Включение и отключение входа по паролю по SSH
Как из панели безопасно перевести сервер на вход только по ключу или снова включить вход по паролю.
На этой странице
Кнопки «Отключить вход по паролю» и «Включить вход по паролю» находятся в карточке сервера на странице «Мои серверы» панели app.blackbox.md (app.blackbox.md/my-servers, левое меню «Инфраструктура» → «Мои серверы»). С их помощью вы выбираете, как можно входить на сервер по SSH: только по ключу или также с паролем root. С blackbox.md можно сразу перейти к карточке: «Личный кабинет» → «Заказы» → «Управление в app.blackbox.md».
Доступно: владельцу аккаунта blackbox.md, который заказал сервер, или аккаунту, которому BLACKBOX выдал права на управление сервером. В карточках с отметкой «Обслуживается» этих кнопок нет — напишите нам.
Что показывает карточка
Рядом с названием сервера стоит отметка с текущим режимом входа. Среди кнопок карточки есть та, что его переключает:
| Отметка | Что это значит | Кнопка в карточке |
|---|---|---|
| «Только ключ» | Вход по SSH с паролем отключён. Подключиться можно только с установленным ключом. | «Включить вход по паролю» |
| «Пароль + ключ» | Работают и пароль root, и установленные ключи. | «Отключить вход по паролю» |
| нет отметки | Панель не знает, как настроен SSH на сервере. | нет |
Отметка и кнопка появляются, только когда панель знает текущий режим. Если их нет, откройте «Добавить SSH-ключ» в той же карточке: когда загрузится список «Установленные ключи», панель проверит сервер и, если проверка удастся, покажет их.
Что меняется на сервере
Панель записывает на сервер настройки SSH, которыми управляет BLACKBOX, — в файл в каталоге /etc/ssh/sshd_config.d/:
| Действие | Результат |
|---|---|
| Отключение | Вход по SSH с паролем запрещён для всех пользователей, а root входит только по ключу. |
| Включение | Вход по паролю снова работает: можно подключиться как root с паролем root. Установленные ключи продолжают работать. |
Панель проверяет новые настройки, перезагружает конфигурацию SSH и сверяет применённое значение. Если какой-то шаг не удался, прежние настройки восстанавливаются и на сервере ничего не меняется. Уже открытые SSH-сессии не обрываются: новое правило действует для следующих подключений.
Пароль root при этом не удаляется. Фраза «Пароль для консоли останется рабочим» в окне подтверждения означает только это: пароль root по-прежнему задан на сервере и хранится в панели, его показывает кнопка «Показать учётные данные». По SSH он снова заработает после «Включить вход по паролю». Ни веб-консоли, ни VNC-консоли у клиентов нет.
Переход на вход только по ключу — один из пунктов статьи Защита нового сервера: чек-лист.
Как отключить вход по паролю
Внимание Перед отключением установите на сервер собственный SSH-ключ и во втором терминале убедитесь, что входите с ним. Панель не может проверить это за вас. Не закрывайте эту сессию, пока не убедитесь, что после изменения всё работает.
В карточке сервера откройте «Добавить SSH-ключ» и посмотрите список «Установленные ключи». Ваш ключ должен быть в нём: сравните начало отпечатка (
SHA256:…) с результатом команды ниже, выполненной на вашем компьютере (для RSA-ключа файл называется~/.ssh/id_rsa.pub). «Ключ управления (blackbox.md)» и другие ключи BLACKBOX вам для входа не подойдут (см. Ключи BLACKBOX на вашем сервере). Если вашего ключа нет, добавьте его: Добавление и удаление SSH-ключей на сервере.ssh-keygen -lf ~/.ssh/id_ed25519.pubВ новом терминале подключитесь только по ключу. Если появится
Permission denied, ключ не работает — дальше не продолжайте.ssh -o PreferredAuthentications=publickey root@IP_СЕРВЕРАНе закрывайте эту сессию.
В панели нажмите «Отключить вход по паролю».
Браузер попросит подтвердить: «Отключить вход по паролю по SSH на ИМЯ_СЕРВЕРА? После этого войти можно будет только с установленными SSH-ключами. Пароль для консоли останется рабочим.», где ИМЯ_СЕРВЕРА — название из карточки. Нажмите «OK».
Пока изменение применяется, кнопка неактивна. Отдельного сообщения об успехе нет: отметка сменится на «Только ключ», а кнопка — на «Включить вход по паролю».
