Armazenamento, sistemas de arquivos e redes no Linux

Todo caminho no Linux começa em uma árvore de diretórios cuja raiz é /. Um segundo disco se junta a essa árvore em um diretório quando é montado. O Padrão de Hierarquia do Sistema de Arquivos (FHS) descreve a finalidade habitual de cada diretório; a versão 3.0 é de 2015.

Programas e configurações

O FHS separa arquivos estáticos de arquivos que mudam e arquivos compartilhados daqueles específicos de uma máquina. Assim, programas instalados ficam em /usr, dados que mudam em /var e configurações desta máquina em /etc.

Os locais antigos /bin, /sbin e /lib contêm comandos e bibliotecas essenciais na organização do FHS. Muitas distribuições atuais usam a unificação em /usr: esses caminhos são links simbólicos para locais em /usr. Assim, /bin/ls e /usr/bin/ls podem acessar o mesmo programa. /etc não contém binários executáveis, mas scripts administrativos podem ser mantidos nele.

Arquivos pessoais e dados de execução

Usuários comuns geralmente mantêm seus próprios arquivos em /home/NAME; ~ significa seu diretório pessoal. Configurações de usuário como ~/.bashrc são entradas ocultas ali. /root é o diretório pessoal do usuário root. O diretório raiz / é o início de toda a árvore, não o diretório pessoal desse usuário.

Em /var, o segundo diretório especifica a finalidade:

• /var/log contém logs.
• /var/cache contém dados que podem ser baixados ou gerados novamente.
• /var/lib contém o estado dos programas, incluindo bancos de dados e registros de pacotes.
• /var/spool contém tarefas em fila, como trabalhos de impressão.
• /var/tmp contém arquivos temporários que sobrevivem a reinicializações.

/tmp é destinado a arquivos temporários de menor duração. /run contém dados da inicialização atual, como sockets e arquivos de ID de processo, e é limpo na reinicialização. /boot contém o kernel, o disco RAM inicial e os arquivos do carregador de inicialização. /dev, /proc e /sys expõem dispositivos e informações atuais do kernel.

Montagens e dados de serviços

/mnt é o local habitual para uma montagem manual temporária. Sistemas de área de trabalho normalmente montam unidades removíveis em /media/USER/LABEL ou, no Fedora, em /run/media/USER/LABEL. /opt contém software adicional em diretórios de pacotes separados. /srv contém dados disponibilizados a outras máquinas; algumas distribuições usam locais como /var/www para sites.

Considere um servidor nginx instalado por pacote no Debian ou Ubuntu. Seu executável é /usr/sbin/nginx, suas configurações principais estão em /etc/nginx/nginx.conf e as requisições são registradas em /var/log/nginx/access.log. A documentação fica em /usr/share/doc/nginx. A finalidade do diretório indica onde investigar uma alteração de configuração ou um log que está crescendo.

Instale seus próprios comandos em /usr/local/bin, mantendo-os separados dos arquivos gerenciados por pacotes. Uma atualização pode substituir arquivos em /usr. Para um serviço systemd, use o local de substituição em /etc/systemd/system em vez de editar a unidade fornecida em /usr/lib/systemd/system.

Arquivos temporários precisam tanto de uma duração adequada quanto de permissões adequadas. Um arquivo pode sobreviver a uma reinicialização e ainda estar sujeito à limpeza, e a proteção contra exclusão é diferente da proteção contra leitura.

Escolha uma duração

Use /tmp para trabalhos de curta duração de que um programa não precisará na próxima execução. O FHS recomenda limpá-lo na inicialização. Fedora e Debian 13 costumam montá-lo como tmpfs, que usa memória e área de troca; seu conteúdo desaparece no desligamento. Seu limite de tamanho padrão é metade da RAM física, portanto uma tarefa temporária grande pode enchê-lo mesmo quando há espaço no disco principal.

Use /var/tmp quando um trabalho temporário precisar sobreviver a uma reinicialização. O FHS exige que seu conteúdo permaneça após a inicialização. Ainda assim, é armazenamento temporário: as regras de limpeza do projeto de origem do systemd geralmente removem entradas não usadas após 10 dias em /tmp e 30 dias em /var/tmp. As configurações da distribuição e as locais podem alterar esses prazos. Salve trabalhos duradouros em seu diretório pessoal ou em outro diretório permanente de dados.

Leia as permissões do diretório

Inspecione a própria entrada do diretório:

ls -ld /tmp

Um exemplo de string de permissões é drwxrwxrwt. O d inicial significa diretório. Os três grupos de permissões permitem que todos o leiam, gravem nele e entrem nele. O t final indica o sticky bit, substituindo o caractere habitual de execução para outros.

A permissão de escrita em um diretório normalmente permite que um usuário remova ou renomeie entradas nele, inclusive arquivos de outras pessoas. Em um diretório com sticky bit, a exclusão e a renomeação são restritas ao proprietário do arquivo, ao proprietário do diretório ou a root, sujeitas às regras de acesso habituais. O bit é útil justamente porque muitos usuários compartilham /tmp.

Por exemplo, Mina cria /tmp/draft.txt, com modo 644, em um diretório com sticky bit pertencente a root. Tomas pode ler esse arquivo porque suas próprias permissões permitem. Ele não pode removê-lo apenas por poder gravar em /tmp. Mina e root podem removê-lo. Alterar o arquivo para o modo 600 também protege seu conteúdo de outros usuários comuns.

Defina e reconheça o sticky bit

Em um diretório compartilhado que você administra:

sudo chmod 1777 /srv/shared

O 1 inicial define o sticky bit; os 777 restantes permitem a todos os usuários acesso completo ao diretório. sudo chmod +t /srv/shared adiciona o bit sem substituir as outras permissões. chmod -t o remove quando você tem permissão para alterar o modo.

Um t minúsculo significa que o sticky bit e a permissão de execução para outros estão definidos. Um T maiúsculo significa que o sticky bit está definido, mas outros não têm permissão de execução. Por exemplo, o modo 1770 aparece como drwxrwx--T. O Linux ignora o sticky bit em arquivos comuns; seu nome histórico vem da prática de manter o código de programas na memória ou na área de troca nas primeiras versões do Unix.

Deixe mktemp escolher o nome

mktemp cria um arquivo com nome aleatório exclusivo e permissões 600 e imprime seu caminho. mktemp -d cria um diretório temporário privado. Em um script de shell, guarde o nome impresso em uma variável, use esse nome para o trabalho e remova o arquivo ao terminar.

Um nome fixo como /tmp/results.txt pode já pertencer a outra pessoa ou ser criado antes de seu programa começar. Um nome exclusivo evita essa colisão. O sticky bit não torna nomes previsíveis seguros nem torna privado um arquivo com modo 644.

Um link fornece outro caminho até um arquivo na árvore de diretórios. Um link simbólico armazena um caminho. Um link físico fornece outro nome para o mesmo arquivo. A diferença de comportamento importa quando o nome original é movido ou desaparece.

