ssh-keygen -t ed25519 -C "work@mycompany.com"

Generating public/private ed25519 key pair.
Enter file in which to save the key (/home/alice/.ssh/id_ed25519):
Enter passphrase (empty for no passphrase): ****
Enter same passphrase again: ****
Your identification has been saved in /home/alice/.ssh/id_ed25519
Your public key has been saved in /home/alice/.ssh/id_ed25519.pub
The key fingerprint is:
SHA256:abc123XYZqwerty789mnopABCDEF456uvwxyz01234 work@mycompany.com
The key's randomart image is:
+--[ED25519 256]--+
|        .o+oo.   |
|       . o=oE    |
|      . +.=+ .   |
|       o *=o+    |
|      . S+==     |
|       o.=+.     |
|      . oo+      |
|       ..*       |
|       .o        |
+----[SHA256]-----+

ssh-keygen -t rsa -b 4096 -C "legacy-server@mycompany.com" -f ~/.ssh/id_rsa_legacy

ls -la ~/.ssh/

total 24
drwx------. 2 alice alice  80 Mar 26 09:00 .
drwx------. 7 alice alice 200 Mar 26 09:00 ..
-rw-------. 1 alice alice 399 Mar 26 09:00 id_ed25519
-rw-r--r--. 1 alice alice  94 Mar 26 09:00 id_ed25519.pub
-rw-------. 1 alice alice 3243 Mar 25 14:23 id_rsa_legacy
-rw-r--r--. 1 alice alice  742 Mar 25 14:23 id_rsa_legacy.pub

cat ~/.ssh/id_ed25519.pub

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIBk7qX2mN9pLvkRdWqZxMnOpQrStUvWxYz0123456789ab work@mycompany.com

# 기본 포트(22)인 경우
ssh-copy-id alice@192.168.10.50

# 포트가 다른 경우
ssh-copy-id -p 2222 alice@192.168.10.50

# 특정 키 파일 지정
ssh-copy-id -i ~/.ssh/id_rsa_legacy.pub alice@legacy-server.example.com

/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/home/alice/.ssh/id_ed25519.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is your password

alice@192.168.10.50's password: ****

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'alice@192.168.10.50'"
and check to make sure that only the key(s) you wanted were added.

# 한 줄로 공개키 추가
cat ~/.ssh/id_ed25519.pub | ssh alice@192.168.10.50 "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

# 서버에서 실행
mkdir -p ~/.ssh
chmod 700 ~/.ssh
vi ~/.ssh/authorized_keys
# 공개키 내용을 한 줄로 붙여넣기
chmod 600 ~/.ssh/authorized_keys

# 기본 형태
ssh-ed25519 AAAAC3Nz...ab work@mycompany.com

# 특정 IP에서만 허용
from="192.168.10.0/24" ssh-ed25519 AAAAC3Nz...ab restricted-key

# 특정 명령어만 실행 가능한 키 (배포 자동화 등)
command="/usr/local/bin/deploy.sh",no-pty,no-x11-forwarding ssh-ed25519 AAAAC3Nz...ab deploy-only

# 포트 포워딩만 허용
no-agent-forwarding,no-pty,permitopen="localhost:5432" ssh-ed25519 AAAAC3Nz...ab db-tunnel-only

# 비밀번호 없이 접속되는지 확인
ssh -i ~/.ssh/id_ed25519 alice@192.168.10.50

# 접속 성공 시
Last login: Wed Mar 25 18:42:11 2026 from 192.168.1.5
[alice@web-server-01 ~]$

# 파일 생성 또는 편집
vi ~/.ssh/config
chmod 600 ~/.ssh/config

# ~/.ssh/config

# 전역 기본값 (모든 Host에 적용)
Host *
    ServerAliveInterval 60
    ServerAliveCountMax 3
    AddKeysToAgent yes
    IdentitiesOnly yes

