions sont trop ouvertes, SSH peut refuser d\u2019utiliser la cl\u00e9.<\/p>\n\n\n\n Si une machine est remplac\u00e9e mais garde la m\u00eame IP, SSH peut afficher un avertissement :<\/p>\n\n\n\n C\u2019est normal si, par exemple, on remplace un ancien NAS Pour supprimer l\u2019ancienne empreinte :<\/p>\n\n\n\n Et si on utilise un alias :<\/p>\n\n\n\n Puis on se reconnecte :<\/p>\n\n\n\n SSH demandera \u00e0 nouveau de valider la nouvelle empreinte :<\/p>\n\n\n\n On r\u00e9pond :<\/p>\n\n\n\n Une fois que la connexion par cl\u00e9 fonctionne, on peut renforcer la s\u00e9curit\u00e9 en d\u00e9sactivant l\u2019authentification par mot de passe.<\/p>\n\n\n\n Sur une machine Debian \/ Ubuntu \/ Proxmox \/ LXC, \u00e9diter :<\/p>\n\n\n\n Chercher ou ajouter :<\/p>\n\n\n\n Puis red\u00e9marrer SSH :<\/p>\n\n\n\n Attention : avant de faire cela, il faut imp\u00e9rativement v\u00e9rifier que la connexion par cl\u00e9 fonctionne dans un autre terminal.<\/p>\n\n\n\n Test :<\/p>\n\n\n\n Si \u00e7a marche, on peut d\u00e9sactiver le mot de passe.<\/p>\n\n\n\n Sur un serveur personnel, on utilise souvent Dans Valeurs possibles courantes :<\/p>\n\n\n\n Autorise root avec mot de passe ou cl\u00e9.<\/p>\n\n\n\n Autorise root uniquement avec cl\u00e9 SSH, pas avec mot de passe.<\/p>\n\n\n\n Interdit totalement la connexion SSH directe en root.<\/p>\n\n\n\n Pour un usage maison, un bon compromis est :<\/p>\n\n\n\n Ainsi, root peut se connecter uniquement avec une cl\u00e9 SSH.<\/p>\n\n\n\n La connexion SSH avec mot de passe est simple pour d\u00e9marrer :<\/p>\n\n\n\n Mais pour une administration r\u00e9guli\u00e8re, la connexion par cl\u00e9 SSH est plus pratique :<\/p>\n\n\n\n Avec un alias dans C\u2019est la m\u00e9thode id\u00e9ale pour administrer proprement ses machines depuis un PC bureau : Proxmox, Home Assistant, TrueNAS, LXC, mini-PC ou NAS maiso<\/p>\n","protected":false},"excerpt":{"rendered":" Intro: Dans un environnement domotique ou serveur maison, on passe tr\u00e8s souvent par la console pour administrer ses machines : Home Assistant, Proxmox, TrueNAS, LXC, mini-PC, NAS, Raspberry Pi, etc. … <\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[98],"tags":[],"class_list":["post-4382","post","type-post","status-publish","format-standard","hentry","category-linux"],"_links":{"self":[{"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/posts\/4382","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/comments?post=4382"}],"version-history":[{"count":3,"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/posts\/4382\/revisions"}],"predecessor-version":[{"id":4385,"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/posts\/4382\/revisions\/4385"}],"wp:attachment":[{"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/media?parent=4382"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/categories?post=4382"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/tags?post=4382"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}1. Connexion SSH avec mot de passe
2. Connexion SSH sans mot de passe avec une cl\u00e9 SSH<\/code><\/pre>\n\n\n\nPC local : pc-bureau
Machine distante : NAS \/ serveur \/ LXC
IP distante : 192.168.0.230
Utilisateur : root ou remy<\/code><\/pre>\n\n\n\n
\n\n\n\nConnexion SSH avec mot de passe<\/h1>\n\n\n\n
Principe<\/h2>\n\n\n\n
ssh utilisateur@adresse_ip<\/code><\/pre>\n\n\n\nroot<\/code> \u00e0 une machine dont l\u2019adresse IP est 192.168.0.230<\/code> :<\/p>\n\n\n\nssh root@192.168.0.230<\/code><\/pre>\n\n\n\nssh remy@192.168.0.230<\/code><\/pre>\n\n\n\nThe authenticity of host '192.168.0.230' can't be established.