Crie um link simbólico

A sintaxe é ln -s TARGET LINKNAME: primeiro o destino, depois o novo nome. Por exemplo:

ln -s /srv/manuals ~/manuals
ls -ld ~/manuals
readlink ~/manuals

ls -l inicia a string de permissões de um link simbólico com l e imprime uma seta para seu destino. O tamanho exibido é o comprimento em bytes do caminho armazenado, não o tamanho do diretório de destino. Para links simbólicos comuns no Linux, as permissões rwxrwxrwx exibidas não concedem acesso ao destino; as permissões do próprio destino continuam valendo.

ls -ld /etc lista a entrada do diretório e suas permissões. ls -l /etc lista seu conteúdo. Uma barra final em um link simbólico para diretório faz o comando seguir o link: ls -l manuals/ lista o conteúdo do diretório apontado.

Resolva um destino relativo

Um destino relativo começa no diretório que contém o link. Suponha que /home/lee/notes.txt exista e que /home/lee/backup seja um diretório. Em /home/lee, execute:

ln -s ../notes.txt backup/notes-link

Para seguir o link, comece dentro de backup, suba um nível com .. e encontre notes.txt. Escrever ln -s notes.txt backup/notes-link armazena um caminho para backup/notes.txt. Seu diretório de trabalho ao criar o link não passa a fazer parte desse caminho relativo armazenado. Um destino absoluto evita essa ambiguidade específica.

Um link quebrado permanece após o caminho de seu destino ser movido ou excluído. A tentativa de abri-lo falha com “No such file or directory.” readlink LINK mostra o destino armazenado; readlink -f LINK resolve o caminho completo quando possível. find . -xtype l localiza links quebrados abaixo do diretório atual. Recrie um link quebrado com o destino correto, por exemplo, ln -sfn NEWTARGET LINKNAME.

Compare com um link físico

printf 'hello\n' > original.txt
ln original.txt second.txt
ln -s original.txt shortcut.txt
rm original.txt

cat second.txt ainda imprime “hello.” Um link físico é outra entrada de diretório para o mesmo inode, o registro do arquivo no sistema de arquivos. Não há um nome original especial que precise permanecer. cat shortcut.txt falha porque o caminho de destino armazenado não existe mais.

ls -i mostra o mesmo número de inode para dois links físicos em um sistema de arquivos. A segunda coluna de ls -l mostra a contagem de links físicos. A remoção do último nome libera o arquivo quando nenhum processo ainda o mantém aberto.

Remova um link simbólico com rm LINKNAME ou unlink LINKNAME. Para um link de diretório, omita a barra final: rm manuals remove apenas o link. Um comando recursivo em manuals/ pode alcançar e excluir o conteúdo do destino. Caminhos do sistema como /bin, nomes de comandos com versão e serviços systemd habilitados frequentemente usam links simbólicos.

Um caminho no Linux pode identificar um disco, um terminal ou informações atuais do kernel. O primeiro caractere em ls -l indica o tipo de entrada antes que você a trate como um documento comum.

Reconheça tipos de arquivo

Os indicadores são - para arquivo comum, d para diretório, l para link simbólico, b para dispositivo de blocos, c para dispositivo de caracteres, p para canal nomeado e s para socket. Um dispositivo de blocos, como /dev/sda1, fornece armazenamento em blocos que podem ser acessados em qualquer ordem. Um dispositivo de caracteres, como /dev/tty1, fornece um fluxo de bytes.

Uma listagem de dispositivo pode ser assim:

brw-rw---- 1 root disk 8, 1 Oct 22 08:00 /dev/sda1

O b identifica um dispositivo de blocos. Os números 8, 1 substituem o campo de tamanho habitual: os números maior e menor identificam o driver e o dispositivo para o kernel. /dev normalmente é fornecido na memória pelo devtmpfs e preenchido à medida que o hardware aparece, com ajuda do udev. Conectar uma unidade USB pode criar /dev/sdb e /dev/sdb1.

Gravar diretamente em um dispositivo de disco pode sobrescrever seus dados sem pedir confirmação. Verifique a identidade do dispositivo com lsblk antes de qualquer gravação desse tipo.

Use pseudodispositivos

/dev/null descarta os bytes gravados e retorna imediatamente o fim de arquivo quando é lido. Este comando oculta mensagens de erro e mantém visíveis os resultados normais:

find / -name '*.conf' 2>/dev/null

O 2> redireciona a saída de erro padrão. Tudo o que é enviado para lá é descartado.

/dev/zero fornece bytes zero. Por exemplo, dd if=/dev/zero of=test.img bs=1M count=100 cria um arquivo comum de 100 MiB preenchido com zeros: 104.857.600 bytes. A saída aqui é test.img, não um dispositivo de disco. /dev/urandom fornece bytes aleatórios; head -c 16 /dev/urandom | base64 torna 16 deles imprimíveis.

Depois que o gerador aleatório do Linux é inicializado, tanto /dev/random quanto /dev/urandom fornecem bytes aleatórios criptograficamente seguros. Nos kernels a partir da versão 5.6, /dev/random espera essa inicialização no início da inicialização do sistema; /dev/urandom pode retornar bytes antes que ela termine.

Leia informações atuais

O procfs, montado em /proc, cria informações sob demanda. Muitas entradas mostram tamanho zero, mas retornam texto quando lidas. /proc/cpuinfo descreve processadores, /proc/meminfo descreve a memória e /proc/mounts lista montagens. Diretórios numerados descrevem processos em execução; /proc/sys expõe configurações do kernel. Ferramentas como ps, top e free leem essas informações.

cat /proc/uptime pode imprimir 86400.52 340000.10. O primeiro valor corresponde aos segundos desde a inicialização: cerca de 24 horas. O segundo soma o tempo ocioso entre os processadores, portanto pode superar o tempo decorrido.

O sysfs, montado em /sys, descreve dispositivos, drivers e barramentos. ls /sys/class/net/ lista interfaces, ls /sys/block/ lista dispositivos de blocos e cat /sys/class/net/enp0s3/address lê o endereço MAC de uma interface. Gravar em configurações graváveis em /proc ou /sys altera o kernel em execução e normalmente exige root. Ao fazer um backup completo do sistema, configure exclusões para /proc, /sys, /dev e /run; o sistema em execução os recria.

Um disco é um dispositivo de armazenamento, físico ou virtual. Uma partição é uma região dele. A tabela de partições registra essas regiões, enquanto um sistema de arquivos dentro de uma partição organiza seus arquivos e diretórios. Uma partição também pode conter uma área de troca, que auxilia a memória em vez de armazenar arquivos comuns.

Interprete o nome do dispositivo

Unidades SATA, SAS e USB costumam usar /dev/sda, /dev/sdb e assim por diante; suas partições acrescentam um número, como /dev/sdb1. Nomes NVMe já contêm dígitos, portanto uma partição acrescenta p: /dev/nvme0n1p2 é a partição 2 de /dev/nvme0n1. Dispositivos SD e eMMC usam nomes como /dev/mmcblk0p1; muitas máquinas virtuais usam /dev/vda1.

