ورود کوتاه‌مدت با گواهی OpenSSH و آزمون ابطال دسترسی

این گام فقط روی VM اختصاصی با SELinux فعال و سیاست استاندارد OpenSSH انجام می‌شود. قبل از افزودن، فهرست محلی نگاشت مسیر و همهٔ پورت‌ها را بخوانید: پورت انتخابی نباید نگاشت اختصاصی سرویس دیگری، مستقیم یا درون یک بازه، یا تغییر محلی قبلی داشته باشد و مسیر نباید معادل‌سازی قبلی داشته باشد. در صورت تعارض، مقدار تازه انتخاب کنید؛ نگاشت موجود را modify یا حذف نکنید. خطای نبود ابزار را با خاموش‌کردن SELinux دور نزنید. بازهٔ عمومی unreserved_port_t با نگاشت اختصاصی یک سرویس فرق دارد؛ آن را تغییر ندهید. این تمرین فقط یک نگاشت تازهٔ ssh_port_t برای پورت آزاد خود می‌افزاید و هرگز از گزینهٔ modify استفاده نمی‌کند.

پس از تأیید نبود تعارض، دو نگاشت جدید پایین فقط برای همین آزمایش اضافه می‌شوند. معادل‌سازی با شاخهٔ تنظیم SSH باعث می‌شود نام استاندارد کلید میزبان برچسب لازم بگیرد؛ restorecon را فقط روی شاخهٔ تازهٔ آزمایش اجرا کنید. خروجی را نگه دارید و تأیید کنید کلید میزبان sshd_key_t دارد. اگر سیاست نصب‌شده نتیجهٔ دیگری می‌دهد یا AVC باقی است، متوقف شوید؛ قاعدهٔ خودکار allow تولید نکنید. پورت فقط در سیاست SELinux ثبت می‌شود، نه در فایروال عمومی.

getenforce
sudo semanage fcontext -l -C
sudo semanage port -l
read -r -p 'Type ADD-LAB-MAPPINGS only after checking the conditions above: ' academy_policy_confirm
test "$academy_policy_confirm" = ADD-LAB-MAPPINGS || exit 1
sudo semanage fcontext -a -e /etc/ssh '/var/lib/academy-ssh-cert-lab' || exit 1
sudo semanage port -a -t ssh_port_t -p tcp '22222' || exit 1
sudo restorecon -Rv '/var/lib/academy-ssh-cert-lab'
ls -Zd '/var/lib/academy-ssh-cert-lab' '/var/lib/academy-ssh-cert-lab/ssh_host_rsa_key'
matchpathcon '/var/lib/academy-ssh-cert-lab/ssh_host_rsa_key'
sudo ausearch -m AVC,USER_AVC -ts recent

اعتبارسنجی نحو و نمایش تنظیمات مؤثر را با مسیر صریح فایل آزمایش اجرا کنید. port، listenaddress، مسیر اعتماد و ابطال، روش احراز هویت و فرمان اجباری باید با همین تمرین یکی باشند.

اگر ابزار از پیش‌نیاز بسته‌ای مانند شاخهٔ privilege separation شکایت کرد، همان نصب VM را از روند بومی بسته اصلاح کنید. تنظیمات سرویس اصلی را تغییر ندهید و برای عبور از خطا، جداسازی یا SELinux را خاموش نکنید.

sudo /usr/sbin/sshd -t -f '/var/lib/academy-ssh-cert-lab/sshd_config' || exit 1
sudo /usr/sbin/sshd -T -f '/var/lib/academy-ssh-cert-lab/sshd_config' | awk '$1 ~ /^(port|listenaddress|trustedusercakeys|authorizedprincipalsfile|revokedkeys|forcecommand|authenticationmethods|authorizedkeysfile)$/ {print}'

روی همان VM یک ترمینال مجاز جدا باز کنید و این فرایند foreground را در آن اجرا نگه دارید. فرمان، سرویس SSH اصلی را start، restart یا enable نمی‌کند.

ترمینال daemon محل دیدن دلیل رد گواهی است؛ خروجی آن می‌تواند نام کاربر داشته باشد و باید خصوصی بماند. در پایان تمرین، فقط همین فرایند را با Ctrl+C متوقف کنید.

sudo /usr/sbin/sshd -D -e -f '/var/lib/academy-ssh-cert-lab/sshd_config'

در ترمینال دوم، listener را بررسی و fingerprint host key ساخته‌شده را تطبیق دهید. known_hosts جدا را از همان کلید عمومی محلی تهیه می‌کنیم؛ یک keyscan شبکه‌ای به‌تنهایی هویت سرور دور را تأیید نمی‌کند.

هیچ ورودی known_hosts عادی حذف نمی‌شود و بررسی host key هم خاموش نمی‌شود. فایل جدا فقط به همین loopback و پورت آزمایش مربوط است.

sudo ss -lntp 'sport = :22222'
sudo ssh-keygen -lf '/var/lib/academy-ssh-cert-lab/ssh_host_rsa_key.pub'
sudo awk '{print "[127.0.0.1]:22222 " $1 " " $2}' '/var/lib/academy-ssh-cert-lab/ssh_host_rsa_key.pub' | sudo tee '/var/lib/academy-ssh-cert-lab/known_hosts' >/dev/null
sudo chmod 0644 '/var/lib/academy-ssh-cert-lab/known_hosts'

فقط کلید عمومی کاربر امضا می‌شود. serial1001 و key ID این صدور را مشخص می‌کنند و principal باید با نگاشت حساب یکی باشد. صدور را اینجا انجام می‌دهیم تا اعتبار پانزده‌دقیقه‌ای هنگام آماده‌سازی محیط از دست نرود.

یک دقیقه ارفاق شروع، جای ساعت درست را نمی‌گیرد. با پاک‌شدن extensionهای پیش‌فرض، مجوز forwarding و PTY اضافه نمی‌شود؛ daemon نیز فرمان ثابت را تحمیل می‌کند. passphrase کلید CA را تعاملی وارد کنید.

sudo ssh-keygen -s '/var/lib/academy-ssh-cert-lab/user-ca' -I academy-user-1001 -z 1001 -n 'academy-operator' -V -1m:+15m -O clear '/var/lib/academy-ssh-cert-lab/client.pub'
sudo ssh-keygen -L -f '/var/lib/academy-ssh-cert-lab/client-cert.pub'

کلاینت فقط فایل رسمی سیاست الگوریتم‌های رمزنگاری سیستم را می‌خواند؛ تنظیمات شخصی و فایل اصلی کلاینت SSH استفاده نمی‌شوند. کلید و گواهی آزمایش، known_hosts اختصاصی و نبود agent صریح‌اند. اگر سیاست فعال الگوریتم یا نوع گواهی را رد می‌کند، آن را برای عبور از آزمایش ضعیف نکنید. پس از واردکردن گذرواژهٔ کلید کاربر، تنها فرمان ثابت id باید هویت labuser را نشان دهد و اتصال بسته شود.

sudo ssh -F /etc/crypto-policies/back-ends/openssh.config -o StrictHostKeyChecking=yes -o 'UserKnownHostsFile=/var/lib/academy-ssh-cert-lab/known_hosts' -o IdentitiesOnly=yes -o IdentityAgent=none -i '/var/lib/academy-ssh-cert-lab/client' -o 'CertificateFile=/var/lib/academy-ssh-cert-lab/client-cert.pub' -p '22222' 'labuser@127.0.0.1'