Серийная консоль виртуальной машины
Важно
Оцените риск разрешения доступа к ВМ через серийную консоль, учитывая следующие факторы:
-
ВМ будет доступна для управления из интернета даже при отсутствии у нее внешнего IP-адреса.
При наличии необходимых прав доступа к ВМ подключиться к серийной консоли сможет пользователь, успешно аутентифицированный в консоли управления Yandex Cloud.
Доступ к серийной консоли ВМ из клиентского приложения SSH (например, Putty) или CLI также возможен путем аутентификации с помощью SSH-ключа. Поэтому необходимо защитить SSH-ключ от несанкционированного доступа, а также всегда завершать веб-сессию для снижения рисков ее перехвата.
-
Сессия работы с серийной консолью будет доступна одновременно всем пользователям, имеющим право доступа к серийной консоли. Действия одного пользователя будут видны другим пользователям, если в это время они просматривают вывод серийной консоли.
-
Незавершенная сессия работы с серийной консолью может быть использована другим пользователем.
Мы рекомендуем разрешать доступ к серийной консоли только в случае крайней необходимости, выдавать такой доступ узкому кругу доверенных лиц и использовать стойкие пароли для доступа к ВМ.
После завершения использования серийной консоли не забудьте запретить доступ к ней.
Серийная консоль позволяет получить доступ к виртуальной машине вне зависимости от состояния ее сети. Серийная консоль работает на основе интерфейса IPMI с использованием контроллера Baseboard Management Controller (BMC) облачного сервера, на котором размещена виртуальная машина.
Таким образом, вы можете использовать серийную консоль, например, для устранения неисправностей виртуальной машины или при возникновении проблем с доступом к ней по SSH или OS Login.
Чтобы управлять доступом к серийной консоли, необходима роль compute.admin или editor.
К серийной консоли виртуальных машин под управлением операционной системы Linux можно подключиться с помощью консоли управления, а также с использованием стандартного SSH-клиента или Yandex Cloud CLI. Подробнее читайте в разделе Подключиться к серийной консоли виртуальной машины с ОС Linux.
К серийной консоли виртуальных машин под управлением операционной системы Windows можно подключиться с помощью консоли управления или Yandex Cloud CLI. Подробнее читайте в разделе Подключиться к серийной консоли виртуальной машины с ОС Windows.
По умолчанию доступ к серийной консоли виртуальной машины отключен.
Последовательные порты
Важно
Работа серийной консоли зависит от настроек используемой операционной системы. Сервис Yandex Compute Cloud обеспечивает канал между пользователем и COM-портом виртуальной машины и не гарантирует стабильность работы консоли со стороны ОС.
С помощью серийной консоли вы можете подключаться к виртуальным машинам Compute Cloud через разные последовательные порты (COM-порты) — COM1, COM2, COM3 или COM4.
По умолчанию для подключения используются последовательные порты COM1 (ОС Linux) и COM2 (ОС Windows). Чтобы использовать другой порт, необходимо самостоятельно настроить его на стороне операционной системы вашей виртуальной машины.
Безопасность при использовании SSH
Примечание
Для подключения к серийной консоли виртуальной машины по SSH можно использовать только SSH-ключ, не защищенный паролем. В противном случае соединение будет разорвано после ввода пароля.
Важным моментом при удаленном доступе является защита от атак посредника (MITM-атак). Защититься от MITM-атак можно, используя шифрование между клиентом и сервером.
Установить безопасное подключение можно следующими способами:
-
Перед каждым подключением к ВМ вы можете скачивать текущий SHA256 Fingerprint (отпечаток) SSH-ключа.
При первом подключении к ВМ клиент сообщает отпечаток SSH-ключа и ожидает решения по установке соединения:
YES— установить соединение.NO— отказаться.
Убедитесь, что отпечаток по ссылке совпадает с отпечатком, полученным от клиента.
-
Перед каждым подключением к серийной консоли вы можете скачивать публичный SSH-ключ хоста (файл
serialssh-knownhosts) и использовать его при подключении.Рекомендуемые параметры запуска:
ssh \ -o ControlPath=none \ -o IdentitiesOnly=yes \ -o CheckHostIP=no \ -o StrictHostKeyChecking=yes \ -o UserKnownHostsFile=./serialssh-knownhosts \ -p 9600 \ -i ~/.ssh/<имя_закрытого_SSH-ключа> \ <идентификатор_ВМ>.<имя_пользователя>@serialssh.cloud.yandex.netСо временем публичный SSH-ключ хоста может быть изменен.
Чаще сверяйтесь с указанными файлами. Скачивайте их только по протоколу HTTPS, предварительно убедившись в достоверности сертификата сайта https://storage.yandexcloud.net. Если из-за проблем с сертификатом сайт не может обеспечить безопасное шифрование ваших данных, браузер предупредит об этом.