SSH – co to jest, jak działa i jak połączyć się z serwerem przez SSH

SSH (Secure Shell) to szyfrowany protokół do zdalnego logowania i zarządzania serwerem – wpisujesz komendę na swoim komputerze, a wykonuje się na serwerze po drugiej stronie internetu. Każdy administrator VPS lub serwera Linux używa SSH codziennie. Komenda: ssh user@adres-ip-serwera → podajesz hasło (lub używasz klucza SSH) → jesteś na serwerze. Cała komunikacja jest szyfrowana – nikt podsłuchujący sieć nie widzi Twoich komend ani haseł. SSH zastąpił nieszyfrowany Telnet i jest standardem od 1995 roku (port 22).

Jak działa SSH

SSH używa kryptografii asymetrycznej do ustanowienia bezpiecznego połączenia. Klient (Twój komputer) łączy się z serwerem na port 22 (domyślny). Serwer wysyła swój klucz publiczny – klient weryfikuje tożsamość serwera (przy pierwszym połączeniu: „Are you sure you want to continue connecting?” – akceptujesz i klucz jest zapisywany). Klient i serwer negocjują klucz sesji (szyfrowanie symetryczne – AES-256). Od tego momentu: cała komunikacja jest szyfrowana. Klient uwierzytelnia się: hasłem lub kluczem SSH (klucz prywatny na komputerze ↔ klucz publiczny na serwerze).

Jak połączyć się z serwerem przez SSH

Na macOS i Linux: terminal jest wbudowany. Otwórz terminal i wpisz:

ssh root@123.456.789.10

Zamień root na nazwę użytkownika i 123.456.789.10 na IP serwera (dostałeś go od hostingu). Przy pierwszym połączeniu: wpisz yes (akceptacja klucza serwera). Podaj hasło. Jesteś na serwerze – widzisz prompt: root@serwer:~#.

Na Windows: Windows 10/11 ma wbudowanego klienta SSH – otwórz PowerShell lub CMD i wpisz ssh user@IP. Alternatywa: PuTTY (putty.org) – graficzny klient SSH dla Windows. Otwórz PuTTY → wpisz IP → port 22 → Open → wpisz login i hasło.

Klucze SSH – logowanie bez hasła

Uwierzytelnianie hasłem jest wygodne, ale: hasła można zgadnąć brute-force (boty próbują tysiące kombinacji na minutę). Klucze SSH są bezpieczniejsze i wygodniejsze – logujesz się bez wpisywania hasła.

Generowanie klucza:

# Na SWOIM komputerze (nie na serwerze!)
ssh-keygen -t ed25519 -C "twoj@email.com"

Tworzy parę: klucz prywatny (~/.ssh/id_ed25519 – nigdy nie udostępniaj!) i klucz publiczny (~/.ssh/id_ed25519.pub – ten wgrywasz na serwer).

Kopiowanie klucza na serwer:

ssh-copy-id user@IP_SERWERA

Lub ręcznie: skopiuj zawartość id_ed25519.pub → na serwerze wklej do ~/.ssh/authorized_keys.

Wyłączenie logowania hasłem (po skonfigurowaniu kluczy):

sudo nano /etc/ssh/sshd_config
# Zmień:
PasswordAuthentication no
# Zapisz i restartuj SSH:
sudo systemctl restart sshd

Od teraz: tylko klucz SSH pozwala się zalogować. Brute-force na hasło: niemożliwy.

Zabezpieczanie SSH

Klucze zamiast haseł – opisane wyżej. To najważniejszy krok.

Zmiana portu SSH. Domyślny port 22 jest skanowany przez boty non-stop. Zmiana na niestandardowy (np. 2222, 49152): /etc/ssh/sshd_config → Port 2222 → restart sshd. Łączysz się: ssh -p 2222 user@IP. To security through obscurity – nie chroni przed ukierunkowanym atakiem, ale eliminuje 99% automatycznych skanów.

