ตั้งค่า SSH Key Authentication บน VPS
ปลอดภัยกว่าใช้รหัสผ่านทั่วไป

การใช้ รหัสผ่าน (Password) Login เข้า VPS ทุกวันนี้ถือว่าเสี่ยงมาก เพราะ Bot ทั่วโลกสแกนหาเซิร์ฟเวอร์เปิด Port 22 และพยายาม Brute Force ตลอด 24 ชั่วโมง วิธีแก้ที่ดีที่สุดคือการเปลี่ยนไปใช้ SSH Key Authentication — วิธีนี้ไม่มี Password ให้เดา จึงทำให้การโจมตีแบบ Brute Force เป็นไปไม่ได้เลย

1. SSH Key Authentication คืออะไร

SSH Key Authentication คือระบบพิสูจน์ตัวตนที่ใช้ คู่กุญแจเข้ารหัส (Cryptographic Key Pair) ประกอบด้วย:

• Private Key — เก็บไว้บนเครื่องของคุณเท่านั้น ห้ามส่งให้ใคร
• Public Key — คัดลอกไปวางบนเซิร์ฟเวอร์ในไฟล์ ~/.ssh/authorized_keys

เมื่อเชื่อมต่อ เซิร์ฟเวอร์จะส่ง Challenge มาให้ เครื่องของคุณตอบโดยใช้ Private Key เซิร์ฟเวอร์ยืนยันด้วย Public Key — ทั้งกระบวนการไม่มีการส่ง Password ผ่านเครือข่ายเลย

2. ทำไมต้องใช้ SSH Key แทน Password

ข้อมูลจาก Shodan พบว่าเซิร์ฟเวอร์ที่เปิด SSH ด้วย Password เฉลี่ยถูกโจมตีหลายพันครั้งต่อวัน การเปลี่ยนเป็น SSH Key ปิดช่องโหว่นี้ได้ทันที

3. หลักการทำงานของ SSH Key

กระบวนการ Authentication ด้วย SSH Key เป็นแบบ Asymmetric Cryptography:

1. Client เชื่อมต่อไปยังเซิร์ฟเวอร์ผ่าน Port 22 (หรือ Port ที่กำหนด)
2. เซิร์ฟเวอร์ส่ง Random Challenge มาให้ Client
3. Client ลงนาม (Sign) Challenge ด้วย Private Key
4. เซิร์ฟเวอร์ตรวจสอบลายเซ็นด้วย Public Key ที่เก็บใน authorized_keys
5. ถ้าตรงกัน — อนุญาตให้เข้าได้ทันที ไม่มีการส่ง Password เลย

4. สร้าง SSH Key Pair บนเครื่องของคุณ

ssh-keygen -t ed25519 -C "[email protected]"

ssh-keygen -t rsa -b 4096 -C "[email protected]"

Enter file in which to save the key (/home/user/.ssh/id_ed25519): [กด Enter]
Enter passphrase (empty for no passphrase): [ใส่ passphrase หรือกด Enter ข้าม]
Enter same passphrase again: [ยืนยัน passphrase]

~/.ssh/id_ed25519      # Private Key — เก็บไว้บนเครื่องคุณ เท่านั้น
~/.ssh/id_ed25519.pub  # Public Key — ส่งขึ้นเซิร์ฟเวอร์

cat ~/.ssh/id_ed25519.pub

5. อัพโหลด Public Key ไปยังเซิร์ฟเวอร์

วิธีที่ 1: ใช้ ssh-copy-id (ง่ายที่สุด)

ssh-copy-id -i ~/.ssh/id_ed25519.pub username@your-vps-ip

คำสั่งนี้จะ Login ด้วย Password ครั้งสุดท้าย แล้วคัดลอก Public Key ไปใส่ที่ ~/.ssh/authorized_keys บนเซิร์ฟเวอร์โดยอัตโนมัติ

วิธีที่ 2: Copy ด้วยตนเอง

# 1. ดู Public Key บนเครื่อง
cat ~/.ssh/id_ed25519.pub

# 2. Login เข้าเซิร์ฟเวอร์
ssh username@your-vps-ip

# 3. สร้างไดเรกทอรีและไฟล์ (ถ้ายังไม่มี)
mkdir -p ~/.ssh
chmod 700 ~/.ssh

# 4. วาง Public Key
echo "ตัวอย่าง: ssh-ed25519 AAAA...xxx [email protected]" >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

ทดสอบ Login ด้วย Key (อย่าปิด Session เดิม!)

