ssh リモート接続コマンドの使い方とオプション

▶

本稿は Linux の ssh コマンドに関する記事です。

SSH とは？

ssh はリモート PC を暗号化通信で操作するためのコマンドです。実装としては OpenSSH がデファクトで、Linux / Mac はもちろん、近年の Windows にも標準搭載されています。プロトコル本体の概要は SSH (プロトコル) を参照してください。

基本構文

ssh [オプション] ユーザ@ホスト [リモートで実行するコマンド]
ssh user@example.com
ssh -p 2222 user@example.com
ssh -i ~/.ssh/id_ed25519 user@example.com
ssh user@example.com 'uptime' # ログインせずコマンド実行

主なオプション

オプション	用途
`-p ポート`	接続ポート (既定 22)
`-i 鍵ファイル`	使用する秘密鍵を指定
`-l ユーザ`	ユーザ名指定 (`ssh -l user host`)
`-v` / `-vv` / `-vvv`	詳細ログ。接続トラブル解析に有用
`-N`	シェル起動せず転送のみ
`-f`	バックグラウンドへ送る
`-L 局所:host:ポート`	ローカルポート転送
`-R 遠隔:host:ポート`	リモートポート転送
`-D ポート`	SOCKS プロキシ (動的転送)
`-J 踏み台`	多段ログイン (ProxyJump)
`-X` / `-Y`	X11 転送 (-Y は信頼)
`-C`	通信を圧縮
`-G`	config の解釈結果を確認
`-o 名=値`	config 値を 1 回限り上書き
`-t`	強制的に擬似端末を確保 (`sudo` 用)

~/.ssh/config による接続情報のエイリアス

Host prod
HostName 203.0.113.10
User deploy
Port 22
IdentityFile ~/.ssh/id_ed25519

Host bastion-target
HostName 10.0.0.5
User ops
ProxyJump bastion

これだけで ssh prod や ssh bastion-target と短く書けるようになります。パーミッションは ~/.ssh = 700、config / 秘密鍵 = 600。

公開鍵認証のセットアップ

鍵ペアを生成: ssh-keygen -t ed25519 (推奨。古い rsa より速く強い)
秘密鍵にパスフレーズを設定 (空にしない)
公開鍵をサーバへ転送: ssh-copy-id user@host または ~/.ssh/authorized_keys に追記
サーバ側で PasswordAuthentication no に変更し、sudo systemctl reload sshd
必要に応じて ssh-agent + ssh-add でパスフレーズをキャッシュ

主な用途別の例

# 単純ログイン
ssh user@host

# 単発でコマンド実行
ssh user@host 'df -h'

# ローカル 8080 → リモート 80 にトンネル
ssh -L 8080:localhost:80 -N -f user@host

# 踏み台経由
ssh -J bastion target

# SOCKS プロキシ
ssh -D 1080 -N -f user@host

コマンド	用途
`scp`	SSH 経由のファイルコピー
`rsync -e ssh`	差分同期
`sftp`	対話型のファイル転送
`ssh-keygen`	鍵生成・指紋確認・形式変換
`ssh-copy-id`	公開鍵をサーバ `authorized_keys` に追記
`ssh-agent` / `ssh-add`	秘密鍵のメモリキャッシュ
`autossh`	切断時に自動再接続

よくあるエラーと対処

エラー	原因
Permission denied (publickey)	公開鍵が `authorized_keys` に無い / パーミッション不正
Connection refused	sshd 停止 / ポート違い / FW 閉鎖
Connection timed out	到達不可。NW・SG・経路を確認
Host key verification failed	サーバ鍵が変わった。`~/.ssh/known_hosts` から該当行削除
Too many authentication failures	`-o IdentitiesOnly=yes` で使う鍵を限定

セキュリティ上の注意

パスワード認証は無効化し、公開鍵認証 + パスフレーズが基本
root の直接ログインを禁止 (PermitRootLogin no)
ポート 22は常にスキャン対象。fail2ban・WAF・送信元 IP 制限を検討
古い鍵タイプ (RSA1024 / DSA) は廃止。ed25519 または RSA 4096
秘密鍵は絶対に共有・公開しない。Git 管理外、漏洩時はサーバ側で即時失効

ページ一覧

その他