ورود کوتاه‌مدت با گواهی OpenSSH و آزمون ابطال دسترسی

در این مسیر، daemon فقط روی loopback اجرا می‌شود. پورت عمومی باز نکنید. اگر سیاست امنیتی میزبان اجرای این فرایند یا خواندن فایل‌های تازه را منع می‌کند، با شواهد همان denial متوقف شوید و مشکل را در محدودهٔ VM حل کنید؛ SSH اصلی و کنترل دسترسی آن تغییر نمی‌کند.

sudo journalctl -k --since '-10 min' --no-pager -n 80

اعتبارسنجی نحو و نمایش تنظیمات مؤثر را با مسیر صریح فایل آزمایش اجرا کنید. port، listenaddress، مسیر اعتماد و ابطال، روش احراز هویت و فرمان اجباری باید با همین تمرین یکی باشند.

اگر ابزار از پیش‌نیاز بسته‌ای مانند شاخهٔ privilege separation شکایت کرد، همان نصب VM را از روند بومی بسته اصلاح کنید. تنظیمات سرویس اصلی را تغییر ندهید و برای عبور از خطا، جداسازی یا SELinux را خاموش نکنید.

sudo /usr/sbin/sshd -t -f '/var/lib/academy-ssh-cert-lab/sshd_config' || exit 1
sudo /usr/sbin/sshd -T -f '/var/lib/academy-ssh-cert-lab/sshd_config' | awk '$1 ~ /^(port|listenaddress|trustedusercakeys|authorizedprincipalsfile|revokedkeys|forcecommand|authenticationmethods|authorizedkeysfile)$/ {print}'

روی همان VM یک ترمینال مجاز جدا باز کنید و این فرایند foreground را در آن اجرا نگه دارید. فرمان، سرویس SSH اصلی را start، restart یا enable نمی‌کند.

ترمینال daemon محل دیدن دلیل رد گواهی است؛ خروجی آن می‌تواند نام کاربر داشته باشد و باید خصوصی بماند. در پایان تمرین، فقط همین فرایند را با Ctrl+C متوقف کنید.

sudo /usr/sbin/sshd -D -e -f '/var/lib/academy-ssh-cert-lab/sshd_config'

در ترمینال دوم، listener را بررسی و fingerprint host key ساخته‌شده را تطبیق دهید. known_hosts جدا را از همان کلید عمومی محلی تهیه می‌کنیم؛ یک keyscan شبکه‌ای به‌تنهایی هویت سرور دور را تأیید نمی‌کند.

هیچ ورودی known_hosts عادی حذف نمی‌شود و بررسی host key هم خاموش نمی‌شود. فایل جدا فقط به همین loopback و پورت آزمایش مربوط است.

sudo ss -lntp 'sport = :22222'
sudo ssh-keygen -lf '/var/lib/academy-ssh-cert-lab/host.pub'
sudo awk '{print "[127.0.0.1]:22222 " $1 " " $2}' '/var/lib/academy-ssh-cert-lab/host.pub' | sudo tee '/var/lib/academy-ssh-cert-lab/known_hosts' >/dev/null
sudo chmod 0644 '/var/lib/academy-ssh-cert-lab/known_hosts'

فقط کلید عمومی کاربر امضا می‌شود. serial1001 و key ID این صدور را مشخص می‌کنند و principal باید با نگاشت حساب یکی باشد. صدور را اینجا انجام می‌دهیم تا اعتبار پانزده‌دقیقه‌ای هنگام آماده‌سازی محیط از دست نرود.

یک دقیقه ارفاق شروع، جای ساعت درست را نمی‌گیرد. با پاک‌شدن extensionهای پیش‌فرض، مجوز forwarding و PTY اضافه نمی‌شود؛ daemon نیز فرمان ثابت را تحمیل می‌کند. passphrase کلید CA را تعاملی وارد کنید.

sudo ssh-keygen -s '/var/lib/academy-ssh-cert-lab/user-ca' -I academy-user-1001 -z 1001 -n 'academy-operator' -V -1m:+15m -O clear '/var/lib/academy-ssh-cert-lab/client.pub'
sudo ssh-keygen -L -f '/var/lib/academy-ssh-cert-lab/client-cert.pub'

از کلید و گواهی همین آزمایش، known_hosts جدا و agent غیرفعال استفاده کنید. passphrase کلید کاربر را در ترمینال وارد کنید. تنظیم کاربر و سیستم برای این درخواست کنار گذاشته می‌شود تا مسیر احراز هویت پنهان دیگری وارد بررسی نشود.

سرور مستقل از فرمان درخواستی، فقط id را با حساب labuser اجرا می‌کند. این نتیجه فقط همین CA، principal، اعتبار زمانی و حساب را می‌سنجد؛ آزمون نگهداری CA محیط عملیاتی یا rollout ناوگان نیست.

sudo ssh -F /dev/null -o StrictHostKeyChecking=yes -o 'UserKnownHostsFile=/var/lib/academy-ssh-cert-lab/known_hosts' -o IdentitiesOnly=yes -o IdentityAgent=none -i '/var/lib/academy-ssh-cert-lab/client' -o 'CertificateFile=/var/lib/academy-ssh-cert-lab/client-cert.pub' -p '22222' 'labuser@127.0.0.1'