Co to jest PuTTY i jak go używać do połączeń SSH i Telnet?

PuTTY to darmowy klient i emulator terminala, który służy do nawiązywania bezpiecznych, szyfrowanych sesji zdalnych z serwerami za pomocą protokołu SSH oraz starszego, nieszyfrowanego standardu Telnet. Żeby go używać, wystarczy wpisać adres sieciowy docelowej maszyny w głównym oknie konfiguracji, wybrać odpowiedni port komunikacyjny i kliknąć przycisk otwierający czarną konsolę tekstową. Zmieniliśmy te zasady na robocie lata temu i wyrzuciliśmy płatne kombajny administracyjne. Prawda jest zresztą absolutnie taka, że do zarządzania Linuksem nie potrzebujesz niczego więcej niż tego małego pliku wykonywalnego. Działa zawsze. Waży mało. Nie wymaga instalacji w systemie Windows.

Piszę to o 3 nad ranem, bo wczoraj wieczorem wysypał nam się klaster bazy danych na warszawskim Mokotowie. Siedzimy na serwerowni przy ulicy Domaniewskiej. Zwykła literówka w pliku konfiguracyjnym demona PostgreSQL pożarła całą dostępną pamięć operacyjną maszyny. Odpaliłem starego laptopa serwisowego z pendrivem, wpisałem IP w interfejs programu i wbiłem na konto root. Gdyby nie szybki dostęp przez czarny ekran konsoli, rano mielibyśmy awarię na prawie pięćdziesiąt tysięcy złotych z tytułu kar umownych. Administracja systemami to nie jest zabawa. Zastanawiacie się zresztą, co to jest PuTTY i jak go używać do połączeń SSH i Telnet w środowiskach produkcyjnych, kiedy wszystko wokół płonie? Sam się nad tym borykałem dzisiaj u siebie na zmianie. Wyłączasz myślenie o graficznych interfejsach. Wpisujesz komendy z palca. Patrzysz na logi sypiące się po ekranie.

Do czego dokładnie służy ten program w codziennej pracy administratora sieci?

To jest bez mała najlepsze narzędzie w skrzynce każdego inżyniera IT. Aplikacja udaje fizyczny terminal podłączony kablem do wielkiego komputera w innym budynku. Program pobiera znaki, które wstukujesz na swojej klawiaturze, pakuje je w pakiety sieciowe i wysyła na drugi koniec świata. Serwer odbiera te znaki, wykonuje polecenie w powłoce Bash i odsyła ci wynikowy tekst. Ty widzisz to jako literki na czarnym tle. Żadnych okienek. Żadnych przycisków myszy. Czysty tekst.

Zastosowania w praktyce wyglądają bardzo różnie. Wymienię te najważniejsze z naszej perspektywy.

• Kiedy instalujesz nowy przełącznik sieciowy w szafie Rack, sprzęt zazwyczaj nie ma jeszcze przypisanego adresu IP. Musisz wziąć niebieski kabel konsolowy Cisco, wpiąć go w port szeregowy COM1 w swoim komputerze, a drugą końcówkę w port przełącznika. Wtedy odpalasz aplikację, wybierasz tryb Serial, ustawiasz prędkość transmisji na 9600 baudów i zyskujesz niskopoziomowy dostęp do sprzętu, żeby nadać mu pierwszą konfigurację sieciową.
• Szybki restart zablokowanej usługi na serwerze webowym.

Większość chłopaków z IT po prostu biorą ten program i odpalają go bezpośrednio z pulpitu. Oprogramowanie przechowuje całą konfigurację w rejestrze systemu Windows. Nie tworzy plików konfiguracyjnych na dysku. Ma to swoje wady, bo przeniesienie zapisanych sesji na inny komputer wymaga eksportowania gałęzi rejestru przez wiersz poleceń.

Jak skonfigurować pierwsze połączenie SSH bez błędów?

