Сброс пароля root на VPS

MAATRIX

Пароль root потерян, а вместе с ним и доступ к серверу — знакомая ситуация после долгого перерыва или смены команды. Хорошая новость: физический доступ к VPS через панель провайдера почти всегда позволяет сбросить пароль root без переустановки системы. Ниже пошаговое решение проблемы: разберём три рабочих способа сброса пароля root на VPS, от самого простого через панель до восстановления через rescue-режим, и как защититься от повторения.

Самый быстрый способ: через панель провайдера

Прежде чем возиться с загрузчиком, проверьте очевидное — почти у каждого провайдера в панели управления VPS есть кнопка сброса пароля root. Она перезаписывает пароль на уровне гипервизора, вам не нужен доступ внутрь системы. Найдите в панели раздел управления сервером, пункт вроде «Сбросить пароль» или «Reset root password», задайте новый и примените.

После сброса зайдите по SSH с новым паролем и сразу его смените на свой, надёжный:

ssh root@ВАШ_IP
# внутри системы задаём собственный пароль
passwd

Если такая кнопка есть — это конец истории, всё решается за минуту. Способ работает, даже когда система загружается нормально, а вы просто забыли пароль. К более сложным вариантам ниже стоит переходить, только если панель провайдера сброс не предлагает или сервер вообще не грузится.

Через rescue-режим

Второй универсальный способ — rescue-режим (аварийная загрузка). Провайдер загружает ваш VPS не с его диска, а с отдельной минимальной системы, из которой ваш диск виден как обычный раздел. Вы монтируете его, входите в окружение через chroot и меняете пароль штатной командой:

# смотрим разделы, находим корневой раздел вашей системы
lsblk
# монтируем его
mount /dev/vda1 /mnt
# входим в окружение вашей системы
chroot /mnt
# меняем пароль root
passwd
# выходим и перезагружаемся в обычном режиме
exit

После смены пароля выключите rescue-режим в панели и загрузите сервер как обычно. Этот способ надёжен и работает даже тогда, когда система повреждена настолько, что сама не стартует, — ведь вы правите её «снаружи». Именно rescue-режим спасает в большинстве нестандартных случаев.

Одна деталь, из-за которой chroot иногда ругается: если система использует отдельные разделы для boot или размещает данные на LVM, перед входом в окружение их тоже нужно смонтировать внутрь. Для базовой разметки достаточно корневого раздела, но если увидите ошибки о недоступных путях — смонтируйте boot в /mnt/boot и подключите служебные псевдо-файловые системы. В большинстве случаев на типовом VPS этого не требуется, и хватает одного mount корня, но знать про нюанс полезно, чтобы не растеряться при нестандартной разметке.

Через single-user или загрузчик GRUB

Если у вас есть доступ к консоли VPS (через панель, VNC), пароль можно сбросить, вмешавшись в загрузку через GRUB. Способ пригодится, когда rescue недоступен. В момент загрузки вы прерываете GRUB, правите строку запуска ядра, чтобы получить оболочку с правами root без запроса пароля:

# в меню GRUB нажмите e, найдите строку с linux, в её конец допишите:
init=/bin/bash
# затем Ctrl+X для загрузки
# файловая система смонтирована только для чтения — перемонтируем на запись
mount -o remount,rw /
passwd root
# синхронизируем и перезагружаемся
sync
exec /sbin/init

Ключевой момент, о котором забывают: корень изначально смонтирован только для чтения, и passwd молча не сработает, пока вы не перемонтируете его на запись командой remount,rw. Способ мощный, но требует аккуратности с синтаксисом строки ядра — ошибка приведёт к тому, что система не загрузится, и придётся повторять.

Стоит понимать и ограничение этого метода. Он требует, чтобы вы видели меню загрузчика и могли им управлять, а на многих VPS это возможно только через веб-консоль или VNC в панели провайдера — по обычному SSH меню GRUB не поймать. Кроме того, изменение строки ядра одноразовое: оно действует только на текущую загрузку и не сохраняется, так что случайно «сломать» загрузчик навсегда таким способом нельзя — при следующем старте всё вернётся к штатному варианту. Поэтому из трёх способов правку GRUB стоит держать про запас, а начинать всё же с панели или rescue.

Что делать, если и консоли нет

Бывает, что доступа ни к панели со сбросом, ни к rescue, ни к консоли нет вовсе — например, на совсем базовом тарифе у стороннего провайдера. Тогда остаётся два пути. Первый — обратиться в поддержку провайдера: у них есть доступ к гипервизору, и сброс пароля или запуск rescue входит в стандартные операции. Второй, крайний — переустановка системы с потерей данных, если бэкапов не было.

Это как раз повод выбирать провайдера, где нужные инструменты доступны вам самим, без обращений в поддержку. Возможность в любой момент зайти в панель, включить rescue или сбросить пароль root — это не роскошь, а базовое требование к VPS, которое экономит часы в критический момент. Если у текущего провайдера этого нет, стоит задуматься о переезде на площадку с полноценной панелью.

Почему теряется доступ и как этого избежать

Разберём причины, чтобы ситуация не повторялась. Чаще всего пароль просто забывают или теряют записку с ним. Реже — доступ ломается после неудачного изменения конфигурации SSH, когда вход по паролю случайно отключили, а ключ не настроили. Ещё вариант — сменилась команда, и уходящий сотрудник унёс единственный пароль.

Вывод из всех трёх причин один: не полагайтесь на пароль как на единственный способ входа. Настройте вход по SSH-ключу — его нельзя «забыть», он лежит у вас на машине, и им удобно управлять для нескольких администраторов. Пароль root при этом лучше вообще отключить для SSH, оставив его только для локальной консоли на крайний случай.

Защита доступа на будущее

Правильно настроенный доступ снимает саму проблему потери пароля. Базовая схема: вход только по ключу, пароль для SSH отключён, у каждого администратора свой ключ. Настраивается это в конфиге SSH:

# в /etc/ssh/sshd_config
PermitRootLogin prohibit-password
PasswordAuthentication no
# применяем
systemctl restart sshd

Добавьте резервный способ доступа: второй ключ, хранящийся отдельно, или проверенный доступ к rescue-режиму провайдера. Держите под рукой контакты панели, где можно сбросить доступ самостоятельно. У MAATRIX VPS идут с полноценной панелью и root-доступом в локациях RU, US и UK, с оплатой из России картой или криптой, — сброс пароля и rescue-режим доступны вам напрямую, без ожидания поддержки. Это и есть страховка от ситуации, с которой начинается статья.

Частые вопросы