A ordem de detecção pode alterar esses nomes. Identifique uma unidade por vários indícios, não pela letra que ela tinha ontem:

lsblk -o NAME,SIZE,MODEL,RM,TYPE,MOUNTPOINTS
lsblk -f
sudo blkid
sudo fdisk -l

lsblk exibe o disco e suas partições como uma árvore. RM=1 identifica um dispositivo marcado como removível; TYPE distingue disk de part. Um ponto de montagem / identifica o sistema de arquivos raiz. lsblk -f acrescenta tipos de sistemas de arquivos, rótulos e UUIDs. blkid fornece identificadores e tipos, enquanto fdisk -l mostra os limites das partições e o tipo de tabela. Esses comandos de inspeção não alteram partições.

Distinga tipo de tabela e tipo de sistema de arquivos

MBR permite quatro partições primárias; uma delas pode ser uma partição estendida contendo partições lógicas numeradas a partir de 5. Com setores de 512 bytes, seu limite de endereçamento é 2 TiB. GPT lida com unidades maiores e normalmente fornece 128 entradas de partição. Sistemas UEFI inicializam usando uma Partição de Sistema EFI, formatada com FAT e frequentemente montada em /boot/efi.

Debian e Ubuntu normalmente usam ext4; RHEL usa XFS por padrão; Fedora Workstation e openSUSE normalmente usam Btrfs. FAT32 aparece como vfat no Linux e não pode armazenar um único arquivo de 4 GiB ou mais. exFAT é adequado para arquivos maiores em mídias removíveis; NTFS é comum em discos Windows. A existência de uma partição, por si só, não significa que ela já tenha um sistema de arquivos.

Interprete as unidades de tamanho

lsblk, df -h e du -h usam unidades binárias: G representa um GiB, ou 1.073.741.824 bytes. Fabricantes de unidades usam GB decimal, cada um com 1.000.000.000 bytes. Assim, uma unidade que armazena 500.107.862.016 bytes aparece como 465,8G; 32.000.000.000 bytes correspondem a cerca de 29,8G. lsblk -b mostra a quantidade exata de bytes. Essa diferença de nomenclatura não é perda de capacidade.

Preparar uma unidade nova e vazia exige uma etapa de particionamento seguida da criação de um sistema de arquivos, por exemplo, sudo mkfs.ext4 /dev/sdb1. Antes de alterar partições ou formatar, verifique o destino pelo tamanho, modelo e condição de removível, confirme que seus dados podem ser destruídos e desmonte-o. fdisk -l apenas lista; o fdisk interativo grava alterações quando você usa w.

A montagem conecta um sistema de arquivos a um diretório, seu ponto de montagem. Um sistema de arquivos montado em /data torna-se acessível por caminhos como /data/report.pdf. A árvore de diretórios permanece contínua mesmo quando vários discos fornecem seu conteúdo.

Monte e inspecione

Suponha que lsblk -f identifique /dev/sdb1 como o sistema de arquivos que você deseja ler. Crie um diretório de montagem vazio e monte-o:

sudo mkdir -p /mnt/usb
sudo mount /dev/sdb1 /mnt/usb
findmnt /mnt/usb

mount geralmente detecta o tipo. Forneça -t ext4 quando precisar especificá-lo explicitamente. findmnt mostra TARGET, SOURCE, FSTYPE e OPTIONS. mount sem argumentos lista montagens, incluindo sistemas de arquivos virtuais; df -h informa seu espaço, e lsblk mostra pontos de montagem ao lado dos dispositivos de blocos.

Montar sobre um diretório oculta seu conteúdo existente. Se /mnt/usb/local.txt já estava lá, ele desaparece da visualização enquanto o sistema de arquivos USB está montado e reaparece após a desmontagem. Ele não foi copiado para a unidade nem apagado.

Escolha opções para a tarefa

Use -o para uma lista de opções separadas por vírgulas. sudo mount -o ro /dev/sdb1 /mnt/usb impede gravações normais de arquivos por essa montagem. É útil para inspeção, embora a própria montagem ainda possa gravar no dispositivo. rw permite gravações.

noexec impede a execução direta de arquivos na montagem. Ele não impede que um interpretador leia um script: bash /mnt/usb/script.sh ainda pode executar um script legível. Entenda isso como uma restrição à execução direta, não como uma barreira completa à execução de seu conteúdo.

FAT e exFAT não armazenam proprietários Unix. Quando root monta uma unidade desse tipo, forneça o proprietário desejado pelas opções de montagem. Verifique os dois identificadores com id -u e id -g. Se ambos imprimirem 1000:

sudo mount -o uid=1000,gid=1000 /dev/sdb1 /mnt/usb
cp report.pdf /mnt/usb/

Isso atribui o proprietário e o grupo exibidos pelo Linux para a montagem. Alterar permissões com chmod não é o mesmo mecanismo de propriedade usado no ext4.

Termine o trabalho

Saia do sistema de arquivos e feche os programas que o usam, depois execute:

sudo umount /mnt/usb

O comando se escreve umount. Desmonte o armazenamento removível antes de retirá-lo para que as gravações em buffer cheguem à unidade. A ação Ejetar de um gerenciador de arquivos faz isso em um ambiente de área de trabalho.

Se o comando informar “target is busy”, um processo ainda usa o sistema de arquivos. Basta que um shell tenha /mnt/usb como diretório atual. Execute cd nesse shell, feche arquivos abertos e tente novamente. fuser -vm /mnt/usb ou lsof /mnt/usb ajuda a identificar quem usa o sistema de arquivos.

Sistemas de área de trabalho normalmente organizam montagens automáticas de mídias removíveis pelo udisks2, em /media/USER/LABEL ou, no Fedora, em /run/media/USER/LABEL. Servidores geralmente dependem de montagens configuradas para a inicialização ou de comandos manuais. Montagens também podem expor um arquivo de imagem, memória ou um compartilhamento de rede. Por exemplo, após criar /mnt/iso, sudo mount -o loop,ro ubuntu.iso /mnt/iso apresenta uma imagem ISO como diretório.

Uma montagem manual não cria uma regra de inicialização. /etc/fstab fornece essas regras, com uma entrada por sistema de arquivos ou área de troca. Em uma máquina com systemd, um gerador transforma entradas de sistemas de arquivos em unidades de montagem e entradas de área de troca em unidades de área de troca.

Leia os seis campos

Um sistema de arquivos ext4 de dados pode usar esta entrada:

UUID=3f2c9a1e-7b4d-4e8a-9c61-2d5f0b8e4a17 /data ext4 defaults,nofail 0 2

Espaços ou tabulações separam os seis campos. Vírgulas unem opções dentro de um campo; não coloque espaços nessa lista.

1. Origem: um UUID, rótulo ou caminho de dispositivo.
2. Ponto de montagem: aqui, /data.
3. Tipo: aqui, ext4.
4. Opções: aqui, defaults,nofail.
5. Indicador dump: normalmente 0, desativando o antigo indicador de backup dump.
6. Ordem de verificação dos sistemas de arquivos: 1 para a raiz, 2 para outros sistemas de arquivos que precisam de verificação, 0 para ignorar; XFS e Btrfs normalmente usam 0.

