Cum securizezi accesul SSH la serverul Metin2 (chei SSH, fără parolă, fără root)

Imediat ce serverul tău e pe internet, roboți din toată lumea încearcă zi și noapte să ghicească parola de SSH. Nu e ceva personal, așa funcționează internetul. Cine reușește are acces la tot: fișiere, bază de date, conturi. În această lecție înlocuiești parola cu o **cheie SSH** și închizi intrarea directă ca `root`, pas cu pas, fără să te blochezi singur afară.

Cuvinte pe care le vei întâlni

Cum funcționează o cheie, pe înțelesul tuturor

Gândește-te la un lacăt și o cheie. Lacătul (cheia publică) îl pui pe ușa serverului. Cheia (cheia privată) o ții în buzunar. Oricine poate vedea lacătul, dar doar cine are cheia îl deschide. Spre deosebire de o parolă, cheia nu poate fi ghicită încercând combinații.

Înainte să începi: regulile de siguranță

Aceasta e lecția în care te poți bloca cel mai ușor afară. Respectă ordinea:

1. Află cum intri în consola de urgență a firmei de hosting (de obicei „Console”, „VNC” sau „KVM” în panou). Încearc-o acum, înainte să schimbi ceva.
2. Păstrează o fereastră SSH deschisă tot timpul. Nu o închide până nu ai testat, dintr-o fereastră nouă, că intri.
3. Schimbă un singur lucru o dată și testează după fiecare.

Pasul 1: Creează un utilizator obișnuit (dacă intri ca root)

Dacă firma ți-a dat doar root, fă-ți un utilizator al tău. Pe FreeBSD, logat ca root:

adduser

Programul te întreabă pe rând: numele (de exemplu adminmetin), parola și altele. La întrebarea despre grupuri suplimentare („invite … into other groups?”) scrie wheel. Doar membrii grupului wheel au voie să devină root cu comanda su.

Dacă utilizatorul există deja, îl adaugi în wheel așa:

pw groupmod wheel -m adminmetin

Ce ar trebui să vezi: dintr-o fereastră nouă intri cu ssh adminmetin@203.0.113.10, apoi scrii su -, dai parola de root și promptul se termină cu #.

Pasul 2: Creează cheia pe calculatorul tău

Pe Windows 10 sau 11, deschide PowerShell și scrie:

ssh-keygen -t ed25519

Apasă Enter la întrebarea despre loc (păstrezi locul propus). Apoi îți cere o parolă pentru cheie (passphrase). Pune una: dacă îți fură cineva laptopul, cheia singură nu-i ajunge.

Ce ar trebui să vezi: în folderul C:\Users\<numele tău>\.ssh\ apar două fișiere: id_ed25519 (privată, nu o dai nimănui) și id_ed25519.pub (publică).

Pasul 3: Pune cheia publică pe server

Tot din PowerShell, cu datele tale:

type $env:USERPROFILE\.ssh\id_ed25519.pub | ssh adminmetin@203.0.113.10 "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

Bucată cu bucată: type citește cheia publică, iar ssh o trimite pe server. Acolo se creează folderul .ssh, cheia se adaugă la finalul fișierului authorized_keys (lista de lacăte acceptate), iar chmod pune permisiuni stricte. SSH refuză cheia dacă fișierele sunt lăsate deschise pentru alții.

Îți va cere parola de server o ultimă dată. E normal.

Pasul 4: Testează intrarea cu cheia

Deschide o fereastră nouă de PowerShell și scrie:

ssh adminmetin@203.0.113.10

Ce ar trebui să vezi: îți cere parola cheii (passphrase), nu parola serverului, și intri. Dacă îți cere tot parola serverului, cheia nu a fost acceptată. Nu trece mai departe până nu merge acest pas.

Pentru WinSCP: în fereastra de login apasă Advanced → SSH → Authentication, la „Private key file” alege fișierul id_ed25519. WinSCP îți propune să-l convertească în formatul lui (.ppk): acceptă.

Pasul 5: Închide parolele și intrarea ca root

Acum, logat ca root (cu su -), fă întâi o copie a fișierului:

cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak-2026-11-02

Deschide /etc/ssh/sshd_config (de exemplu cu WinSCP sau cu editorul ee, care e simplu: ee /etc/ssh/sshd_config). Caută rândurile de mai jos. Dacă au # în față, sunt doar comentarii: scoate #-ul și pune valoarea. Rezultatul trebuie să fie:

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes

Atenție: pe versiuni mai vechi de FreeBSD, în loc de KbdInteractiveAuthentication rândul se numește ChallengeResponseAuthentication. Folosește numele care există deja în fișierul tău.

Înainte să aplici, verifică dacă fișierul e scris corect:

sshd -t

Dacă nu afișează nimic, e în regulă. Dacă afișează o eroare, corecteaz-o sau pune înapoi copia.

Pasul 6: Aplică și testează din nou

service sshd reload

reload citește din nou regulile fără să închidă sesiunile deschise. Fereastra veche rămâne deschisă. Din altă fereastră nouă:

1. Intră cu cheia: ssh adminmetin@203.0.113.10. Trebuie să meargă.
2. Încearcă ssh root@203.0.113.10. Trebuie să fie refuzat.

Ce ar trebui să vezi: la root primești Permission denied (publickey). Abia acum poți închide fereastra veche.

Dacă te-ai blocat afară

Intră prin consola de urgență a firmei de hosting, loghează-te ca root și pune copia înapoi:

cp /etc/ssh/sshd_config.bak-2026-11-02 /etc/ssh/sshd_config
service sshd reload

Greșeli des întâlnite

• Ai oprit parolele înainte să testezi cheia. Ordinea e mereu: cheie, test, abia apoi PasswordAuthentication no.
• Ai închis singura fereastră SSH. Dacă ceva e greșit, nu mai ai cum să repari decât prin consolă.
• Ai trimis cheia privată cuiva din echipă. Fiecare om își face cheia lui; tu adaugi doar cheia lui publică în authorized_keys.
• Ai uitat de KbdInteractiveAuthentication. Pe FreeBSD, parola poate continua să meargă pe acolo.

Întrebări frecvente

Trebuie să schimb și portul 22?

Nu e obligatoriu. Un alt port reduce zgomotul din jurnale, dar nu înlocuiește cheile. Dacă îl schimbi, actualizează și firewall-ul înainte.

Ce fac dacă îmi pierd laptopul cu cheia?

Intri de pe alt calculator cu o cheie de rezervă (îți faci două de la început) sau prin consola firmei și ștergi rândul cheii vechi din authorized_keys.

Echipa mea are nevoie de acces la fișiere. Le dau parola mea?

Nu. Fiecare primește utilizatorul lui și cheia lui. Când pleacă cineva, îi ștergi cheia, fără să schimbi nimic pentru ceilalți.

Ce urmează

SSH e una dintre ușile serverului. Restul porturilor le controlezi cu firewall-ul, fără să blochezi jucătorii. Dacă ești la început cu SSH, recitește conectarea prin SSH și WinSCP. Toate lecțiile sunt în lista tutorialelor Metin2.