ورود کوتاه‌مدت با گواهی OpenSSH و آزمون ابطال دسترسی

این گام روی همان میزبان آزمایش یا عیب‌یابی اجرا می‌شود. نام و نسخهٔ سیستم‌عامل و بسته‌های فهرست‌شده را با محیط انتخابی تطبیق دهید. اگر ابزاری نصب نیست، ابتدا از مخزن رسمی فعال و روند مجاز مدیریت بستهٔ خود آن را نصب کنید؛ این آموزش سرور موجود را دوباره نصب یا مخزنش را عوض نمی‌کند.

مسیر پیش‌فرض برای Ubuntu 26.10 بررسی شده است؛ گزینه‌های 26.04 LTS و 24.04 LTS نیز در دسترس‌اند. بسته‌ها را با همان انتشار و پیکربندی واقعی میزبان تطبیق دهید.

نام بستهٔ کلاینت در این مسیر openssh-client است. سرویس عادی ssh (و گاهی ssh.socket) فقط برای ثبت وضع موجود بررسی می‌شود؛ تمرین، آن را start، restart یا reload نمی‌کند. حساب آزمایش باید از قبل معتبر، غیر root و مجاز باشد. روی خانوادهٔ Red Hat، کلیدهای آزمایش RSA با اندازهٔ 3072 بیت ساخته می‌شوند؛ Ed25519 در حالت FIPS قابل استفاده نیست. استفاده از RSA در اینجا به معنی تأیید FIPS کل محیط نیست.

اگر پیش‌نیاز بسته یا دایرکتوری privilege separation موجود نیست، قبل از ساخت آزمایش، آماده‌سازی رسمی همان بسته را روی VM انجام دهید. نبود /run/sshd را با خاموش‌کردن privilege separation یا تغییر SSH اصلی دور نزنید.

cat /etc/os-release
dpkg-query -W openssh-server openssh-client iproute2
command -v ssh ssh-keygen ss
systemctl show ssh.service -p ActiveState -p FragmentPath
sudo test -x /usr/sbin/sshd
sudo test -d /run/sshd

نشست مدیریت عادی را باز نگه دارید. حساب labuser باید از قبل وجود داشته، غیرroot و مجاز به ورود باشد. نبود حساب، قفل‌بودن آن یا اشغال‌بودن پورت 22222 دلیل توقف است؛ این آموزش PAM یا وضعیت حساب را تغییر نمی‌دهد.

/var/lib/academy-ssh-cert-lab باید مسیر تازه باشد، نه symlink، mount یا دادهٔ برنامه. خروجی پورت را بخوانید؛ اگر شنونده‌ای دیده می‌شود، پورت تازه‌ای در تنظیمات انتخاب کنید.

date -u +'%Y-%m-%dT%H:%M:%SZ'
ssh -V
getent passwd 'labuser'
test "$(id -u 'labuser')" -ne 0 || exit 1
sudo ss -lntp 'sport = :22222'
sudo test ! -e '/var/lib/academy-ssh-cert-lab' || exit 1
sudo mkdir -m 0700 -- '/var/lib/academy-ssh-cert-lab'

کلید CA برای امضا، کلید کاربر برای ورود و host key برای شناسایی همین listener است؛ کلیدهای محیط عملیاتی را در این آزمایش استفاده نکنید. کلید CA و کاربر passphrase تعاملی دارند. مقدار را فقط در ترمینال وارد کنید و هیچ فایل موجودی را بازنویسی نکنید.

host key آزمایش بدون passphrase است تا daemon بتواند آن را بخواند، اما فایل خصوصی root-only می‌ماند. نوع کلید در مسیر سیستم‌عامل انتخابی مشخص شده است؛ محدودیت سیاست رمزنگاری را با فعال‌کردن الگوریتم قدیمی دور نزنید.

sudo ssh-keygen -t ed25519 -f '/var/lib/academy-ssh-cert-lab/user-ca' -C academy-lab-ca
sudo ssh-keygen -t ed25519 -f '/var/lib/academy-ssh-cert-lab/client' -C academy-lab-user
sudo ssh-keygen -t ed25519 -N '' -f '/var/lib/academy-ssh-cert-lab/host' -C academy-lab-host
sudo ssh-keygen -lf '/var/lib/academy-ssh-cert-lab/user-ca.pub'
sudo ssh-keygen -lf '/var/lib/academy-ssh-cert-lab/host.pub'

فایل principals فقط academy-operator را برای حساب labuser مجاز می‌کند. sshd ممکن است این فایل را با دسترسی حساب هدف بخواند؛ به همین دلیل دایرکتوری والد مجوز عبور 0711 دارد و فایل نگاشت عمومی در شاخه‌ای با مجوز 0755 و با مجوز فایل 0644 قرار می‌گیرد.

فهرست شاخه و کلیدهای خصوصی عمومی نمی‌شوند؛ هر کلید خصوصی root0600 می‌ماند. RevokedKeys ابتدا یک فایل متن خالی و خواندنی است. ناخواندنی‌شدن آن می‌تواند همهٔ احراز هویت public key این listener را رد کند، پس خوانایی و جایگزینی سالمش مهم است.

sudo chmod 0600 '/var/lib/academy-ssh-cert-lab/user-ca' '/var/lib/academy-ssh-cert-lab/client' '/var/lib/academy-ssh-cert-lab/host'
sudo chmod 0711 '/var/lib/academy-ssh-cert-lab'
sudo install -d -m 0755 '/var/lib/academy-ssh-cert-lab/principals'
printf '%s\n' 'academy-operator' | sudo tee '/var/lib/academy-ssh-cert-lab/principals/labuser' >/dev/null
sudo chmod 0644 '/var/lib/academy-ssh-cert-lab/principals/labuser'
sudo install -m 0644 /dev/null '/var/lib/academy-ssh-cert-lab/revoked'
sudoedit '/var/lib/academy-ssh-cert-lab/sshd_config'