Proxmox: SSH ak­ti­vie­ren leicht gemacht

Das Protokoll SSH er­mög­licht es Ihnen, sich aus der Ferne per Kom­man­do­zei­le mit dem Server zu verbinden. Dies ist bei­spiels­wei­se für Ad­mi­nis­tra­ti­on, Updates oder Da­tei­über­tra­gun­gen nützlich. Diese Anleitung erklärt Ihnen Schritt für Schritt, wie Sie SSH auf einem Proxmox-Server ak­ti­vie­ren und sicher nutzen.

Schritt 1: Vor­be­rei­tun­gen treffen

Bevor Sie auf Ihrem Proxmox-Server SSH ak­ti­vie­ren, sollten Sie in einem ersten Schritt si­cher­stel­len, dass Sie die Bare-Metal-In­stal­la­ti­on von Proxmox ab­ge­schlos­sen haben. Außerdem benötigen Sie phy­si­schen oder kon­so­len­ba­sier­ten Zugriff auf den Server. Dies ist eine Si­cher­heits­maß­nah­me, denn Än­de­run­gen an SSH können den Fern­zu­griff un­ter­bre­chen. Wenn Sie sich daher aus­schließ­lich per SSH verbinden und etwas falsch kon­fi­gu­rie­ren, könnten Sie aus­ge­sperrt werden. Legen Sie sich deshalb einen „Not­fall­zu­gang“ zurecht. Notieren Sie außerdem die IP-Adresse des Servers und das Root-Passwort, bevor Sie beginnen.

Schritt 2: In­stal­la­ti­on von OpenSSH prüfen

Bevor Sie den SSH-Server auf Ihrem Proxmox-System in­stal­lie­ren, sollten Sie zunächst prüfen, ob bereits eine SSH-Server-Software vorhanden und aktiv ist. Proxmox basiert auf Debian, sodass Sie den Status dieses Dienstes einfach über­prü­fen, indem Sie im Terminal den folgenden Befehl eingeben:

sudo systemctl status ssh

Nach der Aus­füh­rung des Befehls erhalten Sie eine Ausgabe, die Ihnen Auskunft über den Ak­ti­vi­täts­sta­tus des Dienstes gibt. Wenn Sie die Meldung active (running) sehen, bedeutet das, dass der SSH-Dienst korrekt in­stal­liert ist und aktuell bereits läuft. In diesem Fall können Sie direkt mit der Kon­fi­gu­ra­ti­on oder dem Ein­rich­ten von SSH-Schlüs­seln fort­fah­ren.

Zeigt die Ausgabe hingegen inactive oder failed, dann läuft der SSH-Dienst entweder nicht oder ist nicht (korrekt) in­stal­liert. In diesem Falle machen Sie mit Schritt 3 dieser Anleitung weiter und in­stal­lie­ren den SSH-Dienst.

Schritt 3: OpenSSH in­stal­lie­ren

Wenn Sie in Schritt 2 fest­ge­stellt haben, dass auf Ihrem Proxmox-Server kein funk­tio­nie­ren­der SSH-Dienst vorhanden ist, müssen Sie OpenSSH in­stal­lie­ren. OpenSSH ist die am weitesten ver­brei­te­te Im­ple­men­tie­rung des SSH-Pro­to­kolls und auf nahezu allen Linux-Systemen Standard. Sie stellt den SSH-Daemon bereit, der es er­mög­licht, sich sicher per Remote-Ver­bin­dung mit dem Server zu verbinden.

Bevor ein Paket in­stal­liert werden kann, sollten Sie zunächst die aktuellen Pa­ket­lis­ten Ihres Systems ak­tua­li­sie­ren. Auf diese Weise sorgen Sie dafür, dass die In­stal­la­ti­on die neueste ver­füg­ba­re Version erhält und even­tu­el­le Ab­hän­gig­kei­ten korrekt aufgelöst werden. Die Befehle für die Ak­tua­li­sie­rung Ihres Systems und den Download des SSH-Dienstes lauten:

sudo apt update
sudo apt install -y openssh-server

Nach der In­stal­la­ti­on sollte der SSH-Dienst au­to­ma­tisch gestartet werden. Um si­cher­zu­stel­len, dass alles korrekt läuft, über­prü­fen Sie an­schlie­ßend den Status des Dienstes wie in Schritt 2 bereits gezeigt.