# 개발 서버
Host dev
    HostName 192.168.10.10
    User alice
    Port 22
    IdentityFile ~/.ssh/id_ed25519

# 스테이징 서버 (비표준 포트)
Host staging
    HostName staging.mycompany.com
    User deploy
    Port 2222
    IdentityFile ~/.ssh/id_ed25519
    ForwardAgent yes

# 프로덕션 DB 서버 (Bastion 경유)
Host prod-db
    HostName 10.0.1.20
    User dbadmin
    Port 22
    IdentityFile ~/.ssh/id_rsa_legacy
    ProxyJump bastion

# Bastion 호스트 (점프 서버)
Host bastion
    HostName bastion.mycompany.com
    User alice
    Port 22
    IdentityFile ~/.ssh/id_ed25519

# 레거시 서버 (구버전 SSH 서버 호환)
Host legacy-server
    HostName 10.0.2.100
    User admin
    Port 22
    IdentityFile ~/.ssh/id_rsa_legacy
    PubkeyAcceptedAlgorithms +ssh-rsa
    HostKeyAlgorithms +ssh-rsa

# 와일드카드로 그룹 설정
Host *.internal.mycompany.com
    User alice
    IdentityFile ~/.ssh/id_ed25519
    StrictHostKeyChecking accept-new

# 이전
ssh -p 2222 -i ~/.ssh/id_ed25519 deploy@staging.mycompany.com

# 이후
ssh staging

# scp, rsync도 동일한 별칭 사용 가능
scp ./app.tar.gz staging:/var/www/releases/
rsync -av ./dist/ prod-db:/backup/

# 문법: ssh -L [로컬포트]:[목적지호스트]:[목적지포트] [SSH서버]
# 로컬 15432 → bastion → 내부 PostgreSQL 10.0.1.20:5432
ssh -L 15432:10.0.1.20:5432 alice@bastion.mycompany.com -N -f

# -N : 원격 명령 실행 없이 포워딩만 유지
# -f : 백그라운드로 실행

# 이제 로컬에서 내부 DB에 직접 접속 가능
psql -h localhost -p 15432 -U dbuser -d production

# 터널이 열렸는지 확인
ss -tlnp | grep 15432

LISTEN 0 128 127.0.0.1:15432 0.0.0.0:* users:(("ssh",pid=12345,fd=6))

Host prod-db-tunnel
    HostName bastion.mycompany.com
    User alice
    IdentityFile ~/.ssh/id_ed25519
    LocalForward 15432 10.0.1.20:5432
    LocalForward 16379 10.0.1.30:6379
    ServerAliveInterval 30

# 이제 한 명령으로 모든 터널 오픈
ssh -N -f prod-db-tunnel

# 문법: ssh -R [원격포트]:[로컬호스트]:[로컬포트] [SSH서버]
# 원격 서버의 9090 포트 → 내 로컬 개발서버 3000
ssh -R 9090:localhost:3000 alice@jump.mycompany.com -N -f

# 이제 외부에서 http://jump.mycompany.com:9090 으로 내 개발 서버 접근 가능
# (서버의 GatewayPorts yes 설정 필요할 수 있음)

# 문법: ssh -D [로컬포트] [SSH서버]
ssh -D 1080 alice@jump.mycompany.com -N -f

# curl에서 SOCKS5 프록시 사용
curl --socks5 localhost:1080 http://internal-service.company.local/

# 브라우저 설정: SOCKS5 프록시 → localhost:1080

# 백그라운드 SSH 터널 프로세스 확인 및 종료
ps aux | grep 'ssh -[NfL]'
kill 12345

# 또는 Control Master로 깔끔하게 관리
ssh -O exit prod-db-tunnel

# scp: 단순 파일 복사
# 로컬 → 원격
scp ./config.yaml alice@dev:/etc/myapp/config.yaml

# 원격 → 로컬
scp alice@dev:/var/log/app.log ./logs/

# 디렉토리 복사 (-r)
scp -r ./dist/ alice@staging:/var/www/html/

# 비표준 포트
scp -P 2222 ./deploy.sh alice@prod-server:/tmp/

# rsync: 증분 동기화 (대용량 파일, 디렉토리 배포에 권장)
# -a: archive mode (권한, 타임스탬프, 심볼릭링크 유지)
# -v: verbose, -z: 압축, --delete: 원본에 없는 파일 삭제
rsync -avz --delete ./dist/ alice@staging:/var/www/html/