# เปิด Terminal ใหม่ แล้วทดสอบ
ssh -i ~/.ssh/id_ed25519 username@your-vps-ip

ถ้า Login สำเร็จโดยไม่ต้องพิมพ์ Password (หรือแค่ Passphrase ของ Key) แสดงว่าพร้อมแล้ว

6. ตั้งค่า sshd_config เพิ่มความปลอดภัย

แก้ไขไฟล์ /etc/ssh/sshd_config บนเซิร์ฟเวอร์:

sudo nano /etc/ssh/sshd_config

ตรวจสอบและตั้งค่าดังนี้:

# ยืนยันว่า Public Key Auth เปิดอยู่
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# ห้าม Login ด้วย Root โดยตรง
PermitRootLogin no

# จำนวน Auth Attempt สูงสุด
MaxAuthTries 3

# เปลี่ยน Port (ไม่บังคับ แต่ช่วยลด Bot Noise)
# Port 2222

# ปิด X11 Forwarding (ถ้าไม่ใช้)
X11Forwarding no

7. ปิด Password Authentication

ขั้นตอนนี้สำคัญมาก — ทำหลังจาก ทดสอบ SSH Key Login สำเร็จแล้วเท่านั้น

# ใน /etc/ssh/sshd_config
PasswordAuthentication no
ChallengeResponseAuthentication no
UsePAM no

บันทึกไฟล์แล้ว Restart SSH Service:

# Ubuntu/Debian
sudo systemctl restart ssh

# CentOS/Rocky Linux
sudo systemctl restart sshd

ทดสอบด้วย Terminal ใหม่อีกครั้งว่ายัง Login ได้ — และลองว่าการ Login แบบ Password ถูกปฏิเสธหรือไม่:

ssh -o PasswordAuthentication=yes username@your-vps-ip
# ควรได้ข้อความ: Permission denied (publickey)

8. สำหรับผู้ใช้ Windows

วิธีที่ 1: OpenSSH ใน PowerShell (Windows 10/11)

# เปิด PowerShell แล้วรัน
ssh-keygen -t ed25519

# ดู Public Key
type $env:USERPROFILE\.ssh\id_ed25519.pub

# คัดลอกไปเซิร์ฟเวอร์
ssh-copy-id -i $env:USERPROFILE\.ssh\id_ed25519.pub username@your-vps-ip

วิธีที่ 2: PuTTY + PuTTYgen (สำหรับ PuTTY Users)

1. เปิด PuTTYgen → เลือก EdDSA หรือ RSA 4096
2. กด Generate แล้วขยับเม้าส์สร้าง Randomness
3. คัดลอก Public Key จากช่องด้านบน แล้วนำไปใส่ใน authorized_keys บนเซิร์ฟเวอร์
4. บันทึก Private Key เป็นไฟล์ .ppk
5. ในตั้งค่า PuTTY: Connection → SSH → Auth → เลือกไฟล์ .ppk

9. จัดการหลาย SSH Key

เมื่อต้องการใช้หลาย Key สำหรับหลายเซิร์ฟเวอร์ ใช้ไฟล์ ~/.ssh/config:

# ~/.ssh/config
Host my-vps-th
    HostName 203.0.113.10
    User ubuntu
    IdentityFile ~/.ssh/id_ed25519_vps_th

Host my-vps-sg
    HostName 198.51.100.20
    User root
    IdentityFile ~/.ssh/id_ed25519_vps_sg
    Port 2222

จากนั้น Login ด้วยชื่อ Alias ได้เลย:

ssh my-vps-th
ssh my-vps-sg

SSH Agent — ไม่ต้องพิมพ์ Passphrase ทุกครั้ง

# เริ่ม SSH Agent
eval "$(ssh-agent -s)"

# เพิ่ม Key เข้า Agent
ssh-add ~/.ssh/id_ed25519

# ตรวจสอบ Key ที่โหลดแล้ว
ssh-add -l

10. แก้ปัญหาที่พบบ่อย

Debug SSH Connection

# เพิ่ม -v ดู Log ละเอียด
ssh -v username@your-vps-ip

# -vvv สำหรับ Debug เต็มรูปแบบ
ssh -vvv username@your-vps-ip

11. คำถามที่พบบ่อย (FAQ)

12. สรุป

การตั้งค่า SSH Key Authentication บน VPS เป็นขั้นตอนพื้นฐานที่ควรทำทันทีหลังได้ VPS มา มีประโยชน์ดังนี้:

• ✅ ปิดกั้น Brute Force Attack โดยสมบูรณ์
• ✅ สะดวกกว่าพิมพ์ Password ทุกครั้ง (ใช้ SSH Agent)
• ✅ จัดการสิทธิ์ทีมงานได้ง่าย เพิ่ม/ลบได้ทีละ Key
• ✅ ใช้ร่วมกับ Fail2Ban, UFW Firewall ได้ดี
• ✅ มาตรฐาน Security ที่ผู้ดูแลเซิร์ฟเวอร์มืออาชีพใช้