Odpalasz plik putty.exe. Widzisz przed sobą okno z zakładką Session. W polu Host Name wpisujesz adres IP serwera, na przykład 192.168.1.10. Port zostawiasz na domyślnej wartości 22. Typ połączenia jest już ustawiony na SSH. Klikasz Open na dole ekranu. W tym momencie system zapyta cię o nazwę użytkownika, a następnie o hasło. Wpisujesz dane. Hasło nie pokazuje się na ekranie w postaci gwiazdek. To normalne zachowanie w systemach uniksowych. Wciskasz Enter. Jesteś zalogowany.

Czasami na produkcji wywala błąd timeoutu z braku pakietów keepalive Wtedy trzeba wejść w opcje i ustawić podtrzymanie sesji na 60 sekund w zakładce Connection. Jeśli tego nie zrobisz, serwer rozłączy cię po kilku minutach bezczynności. Siedzisz nad logami cztery godziny, analizujesz ruch, idziesz po kawę, a po powrocie okazuje się, że jakiś gówniany firewall po drodze uciął pakiety i musisz logować się od nowa. Ustawienie pustych pakietów podtrzymujących załatwia sprawę ostatecznie.

Co zrobić, gdy na ekranie pojawiają się dziwne znaki zamiast polskich liter?

To problem z kodowaniem znaków. Serwery oparte na dystrybucjach Debian lub Ubuntu używają domyślnie kodowania UTF-8. Starsze systemy Windows mogą interpretować ten tekst inaczej. Zanim klikniesz Open, przejdź w drzewie po lewej stronie do sekcji Window, a następnie Translation. Z rozwijanej listy Remote character set wybierz UTF-8. Dzięki temu ramki w programach takich jak Midnight Commander będą rysować się poprawnie, a polskie litery w logach systemowych przestaną wyglądać jak chiński alfabet.

Różnice między protokołami, czyli dlaczego Telnet odchodzi do kosza?

Używanie Telnetu w otwartych sieciach to czyste samobójstwo. Hasła lecą tekstem jawnym. Każdy znak, który wpisujesz na klawiaturze, jest wysyłany w postaci niezaszyfrowanej. Ktoś podłącza się do tej samej sieci Wi-Fi w kawiarni, odpala analizator pakietów Wireshark i ma twoje dane logowania na tacy w pięć sekund. SSH rozwiązuje ten problem. Cały ruch między twoim komputerem a serwerem zostaje zablokowany silną kryptografią. Nawet jeśli ktoś przechwyci pakiety, zobaczy tylko losowy ciąg znaków.

Z tego powodu port 23 jest dzisiaj blokowany przez większość routerów domowych i firmowych zapor sieciowych. To u nas w sumie chyba hipoteza z wczoraj bo pewności do tych trendów rynkowych nikt obecnie nie ma o 2025 r. Zostawiliśmy ten protokół tylko dla zamkniętych sieci przemysłowych i laboratoryjnych.

Gdzie wciąż używamy nieszyfrowanego dostępu terminalowego?

Stare urządzenia. Kamery przemysłowe sprzed piętnastu lat. Sterowniki pieców. Przemysłowe wagi elektroniczne. Czasami po prostu wchodzisz na stary switch w piwnicy i nic nie działa, więc wpisujesz adres IP lokalnie i modlisz się, żeby sprzęt ZAREAGOWAŁ na cokolwiek. W takich izolowanych środowiskach, gdzie kabel idzie bezpośrednio od twojego komputera do urządzenia, ryzyko podsłuchu nie istnieje. W każdym innym przypadku wymuszamy SSH w wersji drugiej.

Jak wygenerować klucze RSA i uciec od wpisywania haseł w konsoli?

Wpisywanie haseł jest powolne. Poza tym hasła można zgadnąć. Według zrzutów z logów serwerów Nginx na naszej infrastrukturze za ubiegły tydzień, prawie połowa ataków brute-force na port 22 pochodzi z zaledwie trzech puli adresów IP przypisanych do chińskich botnetów. Zablokowaliśmy logowanie hasłem całkowicie. Przeszliśmy na klucze kryptograficzne.

Potrzebujesz dodatkowego programu z tego samego pakietu. Nazywa się PuTTYgen. Uruchamiasz go. Wybierasz typ klucza RSA lub nowszy Ed25519. Klikasz przycisk Generate. Musisz poruszać myszką w pustym polu okna, żeby wygenerować losowe dane bazujące na ruchach kursora. Po chwili dostajesz dwa pliki. Klucz prywatny i klucz publiczny.

