امن‌سازی SSH در ۲۰۲۶؛ ورود با کلید بدون قطع دسترسی

محیط و مسیر بازیابی را مشخص کنید

این راهنما در اواخر ۲۰۲۶ بررسی شده و مثال آن Ubuntu Server با OpenSSH است. نام سرویس و مسئول تنظیمات در توزیع یا کنترل‌پنل دیگر فرق دارد. پیش از ویرایش، کنسول بازیابی شرکت زیرساخت را امتحان کنید، نشست فعلی SSH را باز نگه دارید و مطمئن شوید یک مدیر غیر root امکان sudo دارد. پورت واقعی و مدیران نیازمند دسترسی را بنویسید.

روی دستگاه خودتان کلید اختصاصی بسازید

فرمان اول روی کامپیوتر خودتان اجرا می‌شود. نام فایل استفاده‌نشده انتخاب کنید و هنگام درخواست، عبارت عبور بگذارید. مرجع ساخت کلید OpenSSH جزئیات را توضیح می‌دهد؛ در محیط دارای سیاست رمزنگاری خاص، نوع کلید موردتأیید همان محیط را انتخاب کنید.

ssh-keygen -t ed25519 -f ~/.ssh/kiava_admin_2026
ssh-copy-id -i ~/.ssh/kiava_admin_2026.pub -p YOUR_SSH_PORT admin@YOUR_SERVER

جای‌نگهدارهای انگلیسی را پیش از اجرای فرمان دوم عوض کنید. فقط فایل عمومی ‎.pub به سرور منتقل می‌شود. از ترمینال دوم، ورود با کلید خصوصی، همان کاربر و پورت را امتحان کنید و دسترسی sudo را هم تأیید کنید.

سیاست مؤثر ورود را بررسی کنید

راهنمای SSH اوبونتو بررسی پیکربندی پیش از اعمال را توصیه می‌کند. نسخهٔ پشتیبان تنظیمات بگیرید و فایل‌های include و بخش‌های Match را ببینید. دو فرمان زیر ساختار و تنظیمات پیش‌فرض مؤثر را بررسی می‌کنند:

sudo sshd -t
sudo sshd -T

برای قوانین Match از گزینه‌های آزمون مختص اتصال نیز استفاده کنید. معنای تنظیمات احراز هویت را پیش از تغییر بخوانید. در محیط آزمایش‌شدهٔ فقط‌کلید، PasswordAuthentication no و PermitRootLogin no می‌توانند مناسب باشند. اگر روش MFA به keyboard-interactive نیاز دارد، آن را غیرفعال نکنید.

هر بار یک تغییر کنترل‌شده اعمال کنید

پس از موفقیت بررسی ساختار، در اوبونتو از sudo systemctl reload ssh.service استفاده کنید. نشست اولیه را باز بگذارید و یک اتصال کاملاً تازه بسازید؛ شل قبلی سالم، صحت ورود جدید را ثابت نمی‌کند. کاربر مدیر و مسیر بازیابی مستند را بررسی کنید. اگر کلید کار نکرد، مالکیت و مجوزهای authorized_keys را هم ببینید.

برگشت و پذیرش تغییر

اگر اتصال تازه ناموفق بود، از نشست باز یا کنسول، تنظیمات ذخیره‌شده را برگردانید و پس از بررسی ساختار دوباره بارگذاری کنید. تغییر فایروال و احراز هویت را هم‌زمان روی هم نگذارید. نام کاربر، پورت، روش ورود و مسئول بازیابی را ثبت کنید. مرحلهٔ شبکه را با راهنمای اجرای فایروال جدا انجام دهید یا برای محیط مدیریت‌شده از خدمات فناوری اطلاعات کیاوا کمک بگیرید.