SSH anahtarı oluşturma ve yönetimi (ed25519, ssh-agent, authorized_keys)

Bu rehberde ne yapacağız?

SSH anahtarı ile sunucuya parola yerine kriptografik bir anahtar çiftiyle bağlanırsınız. Parola tahmin saldırılarına karşı çok daha dayanıklıdır ve otomasyon için de uygundur. Bu rehberde modern ve önerilen ed25519 algoritmasıyla anahtar oluşturacak, sunucuya ekleyecek, ssh-agent ile kullanımını kolaylaştıracak ve authorized_keys dosyasını yöneteceğiz.

Hedef kitle VPS ve sunucu yöneticileridir. İşlem yaklaşık 15-20 dakika sürer. Sonunda isteğe bağlı olarak parola ile girişi kapatmayı da anlatıyoruz; bu adım erişimi etkileyebileceği için ikinci bir oturum açık tutarak ilerleyeceğiz.

Gereksinimler

• Anahtarı oluşturacağınız bilgisayarda OpenSSH istemcisi (Linux, macOS ve güncel Windows 10/11'de yerleşik gelir)
• Bağlanacağınız sunucuda mevcut bir kullanıcı ve ilk bağlantı için parola ya da konsol erişimi
• Sunucuda root veya sudo yetkisi (parolayla girişi kapatmak için)
• Anahtarınız için güçlü bir parola (passphrase) belirlemeye hazır olmak

Adım adım SSH anahtarı oluşturma ve yönetimi

1. ed25519 anahtar çifti oluşturun

Anahtarı kendi bilgisayarınızda üretin, sunucuda değil. -a 100 parolanın anahtar türetme tur sayısını artırarak kaba kuvvet saldırılarını zorlaştırır. -C ile anahtara tanımlayıcı bir yorum ekleyebilirsiniz.

ssh-keygen -t ed25519 -a 100 -C 'ad-soyad@is-bilgisayari'

Komut dosya yolunu sorduğunda varsayılanı (~/.ssh/id_ed25519) kabul edebilirsiniz. Ardından parola belirleyin. Bu işlem iki dosya üretir: id_ed25519 özel anahtardır ve kimseyle paylaşılmaz; id_ed25519.pub ortak anahtardır ve sunuculara eklenir. Farklı projeler için ayrı anahtarlar kullanmak istiyorsanız -f ~/.ssh/proje_anahtari ile ayrı dosya adı verin.

2. Dosya izinlerini kontrol edin

OpenSSH, özel anahtarın başkaları tarafından okunabilir olmasına izin vermez. Linux ve macOS'ta izinlerin şu şekilde olduğundan emin olun.

chmod 700 ~/.ssh
chmod 600 ~/.ssh/id_ed25519
chmod 644 ~/.ssh/id_ed25519.pub
ls -l ~/.ssh

3. Ortak anahtarı sunucuya ekleyin

En kolay yol ssh-copy-id komutudur; sunucuya parola ile bir kez bağlanır ve anahtarı doğru yere ekler. kullanici ve SUNUCU_IP değerlerini kendi bilgilerinizle değiştirin.

ssh-copy-id -i ~/.ssh/id_ed25519.pub kullanici@SUNUCU_IP

ssh-copy-id yoksa (örneğin Windows PowerShell'de) ortak anahtarı elle ekleyebilirsiniz. Önce ortak anahtarı görüntüleyip kopyalayın, sonra sunucuda dosyaya ekleyin.

cat ~/.ssh/id_ed25519.pub

# Sunucuda, ilgili kullanıcı olarak
mkdir -p ~/.ssh
chmod 700 ~/.ssh
nano ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

Dosyaya her anahtarı tek satır olarak yapıştırın. Satır kırılırsa anahtar geçersiz olur.

4. Anahtarla bağlanmayı deneyin

ssh -i ~/.ssh/id_ed25519 kullanici@SUNUCU_IP

Anahtarınız için belirlediğiniz parola istenir (sunucu parolası değil). Başarıyla giriş yaptıysanız anahtar doğru çalışıyor demektir.

5. ssh-agent ile parolayı bir kez girin

Her bağlantıda parola yazmamak için ssh-agent anahtarı bellekte tutar. Linux ve macOS'ta aşağıdaki komutlar ajanı başlatır ve anahtarı ekler. Windows'ta OpenSSH Authentication Agent servisini çalıştırıp aynı ssh-add komutunu kullanabilirsiniz.

eval $(ssh-agent -s)
ssh-add ~/.ssh/id_ed25519
ssh-add -l

ssh-add -l yüklenen anahtarların parmak izlerini listeler. Ajan yönlendirmesini (agent forwarding) yalnızca güvendiğiniz sunuculara açın; ele geçirilmiş bir sunucu ajanınızı kullanabilir. Ajanı kapatmak için ssh-agent -k kullanılır.

6. İstemci yapılandırma dosyası ile kısaltma tanımlayın

Birden çok sunucunuz varsa ~/.ssh/config dosyasıyla kısa adlar tanımlayabilirsiniz. Böylece her seferinde IP, kullanıcı ve anahtar yazmanız gerekmez.