Schritt 4: Autostart ein­rich­ten

Damit Ihr SSH-Dienst bei jedem Neustart des Servers au­to­ma­tisch verfügbar ist, müssen Sie ihn für den Autostart kon­fi­gu­rie­ren. Diese Kon­fi­gu­ra­ti­on wird bei Debian-basierten Systemen wie Proxmox über systemd gesteuert. Mit dem un­ten­ste­hen­den Ter­mi­nal­be­fehl teilen Sie dem System mit, dass der Dienst künftig bei jedem Boot­vor­gang gestartet werden soll. Ergänzt mit der Option --now wird der Dienst sofort aktiviert und gestartet, sodass Sie nicht warten müssen, bis der nächste Neustart erfolgt.

sudo systemctl enable --now ssh

Schritt 5: Ver­bin­dung vom eigenen Rechner aus testen

Nachdem der SSH-Dienst auf Ihrem Proxmox-Server in­stal­liert und aktiviert wurde, sollten Sie testen, ob die Ver­bin­dung von Ihrem eigenen Rechner aus funk­tio­niert. Dazu benötigen Sie entweder ein Terminal auf Linux bzw. macOS oder WSL oder einen SSH-Client wie PuTTY, wenn Sie unter Windows arbeiten. Der grund­le­gen­de Befehl, um eine Ver­bin­dung her­zu­stel­len, lautet:

ssh root@SERVER_IP

Dabei ersetzen Sie SERVER_IP durch die tat­säch­li­che IP-Adresse oder den Hostnamen Ihres Proxmox-Servers.

Beim ersten Ver­bin­dungs­auf­bau fragt Ihr SSH-Client nach dem so­ge­nann­ten Server-Fin­ger­print. Dies ist eine Si­cher­heits­maß­nah­me, die si­cher­stellt, dass Sie wirklich mit dem richtigen Server verbunden werden und nicht mit einem möglichen Angreifer. Sie be­stä­ti­gen diese Si­cher­heits­ab­fra­ge, indem Sie „yes“ eingeben. Danach wird der Fin­ger­print in der Datei ~/.ssh/known_hosts auf Ihrem Rechner ge­spei­chert, sodass zu­künf­ti­ge Ver­bin­dun­gen au­to­ma­tisch als sicher erkannt werden.

An­schlie­ßend fordert SSH Sie auf, das Root-Passwort ein­zu­ge­ben, sofern die Pass­wort­au­then­ti­fi­zie­rung auf dem Server erlaubt ist. Sollte die Ver­bin­dung nicht zustande kommen, liefert SSH Feh­ler­mel­dun­gen wie „Con­nec­tion refused“ (kein Dienst er­reich­bar) oder „Per­mis­si­on denied“ (Zugang ver­wei­gert).

Schritt 6: SSH-Schlüssel erstellen und verwenden

Eine schlüs­sel­ba­sier­te Au­then­ti­fi­zie­rung ist sicherer und prak­ti­scher als die reine Pass­wort­an­mel­dung. Daher erzeugen wir nun ein Schlüs­sel­paar auf Ihrem lokalen Rechner mit folgendem Befehl:

ssh-keygen -t ed25519 -C "IhrName@Arbeitsplatz"

Der private Schlüssel bleibt auf Ihrem lokalen Rechner und darf niemals geteilt werden. Der öf­fent­li­che Schlüssel (*.pub) wird auf dem Server in ~/.ssh/authorized_keys ge­spei­chert. Um den öf­fent­li­chen Schlüssel auf den Server zu kopieren, nutzen Sie folgende Anweisung:

ssh-copy-id root@SERVER_IP

Schritt 7: SSH kon­fi­gu­rie­ren

Wenn der Schlüs­sel­zu­gang funk­tio­niert, sollten Sie die SSH-Kon­fi­gu­ra­ti­on anpassen, um die Si­cher­heit zu erhöhen. Öffnen Sie die Kon­fi­gu­ra­ti­ons­da­tei mit sudo nano /etc/ssh/sshd_config und passen Sie die folgenden Zeilen wie im Beispiel gezeigt an:

Port 22
PermitRootLogin prohibit-password
PasswordAuthentication no
PubkeyAuthentication yes

Diese Kon­fi­gu­ra­ti­on erhöht die Si­cher­heit des SSH-Zugangs, indem sie die Anmeldung aus­schließ­lich per Schlüs­sel­au­then­ti­fi­zie­rung erlaubt und die Pass­wort­an­mel­dung voll­stän­dig de­ak­ti­viert. Gleich­zei­tig bleibt der Root-Zugang möglich, jedoch nur über die soeben hin­ter­leg­ten SSH-Schlüssel. Hierdurch werden Brute-Force-Angriffe effektiv ver­hin­dert.

Starten Sie sshd nach dem Update der Kon­fi­gu­ra­ti­ons­da­tei neu, damit die Än­de­run­gen greifen:

sudo systemctl restart ssh

Nach der er­folg­rei­chen Kon­fi­gu­ra­ti­on und Ab­si­che­rung Ihres SSH-Zugangs ist Ihr Proxmox-Server bereit für den sicheren Remote-Betrieb. Um Ihre vir­tu­el­len Maschinen zu­sätz­lich vor Da­ten­ver­lust zu schützen, können Sie mit einem Proxmox Backup Server re­gel­mä­ßi­ge und au­to­ma­ti­sier­te Backups ein­rich­ten.