Are you sure you want to continue connecting (yes\/no\/[fingerprint])?<\/code><\/pre>\n\n\n\nyes<\/code><\/pre>\n\n\n\nroot@truenas230[~]#<\/code><\/pre>\n\n\n\nremy@serveur:~$<\/code><\/pre>\n\n\n\nExemple complet<\/h2>\n\n\n\n
ssh root@192.168.0.230<\/code><\/pre>\n\n\n\nThe authenticity of host '192.168.0.230' can't be established.
Are you sure you want to continue connecting (yes\/no\/[fingerprint])? yes
root@192.168.0.230's password:<\/code><\/pre>\n\n\n\n
\n\n\n\nV\u00e9rifier que le service SSH est actif sur la machine distante<\/h1>\n\n\n\n
systemctl status ssh<\/code><\/pre>\n\n\n\nsystemctl status sshd<\/code><\/pre>\n\n\n\nsystemctl enable ssh<\/code><\/pre>\n\n\n\nsystemctl start ssh<\/code><\/pre>\n\n\n\nSystem Settings
\u2192 Services
\u2192 SSH
\u2192 Start
\u2192 Start Automatically<\/code><\/pre>\n\n\n\nroot<\/code>, il faut aussi activer l\u2019option correspondante dans les param\u00e8tres SSH.<\/p>\n\n\n\n
\n\n\n\nConnexion SSH sans mot de passe avec une cl\u00e9 SSH<\/h1>\n\n\n\n
Principe<\/h2>\n\n\n\n
cl\u00e9 priv\u00e9e : reste sur le PC local
cl\u00e9 publique : copi\u00e9e sur la machine distante<\/code><\/pre>\n\n\n\n
\n\n\n\nCr\u00e9er une cl\u00e9 SSH sur le PC local<\/h1>\n\n\n\n
ssh-keygen -t ed25519 -f ~\/.ssh\/ha_homeassistant -C \"pc-bureau\"<\/code><\/pre>\n\n\n\n-t ed25519 type de cl\u00e9 moderne
-f ~\/.ssh\/ha_homeassistant nom du fichier de cl\u00e9
-C \"pc-bureau\" commentaire pour identifier la cl\u00e9<\/code><\/pre>\n\n\n\nEnter passphrase:<\/code><\/pre>\n\n\n\n- laisser vide : connexion automatique sans mot de passe
- mettre une passphrase : plus s\u00e9curis\u00e9, mais il faudra la saisir ou utiliser ssh-agent<\/code><\/pre>\n\n\n\n~\/.ssh\/ha_homeassistant cl\u00e9 priv\u00e9e
~\/.ssh\/ha_homeassistant.pub cl\u00e9 publique<\/code><\/pre>\n\n\n\nls -l ~\/.ssh\/ha_homeassistant*<\/code><\/pre>\n\n\n\n
\n\n\n\nCopier la cl\u00e9 publique sur la machine distante<\/h1>\n\n\n\n
ssh-copy-id<\/code>.<\/p>\n\n\n\nroot<\/code> :<\/p>\n\n\n\nssh-copy-id -i ~\/.ssh\/ha_homeassistant.pub root@192.168.0.230<\/code><\/pre>\n\n\n\nssh-copy-id -i ~\/.ssh\/ha_homeassistant.pub remy@192.168.0.230<\/code><\/pre>\n\n\n\n~\/.ssh\/authorized_keys<\/code><\/pre>\n\n\n\n
\n\n\n\nTester la connexion sans mot de passe<\/h1>\n\n\n\n
ssh -i ~\/.ssh\/ha_homeassistant root@192.168.0.230<\/code><\/pre>\n\n\n\n
\n\n\n\nSimplifier la connexion avec le fichier ~\/.ssh\/config<\/h1>\n\n\n\n
nano ~\/.ssh\/config<\/code><\/pre>\n\n\n\nHost tn230
HostName 192.168.0.230
User root
Port 22
IdentityFile ~\/.ssh\/ha_homeassistant
IdentitiesOnly yes<\/code><\/pre>\n\n\n\nchmod 600 ~\/.ssh\/config<\/code><\/pre>\n\n\n\nssh tn230<\/code><\/pre>\n\n\n\nssh -i ~\/.ssh\/ha_homeassistant root@192.168.0.230<\/code><\/pre>\n\n\n\n
\n\n\n\nExemple avec plusieurs machines<\/h1>\n\n\n\n
~\/.ssh\/config<\/code>.<\/p>\n\n\n\nHost ha
HostName 192.168.0.200
User root
Port 22
IdentityFile ~\/.ssh\/ha_homeassistant
IdentitiesOnly yes