Host vps1
    HostName SUNUCU_IP
    User kullanici
    Port 22
    IdentityFile ~/.ssh/id_ed25519
    IdentitiesOnly yes

Artık yalnızca ssh vps1 yazmanız yeterli olur.

7. authorized_keys dosyasını yönetin

Bir anahtarın erişimini kaldırmak için ilgili satırı ~/.ssh/authorized_keys dosyasından silmeniz yeterlidir. Hangi satırın hangi anahtara ait olduğunu parmak izi ile eşleştirebilirsiniz.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh-keygen -lf ~/.ssh/authorized_keys

Bir anahtarı belirli bir IP adresiyle sınırlamak için satırın başına seçenek ekleyebilirsiniz. Örnek (anahtarın gerisini kısaltılmış olarak gösteriyoruz):

from="203.0.113.5",no-agent-forwarding ssh-ed25519 AAAA... ad-soyad@is-bilgisayari

Seçenek değerleri authorized_keys içinde mutlaka çift tırnakla yazılır; tek tırnak geçersizdir ve anahtar satırı reddedilir.

8. İsteğe bağlı: parola ile girişi kapatın

Anahtarla girişin çalıştığını doğruladıktan sonra parola doğrulamasını kapatmak brute-force saldırılarını büyük ölçüde keser. Uyarı: Bu adım hatalı yapılırsa sunucuya erişiminizi kaybedebilirsiniz. Mevcut oturumunuzu kapatmayın, yeni bir terminalde test edin ve konsol erişiminizin olduğundan emin olun. OpenSSH ilk eşleşen değeri kullandığı için ayarı 01- önekli bir drop-in dosyasında yapın.

sudo nano /etc/ssh/sshd_config.d/01-anahtar-girisi.conf

PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes

sudo sshd -t
sudo systemctl reload ssh      # Debian / Ubuntu
sudo systemctl reload sshd     # AlmaLinux / Rocky

Yeni bir terminal açıp anahtarla bağlanabildiğinizi doğrulayın; mevcut oturumu ancak bundan sonra kapatın. Ana yapılandırma dosyasında Include satırının bulunduğundan emin olmak için sudo sshd -T | grep -i passwordauthentication çıktısını kontrol edin; AlmaLinux/Rocky 8'de bu Include satırı yoktur, ayarı doğrudan /etc/ssh/sshd_config içinde yapın.

Doğrulama

Anahtar tabanlı girişin gerçekten kullanıldığını ayrıntılı çıktıyla görebilirsiniz.

ssh -v kullanici@SUNUCU_IP exit 2>&1 | grep -i -E 'Offering public key|Authentication succeeded'
ssh-add -l
sudo sshd -T | grep -i -E 'passwordauthentication|pubkeyauthentication'
ssh -o PubkeyAuthentication=no -o PreferredAuthentications=password kullanici@SUNUCU_IP

Beklenen sonuç: Offering public key ve Authentication succeeded (publickey) satırları. Parolayla girişi kapattıysanız passwordauthentication no görünmeli ve son komut, yani anahtarsız deneme, Permission denied (publickey) ile reddedilmelidir.

Sık karşılaşılan sorunlar

• Permission denied (publickey): Sunucuda ~/.ssh için 700, authorized_keys için 600 izni, dosya sahibinin ilgili kullanıcı olması gerekir. Ev dizininin başkaları tarafından yazılabilir olmaması da şarttır.
• Anahtar satırı geçersiz sayılıyor: Satır bölünmüş veya fazladan boşluk içeriyordur. Anahtar tek satırda olmalıdır.
• Windows'ta 'UNPROTECTED PRIVATE KEY FILE' uyarısı: Dosya izinleri geniştir. Özel anahtar dosyasının izinlerini yalnızca kendi kullanıcınıza verin.
• Yanlış anahtar sunuluyor: Ajanda çok sayıda anahtar varsa sunucu çok sayıda başarısız deneme nedeniyle reddedebilir. IdentitiesOnly yes ve IdentityFile kullanın.
• SELinux (RHEL) anahtarı okutmuyor: restorecon -R -v ~/.ssh komutuyla bağlamı düzeltin.

Güvenlik ve bakım notları

• Özel anahtarı hiçbir koşulda paylaşmayın, e-postayla göndermeyin ve depolara eklemeyin.
• Anahtarı güçlü bir parola ile koruyun; böylece bilgisayarınızın çalınması durumunda anahtar tek başına işe yaramaz.
• Çalışanlar ayrıldığında veya cihaz kaybolduğunda ilgili ortak anahtarı tüm sunuculardaki authorized_keys dosyalarından kaldırın.
• Her cihaz ve proje için ayrı anahtar kullanın; bir anahtar ele geçirilirse kapsam sınırlı kalır.
• Anahtarları periyodik olarak gözden geçirip kullanılmayanları temizleyin.
• Parola doğrulamasını kapatmadan önce fail2ban gibi bir koruma ve konsol erişimi planlayın.