Activarea și dezactivarea autentificării SSH cu parolă

Cum treceți serverul la autentificare doar cu cheie sau reactivați parola din panou, în siguranță.

Butoanele „Dezactivează login cu parolă” și „Activează login cu parolă” se află pe cardul serverului, pe pagina „Serverele mele” a panoului app.blackbox.md (app.blackbox.md/my-servers, meniul din stânga „Infrastructură” → „Serverele mele”). Cu ele alegeți dacă serverul acceptă conexiuni SSH doar cu cheie sau și cu parola root. Din blackbox.md ajungeți direct la card prin „Contul meu” → „Comenzi” → „Gestionează în app.blackbox.md”.

Disponibil pentru: titularul contului blackbox.md care a comandat serverul sau un cont căruia BLACKBOX i-a acordat drept de administrare pentru server. Pe cardurile marcate „Administrat” butoanele nu apar; scrieți-ne.

Ce vedeți pe card

Lângă numele serverului, o insignă arată modul curent de autentificare SSH. Printre butoanele cardului apare butonul care îl schimbă:

Insigna	Ce înseamnă	Butonul de pe card
„Doar cheie”	Autentificarea SSH cu parolă este dezactivată. Vă conectați doar cu o cheie instalată.	„Activează login cu parolă”
„Parolă + cheie”	Funcționează atât parola root, cât și cheile instalate.	„Dezactivează login cu parolă”
fără insignă	Panoul nu cunoaște starea SSH a serverului.	niciunul

Insigna și butonul apar doar când panoul cunoaște starea serverului. Dacă lipsesc, deschideți „Adaugă cheie SSH” pe același card: la încărcarea listei „Chei instalate”, panoul verifică serverul și, dacă reușește, le afișează.

Ce se schimbă pe server

Panoul scrie pe server setările SSH administrate de BLACKBOX, într-un fișier din directorul /etc/ssh/sshd_config.d/:

Acțiune	Rezultat
Dezactivare	Autentificarea SSH cu parolă este oprită pentru toți utilizatorii, iar `root` se conectează doar cu cheie.
Activare	Autentificarea cu parolă funcționează din nou: vă puteți conecta ca `root` cu parola root. Cheile instalate funcționează în continuare.

Panoul verifică setările noi, reîncarcă serviciul SSH și confirmă valoarea aplicată. Dacă un pas eșuează, setările anterioare sunt restaurate și pe server nu se schimbă nimic. Sesiunile SSH deja deschise nu se întrerup: regula nouă se aplică la conexiunile următoare.

Parola root nu se șterge. Fraza „Parola de consolă rămâne funcțională” din confirmare înseamnă doar atât: parola root rămâne setată pe server și salvată în panou, unde o vedeți cu „Afișează datele de acces”. Prin SSH funcționează din nou după „Activează login cu parolă”. Clienții nu au consolă web sau VNC.

Trecerea la autentificarea doar cu cheie face parte din Securizarea unui server nou: lista de verificare.

Cum dezactivați autentificarea cu parolă

Atenție Înainte de dezactivare, instalați pe server propria dvs. cheie SSH și verificați într-un al doilea terminal că vă conectați cu ea. Panoul nu poate face această verificare în locul dvs. Păstrați acea sesiune deschisă până confirmați că totul funcționează după schimbare.

Pe cardul serverului, deschideți „Adaugă cheie SSH” și verificați lista „Chei instalate”. Cheia dvs. trebuie să fie acolo: comparați începutul amprentei (SHA256:…) cu rezultatul comenzii de mai jos, rulată pe calculatorul dvs. (pentru o cheie RSA, fișierul este ~/.ssh/id_rsa.pub). Cu „Cheie de administrare (blackbox.md)” și cu celelalte chei BLACKBOX nu vă puteți conecta dvs. (vedeți Cheile BLACKBOX de pe serverul dvs.). Dacă cheia lipsește, adăugați-o: Adăugarea și ștergerea cheilor SSH pe server.
```
ssh-keygen -lf ~/.ssh/id_ed25519.pub
```
Într-un terminal nou, conectați-vă doar cu cheia. Dacă apare Permission denied, cheia nu funcționează: nu continuați.
```
ssh -o PreferredAuthentications=publickey root@IP_SERVER
```
Lăsați această sesiune deschisă.
În panou, apăsați „Dezactivează login cu parolă”.
Browserul cere confirmarea „Dezactivați autentificarea prin parolă SSH pe NUME_SERVER? După aceasta, doar cheile SSH instalate se vor putea conecta. Parola de consolă rămâne funcțională.”, unde NUME_SERVER este numele serverului de pe card. Apăsați „OK”.
Cât timp se aplică schimbarea, butonul este inactiv. Nu apare un mesaj de succes separat: insigna devine „Doar cheie”, iar butonul se schimbă în „Activează login cu parolă”.
Verificați dintr-un terminal nou că intrați cu cheia (comanda de la pasul 2) și că parola este refuzată. Comanda de mai jos trebuie să se termine cu Permission denied, fără să vă ceară parola:
```
ssh -o PubkeyAuthentication=no root@IP_SERVER
```
Închideți sesiunea de la pasul 2 abia după aceste verificări.