Host pve
HostName 192.168.0.201
User root
Port 22
IdentityFile ~\/.ssh\/ha_homeassistant
IdentitiesOnly yes
Host tn230
HostName 192.168.0.230
User root
Port 22
IdentityFile ~\/.ssh\/ha_homeassistant
IdentitiesOnly yes
Host tn240
HostName 192.168.0.240
User root
Port 22
IdentityFile ~\/.ssh\/ha_homeassistant
IdentitiesOnly yes<\/code><\/pre>\n\n\n\nssh ha
ssh pve
ssh tn230
ssh tn240<\/code><\/pre>\n\n\n\n
\n\n\n\nPermissions recommand\u00e9es c\u00f4t\u00e9 PC local<\/h1>\n\n\n\n
chmod 700 ~\/.ssh
chmod 600 ~\/.ssh\/config
chmod 600 ~\/.ssh\/ha_homeassistant
chmod 644 ~\/.ssh\/ha_homeassistant.pub<\/code><\/pre>\n\n\n\n
\n\n\n\nSupprimer l\u2019avertissement en cas de changement de machine<\/h1>\n\n\n\n
WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!<\/code><\/pre>\n\n\n\n192.168.0.230<\/code> par un nouveau NAS avec la m\u00eame IP.<\/p>\n\n\n\nssh-keygen -R 192.168.0.230<\/code><\/pre>\n\n\n\nssh-keygen -R tn230<\/code><\/pre>\n\n\n\nssh tn230<\/code><\/pre>\n\n\n\nAre you sure you want to continue connecting?<\/code><\/pre>\n\n\n\nyes<\/code><\/pre>\n\n\n\n
\n\n\n\nD\u00e9sactiver la connexion par mot de passe<\/h1>\n\n\n\n
nano \/etc\/ssh\/sshd_config<\/code><\/pre>\n\n\n\nPasswordAuthentication no
PubkeyAuthentication yes<\/code><\/pre>\n\n\n\nsystemctl restart ssh<\/code><\/pre>\n\n\n\nssh tn230<\/code><\/pre>\n\n\n\n
\n\n\n\nAutoriser ou non la connexion root<\/h1>\n\n\n\n
root<\/code> pour les machines d\u2019administration comme Proxmox ou TrueNAS. Mais ce n\u2019est pas toujours id\u00e9al.<\/p>\n\n\n\n\/etc\/ssh\/sshd_config<\/code>, l\u2019option importante est :<\/p>\n\n\n\nPermitRootLogin<\/code><\/pre>\n\n\n\nPermitRootLogin yes<\/code><\/pre>\n\n\n\nPermitRootLogin prohibit-password<\/code><\/pre>\n\n\n\nPermitRootLogin no<\/code><\/pre>\n\n\n\nPermitRootLogin prohibit-password
PasswordAuthentication no
PubkeyAuthentication yes<\/code><\/pre>\n\n\n\n
\n\n\n\nCommandes utiles<\/h1>\n\n\n\n
Connexion simple<\/h2>\n\n\n\n
ssh root@192.168.0.230<\/code><\/pre>\n\n\n\nConnexion avec une cl\u00e9 pr\u00e9cise<\/h2>\n\n\n\n
ssh -i ~\/.ssh\/ha_homeassistant root@192.168.0.230<\/code><\/pre>\n\n\n\nConnexion avec alias<\/h2>\n\n\n\n
ssh tn230<\/code><\/pre>\n\n\n\nCopier une cl\u00e9 publique<\/h2>\n\n\n\n
ssh-copy-id -i ~\/.ssh\/ha_homeassistant.pub root@192.168.0.230<\/code><\/pre>\n\n\n\nSupprimer une ancienne empreinte SSH<\/h2>\n\n\n\n
ssh-keygen -R 192.168.0.230<\/code><\/pre>\n\n\n\nV\u00e9rifier le service SSH<\/h2>\n\n\n\n
systemctl status ssh<\/code><\/pre>\n\n\n\nRed\u00e9marrer SSH<\/h2>\n\n\n\n
systemctl restart ssh<\/code><\/pre>\n\n\n\n
\n\n\n\nR\u00e9sum\u00e9<\/h1>\n\n\n\n
ssh root@192.168.0.230<\/code><\/pre>\n\n\n\nssh-keygen -t ed25519 -f ~\/.ssh\/ha_homeassistant
ssh-copy-id -i ~\/.ssh\/ha_homeassistant.pub root@192.168.0.230
ssh root@192.168.0.230<\/code><\/pre>\n\n\n\n~\/.ssh\/config<\/code>, la connexion devient encore plus simple :<\/p>\n\n\n\nssh tn230<\/code><\/pre>\n\n\n\n