Uma linha que começa com # é um comentário. Uma entrada de área de troca usa none como campo de ponto de montagem, o tipo swap e normalmente termina em 0 0.

Escolha um identificador duradouro

Encontre o UUID do sistema de arquivos com lsblk -f ou sudo blkid. Ao contrário de um nome como /dev/sdb1, o UUID permanece com o sistema de arquivos quando a ordem de detecção das unidades muda. A reformatação cria um novo sistema de arquivos com um novo UUID, portanto atualize sua entrada no fstab depois disso.

defaults inclui acesso de leitura e escrita e montagem automática. nofail permite que a inicialização continue se uma unidade opcional estiver ausente. noauto ignora a montagem automática; a entrada ainda pode permitir sudo mount /data posteriormente. ro significa somente leitura e noexec bloqueia a execução direta. user permite que um usuário comum monte a entrada.

Adicione e teste uma entrada

Para uma partição de dados ext4 já preparada:

sudo cp /etc/fstab /etc/fstab.bak
lsblk -f
sudo mkdir -p /data

Edite /etc/fstab para adicionar a linha usando o UUID realmente informado. Depois, teste antes de reiniciar:

sudo findmnt --verify
sudo systemctl daemon-reload
sudo mount -a
findmnt /data

findmnt --verify verifica a tabela, inclusive problemas em seus campos e origens. O recarregamento faz o systemd reler a configuração alterada. mount -a monta as entradas aplicáveis que ainda não estão montadas. findmnt /data confirma então a origem, o tipo e as opções atuais. Um mount -a bem-sucedido não significa que uma entrada noauto foi testada; monte essa entrada explicitamente.

A raiz de um sistema de arquivos ext4 recém-montado pode pertencer a root. Depois que o sistema de arquivos correto estiver montado, sudo chown lee:lee /data atribui a Lee a propriedade desse diretório. Fazer isso antes da montagem alteraria o diretório subjacente do ponto de montagem.

Um UUID incorreto, tipo incorreto ou dispositivo obrigatório indisponível pode interromper a inicialização e deixar o sistema em modo de emergência. Corrija esses erros enquanto o sistema está em execução. systemctl list-units --type=mount mostra as unidades de montagem ativas resultantes.

df informa o espaço dos sistemas de arquivos montados. Ele responde à pergunta “Quanto do sistema de arquivos que contém este caminho está ocupado?” Ele não soma os próprios arquivos de um diretório. Essa diferença permite identificar o armazenamento afetado antes de procurar seu conteúdo maior.

Interprete um relatório de espaço

Use df -h /var/log para inspecionar o sistema de arquivos que contém o diretório de logs. Um relatório pode mostrar:

Filesystem Size Used Avail Use% Mounted on
/dev/vda1   98G  61G   32G  66% /
/dev/vdb1  916G 210G  660G  25% /data

Aqui, os logs em /var/log usam o sistema de arquivos raiz, a menos que um sistema de arquivos separado esteja montado ali. O espaço livre do sistema de arquivos /data não pode ajudar uma gravação em /var/log apenas porque ambos pertencem ao mesmo computador.

As colunas descrevem o tamanho do sistema de arquivos, o espaço usado, o espaço disponível para usuários comuns, o percentual de uso e o ponto de montagem. O df do GNU calcula Use% dividindo Used pela soma de Used e Avail, arredondada para cima. No exemplo da raiz, 61 dividido por 93 é cerca de 65,6%, exibido como 66%. Os próprios valores em formato legível são arredondados.

Size pode superar Used + Avail. Um sistema de arquivos ext4 normalmente reserva 5% de seus blocos para root, ajudando serviços essenciais a continuar funcionando quando os usuários enchem o restante. Cinco por cento de 98G são cerca de 4,9G. Esses blocos reservados não usados são excluídos do Avail dos usuários comuns; eles não são dados de arquivo em Used. A reserva pode ser ajustada com tune2fs -m, por exemplo para 1% em um sistema de arquivos grande de dados. Metadados também usam espaço.

Escolha uma visualização útil

df -h usa unidades binárias K, M e G. df -H usa potências decimais de 1000. df sem opções normalmente informa blocos de 1024 bytes, e df -T acrescenta o tipo de sistema de arquivos. Para reduzir a quantidade de entradas de sistemas de arquivos na memória:

df -h -x tmpfs -x devtmpfs

Uma entrada tmpfs é armazenamento mantido na memória, enquanto efivarfs expõe variáveis de firmware. free mede RAM e área de troca, portanto não pode substituir df para verificar a capacidade em disco. lsblk informa o tamanho de um disco ou partição, não quanto espaço livre seu sistema de arquivos tem.

Verifique também os registros de arquivo

Um inode é um registro de sistema de arquivos para um arquivo ou diretório. Nomes ligados fisicamente compartilham um registro. Um sistema de arquivos ext4 tem uma quantidade fixa de inodes criada com ele. Uma quantidade muito grande de arquivos minúsculos pode consumi-los e ainda deixar gigabytes de espaço para dados sem uso.

df -i /var/log

Leia IUsed, IFree e IUse%. Se IFree for zero, criar um novo arquivo pode falhar com “No space left on device” mesmo quando df -h mostra espaço livre. Remover alguns arquivos grandes libera blocos, mas pouquíssimos inodes; limpar muitos arquivos indesejados de sessão ou cache resolve o esgotamento de inodes.

Quando o armazenamento raiz fica cheio, bancos de dados podem parar, logs podem falhar, atualizações podem ser interrompidas e logins podem falhar. Verifique df -h PATH e df -i PATH logo no início. Os relatórios identificam qual recurso está esgotado e qual sistema de arquivos montado precisa de atenção.

Depois que df identificar o sistema de arquivos cheio, use du para encontrar os diretórios que o estão ocupando. Inspecione antes de excluir: o estado de uma aplicação e arquivos de cache substituíveis podem ser grandes por motivos muito diferentes.

Percorra a árvore de diretórios

sudo du -h -d 1 /var | sort -h
sudo du -sh /var/log

-d 1 fornece totais um nível de diretório abaixo, e -s imprime um único total resumido. sort -h entende tamanhos como 900M e 2.1G. Use sudo para incluir diretórios que sua conta comum não consegue ler. Se /var/log for grande, repita o primeiro comando nele para localizar o subdiretório que está crescendo.

du -sh * ignora nomes que começam com ponto porque o * do shell não corresponde a eles. du -h -d 1 ~ | sort -h inclui diretórios ocultos, como .cache e .local, ao inspecionar um diretório pessoal.

Para localizar arquivos individuais grandes no sistema de arquivos raiz:

sudo find / -xdev -type f -size +500M 2>/dev/null

-xdev permanece no sistema de arquivos inicial; -type f seleciona arquivos comuns; M aqui significa MiB. ls -lhS ordena os arquivos de um diretório do maior para o menor.