Из нового терминала проверьте, что вход по ключу работает (команда из шага 2), а пароль не принимается. Команда ниже должна завершиться сообщением
Permission denied, не запрашивая пароль:ssh -o PubkeyAuthentication=no root@IP_СЕРВЕРАЗакройте сессию из шага 2 только после этих проверок.
Как снова включить вход по паролю
В карточке сервера нажмите «Включить вход по паролю».
Подтвердите «Снова включить вход по паролю по SSH на ИМЯ_СЕРВЕРА?» кнопкой «OK».
Отметка сменится на «Пароль + ключ», а кнопка — на «Отключить вход по паролю».
Посмотрите пароль root кнопкой «Показать учётные данные» (см. Просмотр учётных данных root) и подключитесь:
ssh root@IP_СЕРВЕРА
Если вы меняли пароль root на сервере командой passwd, панель покажет старый пароль. Создайте новый кнопкой «Сбросить пароль» (см. Сброс пароля root). Пока вход по паролю включён, сервер будут пытаться взломать подбором пароля: используйте длинный пароль и прочитайте статью Защита от подбора паролей с помощью fail2ban.
Проверка на сервере
Значение, которое SSH применяет на самом деле, показывает команда:
sshd -T | grep -i passwordauthenticationДля «Только ключ» результат — passwordauthentication no, для «Пароль + ключ» — passwordauthentication yes.
Важно Не меняйте
PasswordAuthenticationвручную в/etc/ssh/sshd_config. Настройки панели имеют приоритет, поэтому такая правка может ни на что не повлиять. Меняйте режим входа только кнопками в карточке.
Отметка показывает последнее известное панели состояние. Панель заново считывает реальную конфигурацию SSH сервера, когда вы открываете «Добавить SSH-ключ» и загружается список «Установленные ключи»; если настройку меняли прямо на сервере, отметка и кнопка исправятся. Чтобы проверить ещё раз, обновите страницу и снова откройте «Добавить SSH-ключ».
Лимиты и ошибки
Режим входа можно менять не больше 5 раз за 5 минут — для всех серверов аккаунта вместе. Учитывается каждая попытка, в том числе неудачная. Ошибки появляются в красном блоке в карточке.
| Сообщение | Что это значит | Что делать |
|---|---|---|
| «Установленный ключ не найден — сначала добавьте ключ, прежде чем отключать пароль.» | Панель не нашла на сервере ни одного установленного ключа и не отключает пароль. | Добавьте свой ключ через «Добавить SSH-ключ», проверьте вход по нему и повторите. |
| «Не удалось проверить наш ключ управления — это действие сейчас недоступно.» | Панель не может подтвердить ключ управления этого сервера и из предосторожности ничего не меняет. | Напишите нам на support@blackbox.md. |
| «Не удалось изменить вход по паролю.» | Общее сообщение. Возможные причины: больше 5 попыток за 5 минут; для этого сервера уже выполняется другое изменение (например, из другой вкладки или через AI-ассистента); сервер остановлен или панель не может к нему подключиться; новые настройки не прошли проверку, и восстановлены прежние. | Подождите 5 минут и повторите. Если сервер остановлен, сначала запустите его кнопкой «Запустить». Если ошибка повторяется, напишите нам. |
Если подключиться не получается
Пока кнопки панели работают, нажмите «Включить вход по паролю» и войдите с паролем, который показывает кнопка «Показать учётные данные». Если и так не получается, воспользуйтесь статьёй Потерян доступ к серверу (пароль или ключ).
Частые вопросы
Работают ли кнопки панели на сервере «Только ключ»? Да. Панель подключается не по паролю, а по своему ключу — в списке «Установленные ключи» он называется «Ключ управления (blackbox.md)». Не удаляйте этот ключ с сервера.
После «Сбросить пароль» на сервере «Только ключ» новый пароль не подходит для SSH. Почему? Сброс меняет только пароль root. Вход по паролю по SSH остаётся отключённым, пока вы не нажмёте «Включить вход по паролю».
Отключение касается только root или всех пользователей?
Всех. Никто больше не сможет войти по SSH с паролем, а пользователи без установленного ключа вообще не смогут подключиться по SSH.
Можно ли переключить режим через AI-ассистента? Да, с теми же проверками. См. SSH-доступ и SSH-ключи через AI-ассистента.
Можно ли выбрать «только по ключу» ещё при заказе? Да. См. SSH-ключ при заказе и серверы «только по ключу».