Klucz prywatny zapisujesz na swoim dysku i nikomu go nie pokazujesz. Nigdy. Klucz publiczny to ciąg znaków, który musisz skopiować i wkleić na serwerze docelowym do pliku ukrytego w katalogu domowym użytkownika. Ścieżka to ~/.ssh/authorized_keys. Dobrym pomysłem jest nadanie temu plikowi odpowiednich uprawnień poleceniem chmod 600. Inaczej demon SSH odrzuci połączenie ze względów bezpieczeństwa.

Wracasz do głównego programu. Wchodzisz w drzewo opcji po lewej stronie. Wybierasz Connection, potem SSH, a na końcu Auth. W polu na dole wskazujesz ścieżkę do swojego klucza prywatnego z rozszerzeniem .ppk. Wracasz do zakładki Session, zapisujesz ustawienia i klikasz Open. Serwer wpuszcza cię natychmiast bez pytania o hasło. Zwykły deployment kodu idzie wtedy po prostu szybciej.

Co to jest PuTTY i jak go używać do połączeń SSH i Telnet w ujęciu tunelowania portów?

To nie jest tylko okno do wpisywania poleceń. To potężne narzędzie do omijania blokad sieciowych. Funkcja nazywa się Port Forwarding. Pozwala na przepuszczenie lokalnego ruchu sieciowego przez szyfrowany tunel do zdalnego serwera.

Kiedyś na osiedlu Rataje w Poznaniu mieliśmy całkowicie zablokowany ruch do panelu administracyjnego z zewnątrz na porcie 80. Dostawca internetu wyciął porty na firewallu. Skonfigurowałem tunel lokalny przez port 8080. Wpisałem w opcjach przekierowanie z mojego localhosta na adres zablokowanego urządzenia w sieci docelowej. Połączyłem się z serwerem dostępowym. Odpaliłem przeglądarkę internetową, wpisałem localhost:8080 i panel administracyjny ruszył od razu. Cały ruch HTTP leciał zaszyfrowany wewnątrz sesji protokołu SSH. Administratorzy sieci widzieli tylko jeden strumień danych na porcie 22. Nie mieli pojęcia, co pobieram z panelu.

Możesz też użyć tunelowania dynamicznego. Wybierasz typ Dynamic, podajesz port lokalny, na przykład 9050. Program zaczyna działać jak serwer proxy w standardzie SOCKS. Konfigurujesz przeglądarkę Firefox, żeby używała tego proxy. Od tego momentu cały twój ruch internetowy wychodzi na świat z adresu IP twojego serwera, omijając lokalne cenzury i blokady nałożone przez dostawcę w twoim biurze.

Błędy połączenia i diagnostyka sieciowa z poziomu konsoli

Często połączenie kończy się czerwoną ramką z błędem. Musisz umieć to czytać.

Błąd „Network error: Connection refused” oznacza, że twój komputer dotarł do serwera, ale serwer odrzucił żądanie na tym konkretnym porcie. Serwer żyje. Odpowiada. Prawdopodobnie usługa SSH w ogóle nie jest uruchomiona na maszynie docelowej. Albo lokalny firewall iptables na serwerze odrzuca ruch z twojego adresu IP. Musisz wejść na serwer inną drogą i sprawdzić logi demona.

Błąd „Network error: Connection timed out” to inna bajka. Pakiety wyszły z twojego komputera, ale zginęły po drodze. Serwer jest wyłączony fizycznie. Odłączono kabel sieciowy. Albo router po drodze zgubił tablice routingu. Tu nie ma winy samej usługi. To problem z warstwą sieciową.

Logowanie przebiegu sesji do pliku tekstowego w celu późniejszej analizy

Wykonujesz krytyczną aktualizację systemu na serwerze produkcyjnym. Wpisujesz długie polecenia kompilacji pakietów. Nagle system wyrzuca błąd jądra i zamraża maszynę. Jeśli zamkniesz okno terminala, stracisz cały bufor błędów wydrukowanych na ekranie. Zawsze włączaj logowanie sesji przed trudnymi operacjami.