Fail2ban. sudo apt install fail2ban – automatycznie blokuje IP po kilku nieudanych próbach logowania (np. 5 prób w 10 minut → ban na 1h). Konfiguracja: /etc/fail2ban/jail.local.

Firewall (UFW). Ogranicz dostęp SSH do Twojego IP: sudo ufw allow from TWOJ_IP to any port 22. Zablokuj SSH z reszty świata. Ryzyko: jeśli Twój IP się zmieni, stracisz dostęp – miej plan B (konsola awaryczna w panelu hostingu).

Nie pracuj jako root. Utwórz zwykłego użytkownika z sudo. Wyłącz logowanie roota przez SSH: PermitRootLogin no w sshd_config.

Co możesz robić przez SSH

Zarządzanie serwerem: aktualizacje (apt update && apt upgrade), instalacja oprogramowania (apt install nginx), konfiguracja (Nginx, MySQL, PHP), monitoring (htop, df, free).

Transfer plików (SCP/SFTP). SCP: scp plik.zip user@IP:/var/www/ – kopiuje plik na serwer przez SSH. SFTP: FileZilla w trybie SFTP – graficzny menedżer plików przez szyfrowane połączenie SSH.

Tunelowanie (SSH tunnel). Przekierowanie portu: ssh -L 3306:localhost:3306 user@IP – łączysz się z MySQL na serwerze tak, jakby działał lokalnie. Przydatne: bezpieczny dostęp do bazy danych, paneli administracyjnych (phpMyAdmin).

Git przez SSH. Klonowanie repozytorium: git clone git@github.com:user/repo.git – uwierzytelnienie kluczem SSH, bez wpisywania hasła przy każdym push/pull.

SSH config – wygodne aliasy

Zamiast wpisywać pełną komendę ssh -p 2222 mojuser@188.68.231.12 – utwórz alias w ~/.ssh/config:

Host mojserwer
  HostName 188.68.231.12
  User mojuser
  Port 2222
  IdentityFile ~/.ssh/id_ed25519

Teraz: ssh mojserwer – i jesteś zalogowany. Możesz zdefiniować aliasy dla wszystkich swoich serwerów.

Najczęściej zadawane pytania

Czy SSH jest bezpieczne?

Tak – SSH szyfruje całą komunikację (AES-256, ChaCha20). Nawet jeśli ktoś przechwytuje Twój ruch sieciowy, widzi tylko zaszyfrowane dane. Klucz SSH (ed25519) jest praktycznie nie do złamania. Słabe punkty: słabe hasła (dlatego używaj kluczy), niezaktualizowany serwer SSH (aktualizuj OpenSSH), klucz prywatny na komputerze bez passphrase (dodaj passphrase: ssh-keygen -p -f ~/.ssh/id_ed25519).

Co zrobić gdy SSH connection refused?

Sprawdź: (1) czy IP serwera jest poprawny, (2) czy serwer jest uruchomiony (sprawdź w panelu hostingu), (3) czy SSH działa na serwerze (systemctl status sshd – ale musisz mieć inny dostęp, np. konsolę w panelu), (4) czy firewall nie blokuje portu 22, (5) czy port SSH nie został zmieniony (spróbuj ssh -p 2222 user@IP). Najczęstsza przyczyna: firewall blokuje port 22 lub SSH nasłuchuje na innym porcie.

SSH a FTP – jaka różnica?

FTP przesyła pliki i hasła w postaci nieszyfrowanej – każdy w sieci może je podsłuchać. SSH/SFTP szyfruje wszystko. FTP wymaga osobnego serwera (vsftpd, ProFTPD). SFTP działa przez SSH – jeśli masz SSH, masz SFTP bez dodatkowej konfiguracji. W 2026: nigdy nie używaj czystego FTP – zawsze SFTP (przez SSH) lub FTPS (FTP + SSL).