Cum reactivați autentificarea cu parolă

Pe cardul serverului, apăsați „Activează login cu parolă”.
Confirmați „Reactivați autentificarea prin parolă SSH pe NUME_SERVER?” cu „OK”.
Insigna devine „Parolă + cheie”, iar butonul se schimbă în „Dezactivează login cu parolă”.
Afișați parola root cu „Afișează datele de acces” (vedeți Afișarea datelor de acces root) și conectați-vă:
```
ssh root@IP_SERVER
```

Dacă ați schimbat parola root pe server cu passwd, panoul afișează parola veche. Generați una nouă cu „Resetează parola” (vedeți Resetarea parolei root). Cât timp autentificarea cu parolă este activă, serverul va fi ținta încercărilor de ghicire a parolei: folosiți o parolă lungă și vedeți Protecție împotriva încercărilor de ghicire a parolei cu fail2ban.

Verificarea pe server

Valoarea pe care SSH o aplică efectiv se vede cu:

sshd -T | grep -i passwordauthentication

Rezultatul este passwordauthentication no pentru „Doar cheie” și passwordauthentication yes pentru „Parolă + cheie”.

Important Nu modificați manual PasswordAuthentication în /etc/ssh/sshd_config. Setările panoului au prioritate, așa că modificarea poate rămâne fără efect. Schimbați setarea doar cu butoanele de pe card.

Insigna arată ultima stare cunoscută de panou. Panoul recitește configurația SSH reală a serverului când deschideți „Adaugă cheie SSH” și se încarcă lista „Chei instalate”; dacă setarea a fost schimbată direct pe server, insigna și butonul se corectează. Pentru o nouă verificare, reîncărcați pagina și deschideți din nou „Adaugă cheie SSH”.

Limite și erori

Puteți schimba setarea de cel mult 5 ori în 5 minute, pentru toate serverele din cont la un loc. Se numără fiecare încercare, inclusiv cele nereușite. Erorile apar într-o casetă roșie pe card.

Mesaj	Ce înseamnă	Ce faceți
„Nu a fost găsită nicio cheie instalată — adăugați o cheie înainte de a dezactiva parola.”	Panoul nu a găsit nicio cheie instalată pe server și refuză dezactivarea.	Adăugați cheia dvs. cu „Adaugă cheie SSH”, testați conectarea, apoi reîncercați.
„Nu am putut verifica cheia noastră de administrare — această acțiune nu este disponibilă acum.”	Panoul nu poate confirma cheia de administrare a acestui server și, din precauție, nu schimbă nimic.	Scrieți-ne la support@blackbox.md.
„Nu s-a putut schimba autentificarea prin parolă.”	Mesaj general. Cauze posibile: ați depășit 5 încercări în 5 minute; o altă modificare este deja în curs pentru același server (de exemplu, dintr-o altă filă sau prin asistentul AI); serverul este oprit sau panoul nu se poate conecta la el; setările noi nu au trecut verificarea și au fost restaurate cele anterioare.	Așteptați 5 minute, apoi reîncercați. Dacă serverul este oprit, porniți-l mai întâi cu „Pornește”. Dacă mesajul se repetă, scrieți-ne.

Dacă nu vă mai puteți conecta

Cât timp butoanele panoului funcționează, apăsați „Activează login cu parolă” și conectați-vă cu parola afișată de „Afișează datele de acces”. Dacă nici așa nu reușiți, urmați Ați pierdut accesul la server (parolă sau cheie).

Întrebări frecvente

Butoanele panoului funcționează și pe un server „Doar cheie”? Da. Panoul nu se conectează cu parola, ci cu propria cheie, afișată în „Chei instalate” ca „Cheie de administrare (blackbox.md)”. Nu ștergeți această cheie de pe server.

Am apăsat „Resetează parola” pe un server „Doar cheie”, dar parola nouă nu merge prin SSH. De ce? Resetarea schimbă doar parola root. Autentificarea SSH cu parolă rămâne dezactivată până apăsați „Activează login cu parolă”.

Dezactivarea afectează și alți utilizatori, nu doar root? Da. Niciun utilizator nu se mai poate conecta prin SSH cu parolă, așa că utilizatorii fără cheie instalată pierd accesul prin SSH.

Pot schimba setarea prin asistentul AI? Da, cu aceleași verificări. Vedeți Acces SSH și chei SSH prin asistentul AI.

Pot alege „doar cheie” încă de la comandă? Da. Vedeți Cheia SSH la comandă și serverele „doar cu cheie”.