Conectar por SSH

2.1. Obtén la huella del servidor por separado

Tienes una instancia propia en ejecución, con las comprobaciones de estado superadas, su IPv4 pública y acceso SSH desde la salida de tu cliente Debian. Conservas la clave de práctica que preparaste en el lanzamiento.

En P00 distinguías dos identidades. Aquí vas a usar ambas:

• La clave de host identifica el servidor EC2 ante tu cliente. Su huella debe coincidir con la que obtengas por un canal independiente de esa primera conexión.
• La clave de usuario demuestra que puedes entrar como ec2-user. Amazon Linux incorpora al arrancar la pública seleccionada en el lanzamiento; tu cliente demuestra que posee la privada sin enviarla.

En el navegador, verifica que has seleccionado tu instancia y abre Acciones → Supervisar y solucionar problemas → Obtener registro del sistema (Actions → Monitor and troubleshoot → Get system log). Busca el bloque BEGIN SSH HOST KEY FINGERPRINTS. Anota para uso local la huella SHA256:… de la línea ED25519. No es la huella del par de claves que importaste. Si el registro todavía no muestra la huella, espera y actualiza. Si no puedes consultarlo o no puedes verificar una huella por el canal autorizado, detente: no uses como confirmación la primera huella que presente la conexión, ni una obtenida solo con ssh-keyscan.

Obtener la huella de la instancia.

2.2. Conecta desde Debian

En Debian P00, como alumno, prepara estas variables. Puedes repetir el bloque en otra terminal local si lo necesitas: las variables pertenecen a la shell en la que las defines.

CLAVE_EC2="$HOME/.ssh/aws-ec2-ed25519"
read -r -p 'IPv4 pública actual de tu instancia: ' IPV4_EC2
printf 'Destino SSH: %s\n' "$IPV4_EC2"
ls -l "$CLAVE_EC2"

Cuando aparezca la pregunta, copia solo la IPv4 del campo Dirección IPv4 pública de la instancia, sin http://, barras ni puerto. read toma tu entrada; printf te permite confirmar que coincide con la consola. ls -l comprueba que la clave está donde esperas y que sus permisos son restrictivos; no muestra su contenido. Si falta la dirección o la clave, no sigas.

Abre la conexión desde esa misma shell:

ssh -o ConnectTimeout=10 -o IdentitiesOnly=yes \
  -o StrictHostKeyChecking=ask -o HostKeyAlgorithms=ssh-ed25519 \
  -i "$CLAVE_EC2" "ec2-user@$IPV4_EC2"

-i elige tu privada; IdentitiesOnly evita ofrecer otras claves del agente SSH. El ajuste del algoritmo permite comparar exactamente la huella de host ED25519 del registro. StrictHostKeyChecking=ask solicita confirmación si la clave de host aún no es conocida. En el aviso, compara el algoritmo y el valor completo SHA256:… con el registro. Escribe yes solo si coinciden. OpenSSH guardará la identidad verificada en known_hosts. Si aparece una advertencia de cambio, no la aceptes ni borres el archivo: primero comprueba el recurso, la IP vigente y la huella por separado.

Después se te puede pedir la frase de paso de tu clave local. Sirve para desbloquearla en el cliente; no es una contraseña de la cuenta de Amazon Linux. Si aparece una solicitud de contraseña de ec2-user, no introduzcas tu contraseña de AWS.

Conectar con un cliente SSH.

2.3. Verifica dónde se ejecutan las órdenes

Dentro de la sesión SSH, comprueba:

whoami
hostname
cat /etc/os-release
uname -m

Busca ec2-user, Amazon Linux 2023 y x86_64. hostname ayuda a reconocer el equipo, pero no sustituye la verificación de huella. Al ejecutar exit, cierras solo la sesión SSH y regresas a Debian. Allí, whoami debe mostrar otra vez alumno.

Si no has podido entrar, elige qué comprobar según el síntoma:

Síntoma	Primera comprobación
Tiempo de espera agotado	Comprueba estado e IPv4 actual de la instancia, regla 22 desde el origen real y si la red del aula permite SSH saliente.
Permission denied (publickey)	Revisa usuario, archivo privado local y par seleccionado al lanzar. Una clave importada después del lanzamiento no cambia por sí sola la clave autorizada en esa instancia.
Identidad desconocida o cambiada	Selecciona la instancia correcta y verifica la huella en su registro. Si no concuerda, detén la conexión.
Clave privada no accesible o demasiado abierta	Revisa ruta y permisos en Debian, sin mover la privada a la carpeta compartida.

A entregar. En la bitácora individual, indica si verificaste la huella y cómo, qué usuario y sistema viste antes y después de conectar, y qué protege la regla de entrada frente a lo que protege la clave. Si no pudiste entrar, registra el síntoma y qué comprobaste. No adjuntes claves ni registros de arranque completos.

Cierre. Sal con exit si necesitas volver a Debian para preparar la web. Comprueba saldo y tiempo restante antes de instalar Apache. Si interrumpes la práctica, cerrar SSH no detiene la máquina: usa el cierre completo.