Entenda totais diferentes

ls -l informa o tamanho lógico de um arquivo. du normalmente conta o armazenamento alocado. Um arquivo contendo “hi” e um caractere de nova linha tem 3 bytes, mas pode ocupar um bloco de 4 KiB, mostrado como 4.0K. Uma imagem esparsa de disco virtual pode ter um tamanho lógico grande e consumir muito menos espaço real. du --apparent-size informa os tamanhos lógicos.

Um uso maior em df do que em uma varredura de diretório também pode resultar de diretórios ilegíveis, arquivos ocultos sob pontos de montagem ou arquivos excluídos ainda abertos. Excluir um nome não libera os dados enquanto um processo mantém o arquivo aberto.

Por exemplo, remover um log ativo de aplicação de 20G pode deixar df inalterado. Inspecione esses arquivos com sudo lsof +L1. Reiniciar o serviço que mantém o arquivo aberto o libera, permitindo recuperar o armazenamento. Para esvaziar um log ativo que você sabe que pode ser descartado sem deixar um arquivo sem nome aberto, sudo truncate -s 0 /var/log/app/app.log mantém o nome e o arquivo no lugar. Isso apaga o conteúdo registrado.

Use o responsável pelos dados para limpá-los

As ferramentas de pacotes sabem quais arquivos baixados podem ser substituídos. Use sudo apt clean no Debian ou Ubuntu, ou sudo dnf clean all no Fedora ou RHEL. Analise as alterações propostas por apt autoremove ou dnf autoremove antes de remover pacotes não utilizados. Limpe seus próprios downloads indesejados e a lixeira. Não exclua manualmente arquivos de /usr, /boot ou /var/lib para liberar espaço.

Para o crescimento do diário de registros, sudo journalctl --vacuum-size=1G remove arquivos inativos antigos até que seu total caiba no limite. Arquivos ativos podem deixar o uso total do diário acima desse tamanho. Para controle duradouro, defina SystemMaxUse=1G em /etc/systemd/journald.conf e reinicie systemd-journald.

Após a limpeza, execute novamente df -h PATH ou df -i PATH para confirmar que o recurso que causou a falha está disponível outra vez. Se o diário ou outro log crescer repetidamente, inspecione as mensagens que causam o crescimento e suas configurações de retenção.

Uma interface de rede é um ponto de conexão pelo qual o kernel envia tráfego. Pode ser Ethernet, Wi-Fi, retorno local ou uma conexão virtual, como uma VPN. Nomes como enp0s3, eno1 e wlp2s0 descrevem adaptadores físicos; lo é a interface de retorno local. Alguns sistemas virtuais e na nuvem usam eth0.

Interprete o IPv4 e seu prefixo

Interfaces Ethernet e Wi-Fi têm um endereço MAC de 48 bits, escrito como seis pares hexadecimais, usado para entrega na rede local. Um endereço IP identifica um host para comunicação entre redes. Uma interface pode ter vários endereços IP.

O IPv4 tem 32 bits, escritos como quatro números de 0 a 255. Em 192.168.1.50/24, os primeiros 24 bits identificam a rede e oito bits restam para endereços dentro dela. A rede é 192.168.1.0/24, com máscara de rede 255.255.255.0.

Esses oito bits fornecem 256 endereços. O primeiro identifica a rede, e o último, 192.168.1.255, é seu endereço de difusão, restando 254 endereços para hosts. Um /26 tem seis bits para hosts: 64 endereços no total e 62 endereços comuns para hosts. /24 conta bits de rede, não máquinas.

As faixas privadas são 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16. Elas não são roteadas publicamente; um roteador doméstico normalmente usa NAT para traduzir o tráfego privado para seu endereço público. 127.0.0.1 é o endereço de retorno local, que representa a máquina que executa o comando. Um endereço 169.254.x.x local ao enlace frequentemente indica uma falha na configuração DHCP. A documentação usa 192.0.2.0/24, 198.51.100.0/24 e 203.0.113.0/24.

Reconheça o IPv6

O IPv6 tem 128 bits em oito grupos hexadecimais. Remova zeros iniciais dentro de um grupo e substitua uma sequência de grupos de zeros por ::: 2001:0db8:0000:0000:0000:0000:0000:0042 torna-se 2001:db8::42. Use :: apenas uma vez em um endereço. ::1 é o endereço de retorno local; endereços fe80: são locais ao enlace em conexões Ethernet e Wi-Fi com IPv6. Redes IPv6 locais normalmente usam /64, e um host frequentemente tem vários endereços.

Alcance redes e serviços

Um host envia tráfego diretamente a destinos em uma rede conectada diretamente. Seu gateway padrão trata destinos para os quais não há uma rota mais específica. O gateway é um roteador acessível no enlace local. Sem uma rota correspondente ou uma rota padrão, outras redes ficam inacessíveis.

Uma porta identifica um serviço em um endereço: SSH usa TCP 22, DNS usa UDP e TCP 53, HTTP usa TCP 80 e HTTPS normalmente usa TCP 443. TCP fornece conexões confiáveis; UDP transporta mensagens independentes. Uma extremidade de socket combina endereço e porta, como 192.168.1.50:22.

Obtenha ou defina a configuração

DHCP para IPv4 concede por tempo limitado um endereço, prefixo, gateway e configurações DNS. A configuração estática define valores fixos, normalmente para servidores. A SLAAC do IPv6 forma um endereço a partir de informações anunciadas pelo roteador. DHCPv6 pode fornecer endereços IPv6 e servidores DNS; informações sobre o roteador padrão IPv6 vêm de anúncios de roteador. Um endereço DHCPv6 sozinho não fornece essa rota.

O comando ip mostra o estado atual da rede. Seus objetos descrevem partes diferentes: addr para endereços, link para o estado das interfaces, route para roteamento e neigh para vizinhos locais. ss mostra sockets e seus serviços em escuta.

Inspecione uma interface

ip -br addr
ip addr show dev enp0s3
ip link show

A visualização resumida pode mostrar enp0s3 UP 192.168.1.50/24 fe80::a00:27ff:fe3a:5c71/64. A interface está ativa, com um endereço IPv4 e um endereço IPv6 local ao enlace. A saída mais longa separa estes campos:

link/ether 08:00:27:3a:5c:71 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.50/24 brd 192.168.1.255 scope global dynamic enp0s3
inet6 fe80::a00:27ff:fe3a:5c71/64 scope link

link/ether fornece o endereço MAC. inet introduz o IPv4, e inet6 introduz o IPv6. O valor IPv4 de brd é o endereço de difusão, não o gateway. dynamic indica um endereço atribuído dinamicamente, e valid_lft mostra por quanto tempo ele permanece válido. UP é o estado administrativo; LOWER_UP indica um enlace de nível inferior funcionando.

ip -4 addr e ip -6 addr selecionam uma família de endereços. ip link omite endereços IP. hostname -I imprime os endereços configurados da máquina. Não selecione 127.0.0.1 ao fornecer a outro computador um endereço para este host.

Consulte a rota separadamente

default via 192.168.1.1 dev enp0s3 proto dhcp src 192.168.1.50 metric 100
192.168.1.0/24 dev enp0s3 proto kernel scope link src 192.168.1.50 metric 100

ip route show produz esse tipo de saída. A rede local 192.168.1.0/24 é acessível diretamente por enp0s3. Outros destinos usam o gateway 192.168.1.1 pela rota padrão. proto dhcp indica de onde veio essa rota; src fornece o endereço de origem preferencial.