# ~/.ssh/config 별칭 사용
rsync -avz --progress ./app.tar.gz prod-db:/backup/releases/

# dry-run으로 먼저 확인
rsync -avzn --delete ./dist/ alice@staging:/var/www/html/

sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%Y%m%d)

sudo vi /etc/ssh/sshd_config

# /etc/ssh/sshd_config — 보안 하드닝 설정

# ── 포트 변경 ──────────────────────────────────────────
# 기본 22에서 비표준 포트로 변경 (자동 스캔 봇 회피)
# 변경 전 방화벽에 새 포트 오픈 필수!
Port 2222

# ── 인증 방식 제한 ──────────────────────────────────────
# 키 기반 인증 활성화
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 비밀번호 인증 완전 차단 (키 배포 확인 후 설정)
PasswordAuthentication no
ChallengeResponseAuthentication no
KbdInteractiveAuthentication no

# 빈 비밀번호 계정 로그인 금지
PermitEmptyPasswords no

# ── Root 로그인 제한 ────────────────────────────────────
# no: 완전 차단 (권장)
# prohibit-password: 키 인증만 허용
# forced-commands-only: 특정 명령어만 허용
PermitRootLogin no

# ── 접근 허용/차단 계정 ──────────────────────────────────
# 허용할 사용자 (공백으로 구분, 이 목록 외 모두 차단)
AllowUsers alice bob deploy

# 허용할 그룹 (AllowUsers 또는 AllowGroups 중 하나 사용)
# AllowGroups sshusers ops

# 명시적 차단 (AllowUsers보다 우선 적용 안 됨 — 중복 사용 주의)
DenyUsers oracle postgres

# ── 인증 시도 제한 ──────────────────────────────────────
# 인증 실패 최대 횟수 (초과 시 연결 끊김)
MaxAuthTries 3

# 동시 미완료 연결 수 제한
MaxStartups 10:30:60

# 인증 대기 시간 제한 (초)
LoginGraceTime 30

# ── 기타 보안 설정 ──────────────────────────────────────
# X11 포워딩 비활성화 (필요 없는 경우)
X11Forwarding no

# TCP keepalive 비활성화 (스푸핑 가능성)
TCPKeepAlive no

# SSH 프로토콜 버전 (현재 모든 배포판에서 2만 지원)
Protocol 2

# 허용할 암호화 알고리즘 (구버전 제거)
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com
KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org

# 세션 유지 (서버 측 keepalive)
ClientAliveInterval 300
ClientAliveCountMax 2

# SFTP 서브시스템 (필요 없으면 주석 처리)
Subsystem sftp /usr/lib/openssh/sftp-server

sudo sshd -t

# 에러가 없으면 아무 출력도 없음
# 에러가 있으면:
# /etc/ssh/sshd_config line 42: Bad configuration option: PasswordAuthenticaton

# 현재 세션 유지하면서 재시작 (기존 연결은 끊기지 않음)
sudo systemctl restart sshd

# 또는
sudo systemctl reload sshd

# 재시작 후 상태 확인
sudo systemctl status sshd

● sshd.service - OpenSSH server daemon
     Loaded: loaded (/usr/lib/systemd/system/sshd.service; enabled)
     Active: active (running) since Thu 2026-03-26 09:15:30 KST; 3s ago
    Process: 18201 ExecStartPre=/usr/sbin/sshd -t (code=exited, status=0/SUCCESS)
   Main PID: 18202 (sshd)