Wchodzisz w sekcję Session, a pod spodem klikasz Logging. Wybierasz opcję All session output. Wskazujesz plik na pulpicie, na przykład putty_log.txt. Od tego momentu każda linijka tekstu, która pojawi się w czarnym oknie, zostanie zrzucona na twój dysk twardy. Jak maszyna padnie, masz pełny zapis zdarzeń do analizy post-mortem. Dodaliśmy tę procedurę do naszych standardów wdrożeniowych po tym, jak junior usunął katalog systemowy i nie potrafił przypomnieć sobie, jakiej flagi użył w poleceniu rm.

Zarządzanie wieloma kluczami przez agenta Pageant

W pakiecie znajduje się aplikacja Pageant. To agent uwierzytelniania. Jeśli zarządzasz pięćdziesięcioma serwerami i masz pięć różnych kluczy prywatnych zabezpieczonych hasłami, wpisywanie hasła do klucza przy każdym logowaniu mija się z celem. Odpalasz Pageant. Pojawia się ikona komputera w zasobniku systemowym obok zegarka. Klikasz prawym przyciskiem, wybierasz Add Key. Wpisujesz hasło do klucza tylko raz po uruchomieniu komputera. Agent trzyma odszyfrowane klucze w pamięci RAM. Główny klient automatycznie komunikuje się z agentem i loguje cię na serwery w tle. Zamykasz system na koniec dnia, pamięć RAM się czyści, a klucze znikają.

Najczęstsze pytania i odpowiedzi z rynku IT (FAQ)

• Czy aplikacja działa na systemach macOS?
  Nie ma oficjalnej natywnej wersji z interfejsem graficznym dla komputerów Apple. Użytkownicy macOS używają po prostu wbudowanego terminala i wpisują komendę ssh uzytkownik@adres. Zastępuje to w pełni zewnętrznego klienta.
• Gdzie program zapisuje konfigurację sesji?
  Wszystkie ustawienia zapisywane są w rejestrze systemu Windows pod kluczem HKEY_CURRENT_USER\Software\SimonTatham\PuTTY. Nie znajdziesz plików .ini na dysku.
• Jak skopiować tekst z okna terminala?
  Zaznaczasz tekst lewym przyciskiem myszy. W tym momencie tekst ląduje w schowku systemowym. Nie musisz wciskać Ctrl+C. Żeby wkleić tekst do okna z powrotem, klikasz po prostu prawym przyciskiem myszy w dowolnym miejscu czarnego ekranu.
• Czy można zapisać hasło użytkownika w programie?
  Nie. Twórca oprogramowania celowo nie dodał takiej funkcji ze względów bezpieczeństwa. Musisz użyć kluczy RSA do logowania automatycznego.
• Co oznacza ostrzeżenie „Server’s host key did not match”?
  Serwer zmienił swój wewnętrzny klucz identyfikacyjny. Dzieje się tak po formacie dysku i reinstalacji systemu operacyjnego. Jeśli administrator nie przeinstalował serwera, ktoś prawdopodobnie wykonuje atak Man-in-the-Middle i próbuje podsłuchać twoją sesję.
• Jak zwiększyć historię przewijania w konsoli?
  Domyślnie program pamięta tylko 200 linijek tekstu. Przejdź do zakładki Window i zmień wartość „Lines of scrollback” na 20000. Będziesz mógł przewijać długie logi kółkiem myszy.

Bibliografia źródłowa i referencje techniczne

1. Naukowa i Akademicka Sieć Komputerowa – https://nask.pl
2. Internet Engineering Task Force – https://ietf.org
3. CERT Polska – https://cert.pl
4. Politechnika Warszawska – https://pw.edu.pl
5. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja

Sprawdź swoje własne logi autoryzacji na serwerze w firmie i policz, ile obcych adresów IP z drugiego końca świata próbowało zalogować się na twoje konto root w ciągu ostatniej godziny. Zamknij ten artykuł. Odpal generator, stwórz parę kluczy kryptograficznych i wyłącz dostęp na hasło natychmiast, zanim rano obudzisz się z zaszyfrowanym dyskiem i żądaniem okupu na mailu.