Use ip route get 203.0.113.10 para inspecionar o caminho selecionado para um destino. ip -6 route show lista rotas IPv6. ip neigh mostra mapeamentos locais aprendidos de IP para MAC; uma entrada FAILED para o gateway significa que a resolução de vizinhos não recebeu a resposta local necessária.

Verifique onde um serviço está em escuta

sudo ss -tulnp

As opções indicam TCP, UDP, escuta, endereços numéricos e detalhes do processo. Leia a coluna de endereço local. 0.0.0.0:22 aceita tráfego em todos os endereços IPv4 locais, enquanto 127.0.0.1:5432 aceita apenas tráfego local. [::]:80 indica todos os endereços IPv6. Estar em escuta é apenas um requisito; a conectividade de rede e as regras de acesso ainda são importantes. ss -tn lista conexões TCP atuais sem selecionar apenas sockets de escuta.

Guias antigos usam ifconfig, route, arp e netstat. Seus equivalentes atuais são ip addr/ip link, ip route, ip neigh e ss. A ausência de ifconfig significa que falta uma ferramenta, não que a rede falhou. Formas curtas como ip a, ip r e ip l são abreviações aceitas.

Um comando temporário e um perfil de rede salvo têm finalidades diferentes. ip altera imediatamente o estado do kernel em execução; o gerenciador de rede da distribuição restaura configurações salvas na inicialização e pode substituir alterações temporárias antes disso.

Faça uma alteração temporária

Em uma interface de prática chamada enp0s8:

sudo ip link set dev enp0s8 up
sudo ip addr add 192.168.50.10/24 dev enp0s8
sudo ip route add default via 192.168.50.1

Inclua o prefixo. Sem /24, um endereço IPv4 adicionado recebe /32, portanto a rota esperada para a rede local /24 fica ausente. ip addr del remove o endereço especificado, ip route del default remove a rota padrão e ip link set ... down desativa a interface.

Alterar a interface que transporta uma sessão SSH remota pode desconectar você. Use acesso ao console ou uma ferramenta de configuração com reversão para esse trabalho.

Salve configurações com o gerenciador ativo

Fedora, RHEL e muitos sistemas de área de trabalho usam NetworkManager. Encontre o perfil com nmcli device status e altere o nome de sua conexão:

sudo nmcli connection modify "Wired connection 1" ipv4.method manual ipv4.addresses 192.168.1.60/24 ipv4.gateway 192.168.1.1 ipv4.dns 192.168.1.1
sudo nmcli connection up "Wired connection 1"

Definir ipv4.method auto retorna o perfil ao DHCP. O Ubuntu normalmente usa arquivos YAML do netplan em /etc/netplan/; outros sistemas usam arquivos .network do systemd-networkd ou /etc/network/interfaces do ifupdown no Debian. Sistemas na nuvem frequentemente dependem de DHCP e cloud-init.

Uma configuração estática do netplan pode ter este conteúdo:

network:
  version: 2
  ethernets:
    enp0s3:
      dhcp4: false
      addresses: [192.168.1.60/24]
      routes:
        - to: default
          via: 192.168.1.1
      nameservers:
        addresses: [192.168.1.1]

Use espaços para a indentação. sudo netplan try aplica a configuração com um prazo de 120 segundos para confirmação antes da reversão. sudo netplan apply aplica-a diretamente.

Teste uma camada de cada vez

Comece com ip -br link, depois ip -br addr e então ip route. Ausência de enlace ativo, de endereço adequado e de rota padrão são falhas diferentes. Teste o gateway com ping -c 3 192.168.1.1, depois um endereço externo e então um nome. A contagem -c faz o ping do Linux parar após um número fixo de solicitações; caso contrário, use Ctrl+C.

Uma resposta informa o tempo de ida e volta, enquanto o resumo informa a perda de pacotes. A ausência de resposta de eco pode refletir filtragem de ICMP, assim como um host inativo ou uma rota interrompida. Se um endereço funcionar, mas um nome produzir “Temporary failure in name resolution”, inspecione a consulta de nomes. Se ping imprimir o endereço resolvido e depois não receber respostas, a consulta já foi bem-sucedida.

tracepath ou traceroute mostra roteadores que respondem ao longo do caminho. Teste também a aplicação real: curl -I https://example.com solicita cabeçalhos HTTP. Se uma requisição web local funcionar, mas requisições remotas falharem, inspecione sudo ss -tlnp. Um serviço vinculado a 127.0.0.1:80 precisa de um endereço de vinculação acessível pela rede para uso remoto, além das regras necessárias de acesso à rede.

Os nomes permitem que as pessoas usem web1.example.com em vez de memorizar um endereço. O DNS, Sistema de Nomes de Domínio, armazena registros em uma hierarquia distribuída de domínios. Um nome de host curto como web1 identifica uma máquina; seu nome de domínio totalmente qualificado a identifica na hierarquia completa.

Reconheça o que um registro responde

Servidores DNS usam a porta 53 tanto por UDP quanto por TCP. O tempo de vida (TTL) de um registro informa aos caches por quanto tempo eles podem mantê-lo, em segundos. Um TTL de 3600 corresponde a uma hora. Alterar um registro não remove imediatamente a resposta antiga de todos os caches.

O resolvedor de nomes é a parte cliente da consulta de nomes: código de biblioteca e, frequentemente, um serviço como systemd-resolved. Seus servidores de nomes configurados normalmente são resolvedores recursivos operados por um roteador, provedor, organização ou serviço público. Eles encontram respostas e as armazenam em cache para os clientes.

Verifique a ordem das fontes do sistema

Aplicações Linux geralmente usam as fontes de consulta configuradas pela linha hosts: em /etc/nsswitch.conf. Um exemplo simples é:

hosts: files dns

Aqui, files significa /etc/hosts, verificado antes do DNS. Outras instalações incluem fontes como resolve ou mdns4_minimal. Leia a linha real ao comparar dois sistemas.

/etc/hosts contém um endereço seguido de seu nome principal e apelidos opcionais:

127.0.0.1 localhost
::1 localhost ip6-localhost
192.168.1.20 nas.home.arpa nas

Com a ordem de consulta mostrada, nas é resolvido para 192.168.1.20 neste computador. home.arpa é reservado para redes domésticas. Alterações no arquivo hosts entram em vigor sem reinicialização, mas afetam apenas a máquina cujo arquivo você edita. O arquivo não aceita caracteres curinga nem números de porta: 192.168.1.20:8080 nas é inválido.

Use entradas locais de forma consciente

Uma entrada no arquivo hosts pode dar nome a um dispositivo em uma rede pequena ou apontar seu computador para um servidor web substituto antes de alterações no DNS público. Mapear um nome para 0.0.0.0 também é usado para bloqueá-lo localmente. Cada uso altera a consulta de endereços, não a porta ou a configuração do serviço.