# firewalld 사용 환경 (RHEL/CentOS/Rocky)
sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --reload
sudo firewall-cmd --list-ports

# ufw 사용 환경 (Ubuntu/Debian)
sudo ufw allow 2222/tcp
sudo ufw status

# iptables 직접 제어 (구버전 환경)
sudo iptables -A INPUT -p tcp --dport 2222 -j ACCEPT
sudo service iptables save

# SELinux를 사용하는 경우 새 포트를 ssh_port_t로 레이블 지정
sudo semanage port -a -t ssh_port_t -p tcp 2222

# 적용 확인
sudo semanage port -l | grep ssh

ssh_port_t                     tcp      2222, 22

# RHEL/CentOS/Rocky Linux
sudo dnf install -y epel-release
sudo dnf install -y fail2ban

# Ubuntu/Debian
sudo apt install -y fail2ban

# 서비스 활성화
sudo systemctl enable --now fail2ban

# 기본 설정은 /etc/fail2ban/jail.conf
# 사용자 설정은 /etc/fail2ban/jail.local (jail.conf를 덮어씀)
sudo vi /etc/fail2ban/jail.local

[DEFAULT]
# 차단 지속 시간 (초 또는 시간:분:초)
bantime  = 1h

# 이 시간 내에 maxretry번 실패하면 차단
findtime = 10m

# 최대 실패 횟수
maxretry = 5

# 차단에서 제외할 IP (절대로 차단되면 안 되는 IP)
ignoreip = 127.0.0.1/8 ::1 192.168.0.0/24 203.0.113.10

# 이메일 알림 (sendmail 설정 필요)
# destemail = admin@mycompany.com
# action = %(action_mwl)s

[sshd]
enabled  = true
port     = 2222
# 포트를 변경한 경우 반드시 명시
filter   = sshd
logpath  = /var/log/secure
# Ubuntu/Debian의 경우: /var/log/auth.log
backend  = systemd
maxretry = 3
bantime  = 24h
findtime = 5m

sudo systemctl restart fail2ban
sudo systemctl status fail2ban

# 전체 jail 상태 확인
sudo fail2ban-client status

Status
|- Number of jail:      1
`- Jail list:   sshd

# SSH jail 상세 상태
sudo fail2ban-client status sshd

Status for the jail: sshd
|- Filter
|  |- Currently failed: 2
|  |- Total failed:     47
|  `- File list:        /var/log/secure
`- Actions
   |- Currently banned: 1
   |- Total banned:     3
   `- Banned IP list:   203.0.113.55

# 특정 IP 수동 차단
sudo fail2ban-client set sshd banip 203.0.113.55

# 특정 IP 차단 해제 (실수로 자신의 IP가 차단된 경우)
sudo fail2ban-client set sshd unbanip 203.0.113.55

# 차단된 IP 목록 확인
sudo fail2ban-client get sshd banned

# 로그 실시간 모니터링
sudo tail -f /var/log/fail2ban.log

2026-03-26 09:23:41,102 fail2ban.filter [sshd] Found 203.0.113.55 - 2026-03-26 09:23:41
2026-03-26 09:23:53,445 fail2ban.filter [sshd] Found 203.0.113.55 - 2026-03-26 09:23:53
2026-03-26 09:24:01,892 fail2ban.filter [sshd] Found 203.0.113.55 - 2026-03-26 09:24:01
2026-03-26 09:24:01,930 fail2ban.actions [sshd] Ban 203.0.113.55

# iptables 기반 차단 규칙 확인
sudo iptables -L f2b-sshd -n --line-numbers

Chain f2b-sshd (1 references)
num  target     prot opt source               destination
1    REJECT     all  --  203.0.113.55         0.0.0.0/0   reject-with icmp-port-unreachable
2    RETURN     all  --  0.0.0.0/0            0.0.0.0/0