Suponha que um site mude de endereço e funcione em outras máquinas, mas não na sua. Uma entrada antiga em /etc/hosts pode continuar enviando seu navegador ao endereço anterior mesmo quando o DNS está correto. Compare a entrada local com o destino atual desejado antes de alterar rotas de rede.

O nome de host da própria máquina é uma configuração separada. hostname o imprime; sudo hostnamectl set-hostname web1 o altera. /etc/hostname armazena o nome configurado. Debian e Ubuntu normalmente também o mapeiam em /etc/hosts, por exemplo 127.0.1.1 web1. Após uma mudança de nome, atualize esse mapeamento também. Uma divergência pode causar o aviso “unable to resolve host web1” ao usar sudo. Alterar seu nome de host não cria um registro DNS público para ele.

Use um teste que corresponda à pergunta que você está fazendo. Uma consulta direta verifica a resposta de um servidor DNS. Uma consulta do sistema verifica as fontes que as aplicações Linux normalmente usam, que podem incluir arquivos locais além do DNS.

Leia a configuração do resolvedor

/etc/resolv.conf pode conter nameserver 192.168.1.1 e search example.com. A linha nameserver identifica um servidor DNS; o sufixo de busca permite que um nome curto como web1 seja consultado como web1.example.com. O resolvedor tradicional usa até três servidores de nomes configurados, normalmente em ordem. Opções podem ajustar o comportamento de tempo limite e novas tentativas.

Esse arquivo é frequentemente gerado por um serviço de rede. Um comentário ou link simbólico revela quem o gerencia. Alterações feitas diretamente podem desaparecer na próxima atualização de rede, portanto altere os valores DNS salvos pelo NetworkManager, netplan ou gerenciador ativo.

Em um sistema que usa systemd-resolved, o arquivo normalmente aponta para /run/systemd/resolve/stub-resolv.conf e indica 127.0.0.53. Esse é um resolvedor DNS local de encaminhamento, não um servidor externo substituído acidentalmente pelo endereço de retorno local. Ele encaminha consultas e armazena respostas em cache. Use:

resolvectl status
resolvectl query example.com
resolvectl flush-caches

O primeiro mostra os servidores DNS reais consultados, incluindo configurações por interface. Esvazie o cache quando precisar descartar resultados armazenados enquanto investiga uma alteração.

Escolha a ferramenta de consulta

host web1.example.com consulta um nome no DNS. host 203.0.113.10 realiza uma consulta reversa; host -t MX example.com solicita registros de correio. dig example.com A +short imprime uma resposta IPv4 compacta, e dig @1.1.1.1 example.com A seleciona explicitamente um servidor DNS. nslookup é uma ferramenta mais antiga de consulta DNS. As ferramentas geralmente são distribuídas nos pacotes dnsutils ou bind-utils.

getent hosts nas segue a ordem de consulta do sistema em /etc/nsswitch.conf, como faz a maioria das aplicações. dig, host e nslookup não leem /etc/hosts por conta própria. No entanto, consultar o resolvedor local do systemd-resolved pode retornar uma resposta que o serviço obtém desse arquivo. Selecione explicitamente um servidor conhecido quando quiser comparar seus dados DNS com a consulta local.

Interprete o resultado antes de alterar configurações

NXDOMAIN significa que o servidor DNS consultado respondeu que o nome não existe. SERVFAIL significa que o servidor não conseguiu concluir a consulta. Um tempo limite excedido significa que nenhuma resposta utilizável chegou antes do prazo. “Name or service not known” de um programa é um erro de consulta do sistema, não um código de resposta DNS por si só.

Suponha que ping para um endereço externo funcione, mas a consulta de example.com informe uma falha temporária. Inspecione o resolvedor configurado e compare uma consulta direta a ele com uma consulta a outro resolvedor conhecido. Uma resposta válida do segundo servidor direciona a investigação para o servidor configurado, o caminho até ele ou as configurações do resolvedor local. Se ambos falharem, distinga respostas reais de erro de tempos limite excedidos antes de atribuir a causa a um firewall. O tráfego DNS e o ping ICMP são tráfegos diferentes, mesmo quando usam a mesma rede.

O SSH, Secure Shell, criptografa sessões remotas e transferências de arquivos. O cliente ssh conecta-se ao sshd, normalmente na porta TCP 22. OpenSSH é a implementação habitual no Linux. Ferramentas antigas como telnet e FTP expõem senhas em texto simples.

Verifique e entre na sessão remota

Conecte-se com ssh lee@web1.example.com; omita lee@ para usar seu nome de usuário local. Para outra porta, use ssh -p 2222 lee@web1.example.com. Verifique a identidade da máquina remota antes de executar comandos; exit ou Ctrl+D retorna ao shell local.

No primeiro contato, o SSH exibe uma impressão digital da chave de identificação do servidor. Compare-a por um canal confiável com a fornecida pelo administrador ou provedor do servidor. O administrador pode imprimi-la com ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub. Aceitá-la armazena a chave no seu arquivo ~/.ssh/known_hosts para comparação posterior.

Um aviso de alteração da chave de identificação do servidor significa que a identidade apresentada difere da salva. Uma reconstrução ou um endereço reutilizado pode explicá-lo, mas um invasor também pode ser a causa. Verifique primeiro a nova impressão digital. Depois de confirmar a alteração, ssh-keygen -R 203.0.113.10 remove a entrada antiga desse endereço para que você possa conectar e registrar a nova.

Execute um comando sem permanecer conectado

ssh lee@web1.example.com 'df -h /'

O comando é executado remotamente, sua saída aparece localmente e a conexão termina. Um pipe local posterior pode processar essa saída. Programas que precisam de um terminal, inclusive sudo interativo, podem usar ssh -t, por exemplo ssh -t lee@web1.example.com sudo systemctl restart nginx.

Escolha uma ferramenta de transferência

scp report.pdf lee@web1.example.com:/home/lee/ envia um arquivo. scp lee@web1.example.com:/home/lee/results.csv . baixa para o diretório local atual. Os dois-pontos indicam o caminho remoto; sem eles, lee@web1.example.com é um nome de arquivo local. -r copia diretórios, e -P 2222 seleciona uma porta, com P maiúsculo. O scp moderno usa SFTP internamente.

sftp lee@web1.example.com abre uma sessão interativa. Use get para baixar, put para enviar, cd para o diretório remoto, lcd para o diretório local e bye para terminar. Para cópias repetidas de diretórios, rsync -av site/ lee@web1.example.com:/srv/site/ envia alterações por SSH; rsync deve estar instalado nas duas pontas.

Armazene detalhes de conexão usados repetidamente em ~/.ssh/config:

Host web1
    HostName 203.0.113.10
    User lee
    Port 2222
    IdentityFile ~/.ssh/id_ed25519

Então ssh web1 e scp notes.txt web1: usam essas configurações.

Identifique a etapa da falha

“Connection refused” indica uma rejeição ativa, geralmente porque não há serviço em escuta na porta escolhida. Um tempo limite excedido significa que nenhuma resposta chegou; possíveis causas incluem roteamento, filtragem ou um host inativo. “Permission denied (publickey)” significa que a conexão chegou à autenticação, mas sua conta ou a chave oferecida não foi aceita. ssh -v mostra o progresso da conexão e da autenticação para que você investigue a etapa que falhou.

O login por chave prova que seu cliente possui uma chave privada correspondente a uma chave pública autorizada. O cliente assina dados de autenticação; ele não envia a chave privada ao servidor. Os dois arquivos, portanto, têm destinos e necessidades de proteção diferentes.

Gere e proteja o par

No seu próprio computador:

ssh-keygen -t ed25519 -C "lee@laptop"

Escolha uma frase secreta quando solicitado. Os arquivos padrão são ~/.ssh/id_ed25519, a chave privada, e ~/.ssh/id_ed25519.pub, a chave pública. O texto de -C é um comentário de identificação. Ed25519 é o padrão do ssh-keygen desde o OpenSSH 9.5; indicá-lo explicitamente torna o exemplo claro. Para um servidor antigo que exige RSA, ssh-keygen -t rsa -b 4096 gera uma chave RSA de 4096 bits.

Uma frase secreta criptografa o arquivo da chave privada. Ela protege a chave armazenada caso alguém obtenha o arquivo; é diferente da senha da conta remota. Tarefas automatizadas às vezes usam chaves sem frases secretas, com permissões limitadas para a conta. Mantenha a chave privada no cliente e em segredo.

Um agente SSH mantém chaves desbloqueadas na memória para que você não precise digitar novamente a frase secreta a cada conexão. Sessões de área de trabalho normalmente iniciam um agente. Adicione a chave com ssh-add ~/.ssh/id_ed25519 e digite sua frase secreta quando solicitado.

Autorize a chave pública em uma conta

ssh-copy-id lee@web1.example.com

Após a autenticação na conta de Lee no servidor, o comando acrescenta uma chave pública ao arquivo ~/.ssh/authorized_keys dessa conta. Se houver várias chaves de cliente, ssh-copy-id -i ~/.ssh/id_ed25519.pub lee@web1.example.com seleciona explicitamente a chave pública. O provisionamento na nuvem pode instalá-la quando o servidor é criado.

Cada linha de authorized_keys contém um tipo de chave, dados codificados da chave pública e geralmente um comentário. Várias chaves podem autorizar dispositivos ou pessoas diferentes. Uma chave no arquivo de Lee concede acesso à conta de Lee, não à conta de root. Remover sua linha revoga a chave nessa conta; após um vazamento, remova a chave pública de todos os servidores afetados.

Verifique o proprietário, o grupo e as permissões

No servidor, na conta desejada:

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Impeça que o grupo ou outros possam gravar no diretório pessoal. Com as verificações estritas normais, sshd rejeita arquivos de autorização ou diretórios superiores que permitam escrita de forma insegura. No cliente, o modo 600 protege a chave privada; permissões excessivamente abertas podem produzir “UNPROTECTED PRIVATE KEY FILE!” O arquivo público .pub pode ser legível com o modo 644.

Confirme o caminho de login

Abra uma nova conexão com ssh lee@web1.example.com. Uma solicitação de frase secreta desbloqueia a chave privada local; um agente que já tenha a chave carregada pode tornar isso desnecessário. Na saída detalhada, procure uma autenticação bem-sucedida usando “publickey.”

Se o login falhar, verifique primeiro o nome da conta, depois sua entrada de chave pública, proprietário, grupo e permissões e, em seguida, a chave oferecida pelo cliente. ssh -i ~/.ssh/other_key lee@web1.example.com seleciona uma chave privada específica; IdentityFile inclui essa seleção em uma configuração de host salva. Gerar outra chave não corrige a falta de uma entrada de autorização para a chave existente.

O programa servidor é sshd, fornecido pelo pacote openssh-server. Debian e Ubuntu chamam seu serviço systemd de ssh; Fedora, RHEL, openSUSE e Arch geralmente o chamam de sshd. Use o nome fornecido pela sua distribuição ao verificar o estado, habilitar ou recarregar o serviço.

Localize a configuração efetiva

Instale com sudo apt install openssh-server ou sudo dnf install openssh-server. Para um serviço no Fedora ou RHEL, sudo systemctl enable --now sshd o inicia e habilita sua execução na inicialização. systemctl status sshd informa seu estado.

O servidor lê /etc/ssh/sshd_config. /etc/ssh/ssh_config é para o cliente. Muitos sistemas incluem /etc/ssh/sshd_config.d/*.conf perto do início do arquivo do servidor. Para a maioria das diretivas, o primeiro valor lido tem prioridade. Acrescentar um valor diferente ao final do arquivo principal pode não ter efeito.

Use sudo sshd -T para imprimir as configurações efetivas. Se ele mostrar passwordauthentication yes apesar de um no posterior, verifique os arquivos incluídos. Em uma imagem Ubuntu na nuvem, 50-cloud-init.conf pode fornecer o valor anterior. Um arquivo aplicável lido antes, como 10-no-passwords.conf, ou uma alteração na configuração que determina o valor deve ser seguido de validação e recarregamento.

Exija a autenticação desejada

Depois que o login por chave funcionar, estas configurações estabelecem acesso somente por chave:

PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
AuthenticationMethods publickey
PermitRootLogin no

A primeira habilita chaves. As duas seguintes desativam os métodos por senha e interativo por teclado, que podem aceitar senhas. AuthenticationMethods publickey exige explicitamente autenticação por chave pública. PermitRootLogin no bloqueia o login SSH de root; administradores fazem login com suas próprias contas e usam sudo. O padrão prohibit-password é diferente: ele ainda permite login de root por chave. AllowUsers lee deploy pode restringir quais contas podem entrar.

Aplique e teste com segurança

Mantenha a sessão em funcionamento aberta e confirme o login por chave em um segundo terminal antes de remover o acesso por senha. Após editar:

sudo sshd -t
sudo systemctl reload sshd

Use reload ssh no Debian ou Ubuntu. sshd -t não imprime nada quando a configuração é válida; corrija os erros antes de recarregar. Um recarregamento mantém as sessões existentes, portanto uma nova conexão é o teste da política alterada. Mantenha a sessão antiga até que esse teste seja bem-sucedido.

Verifique o acesso e os logs

journalctl -u sshd ou journalctl -u ssh mostra as tentativas. Arquivos de log tradicionais incluem /var/log/auth.log no Debian/Ubuntu e /var/log/secure no RHEL. Tentativas repetidas de senha para usuários inválidos são comuns em servidores acessíveis pela internet; o acesso apenas por chave elimina a adivinhação de senha como forma de login.

Permita o serviço SSH pelo firewall ativo: sudo ufw allow OpenSSH no Ubuntu, ou sudo firewall-cmd --permanent --add-service=ssh seguido de sudo firewall-cmd --reload no Fedora/RHEL. Uma regra do provedor de nuvem também deve permitir a porta de escuta. Mover SSH para a porta 2222 pode reduzir o volume de mensagens de varreduras, mas chaves, login restrito e atualizações do OpenSSH fornecem a proteção efetiva.