په یو ناباوري VPN کې ستاسو د SSH پټنوم واقعاً څوک ویني؟

یوه SSH ناسته د هغه VPN له لارې تېره کړئ چې تاسو یې پخپله نه مدیریت کوئ، او پټنوم لا هم د SSH سرور دی، نه د منځني شبکې۔ که تر تایید شوي هوسټ پورې لېږد په سمه توګه ساتل شوی وي، په هغه لار کې یو غیرفعال څارونکی پټنوم د لوستلو وړ بڼه کې نه ترلاسه کوي۔ خو یو شرط بدل کړئ، او ځواب هم بدلیږي: ناتایید شوی هوسټ، کمزوری شوی د کوډونکو لړلیک، یا زیانمن شوی کاري سټیشن ټول بېلابېل پایلې ورکوي۔ لاندې څېړنې په ترتیب سره ترسره کړئ، او هر یو د درېدو شرط وګڼئ۔

له هر څه لیکلو دمخه د ترلاسه کوونکي نوم واخله

د پټنوم ساحه د تصدیق په پیغام کې دننه سفر کوي، او هغه پیغام د کوډ شوي لېږد په دننه کې سفر کوي۔ محرمیت د لېږد ځانګړنه ده، یعنې دا په دې پورې تړلې ده چې ساتنه پرې خبرې شوې که نه، او ایا له هغه هوسټ سره خبرې شوې چې تاسو یې په نظر کې درلودل۔ خلک دقیقاً همدا دویمه نیمه پرېږدي۔ له یو غولونکي سره کوډ شوې اړیکه په یو وخت کې محرمه او بېګټې ده۔ د VPN ننوتل د SSH هوسټ په اړه هېڅ نه ثابتوي، او د برابرونکي نوم ښه والی د کیلي څېړنې بدیل نه دی۔

دواړه لوري په ذهن کې جلا وساتئ۔ د هوسټ کیلي ځواب ورکوي چې تاسو کوم سرور ته ورسېدلئ۔ د پټنوم یا کیلي تصدیق ځواب ورکوي چې سرور کوم کارن مني۔ د دویم سمول لومړی هېڅکله نه جوړوي۔

د هوسټ هویت، ریکارډ او خبرې وڅېړئ

په کلاینټ کې له هغه ریکارډ پیل کړئ چې دمخه مو لرئ۔ یو خپور شوی ګوته نښه چې له باوري سرچینې سره پرتله شي، او د known_hosts هغه ننوت چې لا هم سمون لري، د تصدیق له پیل دمخه یوازینی مهم شاهد درکوي۔

ssh-keygen -F ssh.internal.example.net -f ~/.ssh/known_hosts
ssh -o StrictHostKeyChecking=yes ssh.internal.example.net

د سرور په اړخ کې هغه ګوته نښې چاپ کړئ چې غواړئ خپرې کړئ، نه دا چې له حافظې کاپي کړئ۔ د هغوی خپرول له چینل بهر اصلي خبره ده؛ هغه ګوته نښه چې له هماغه چټ چینل څخه چپه شوې وي چې د هوسټ نوم پکې دی یوازې دا ثابتوي چې دواړه له یو ځای څخه راغلي۔

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
sudo sshd -T | grep -E 'hostkey|kexalgorithms|cipher'

خبرې شوې الګوریتمونه د دواړو خواو له مینځګړیتوب څخه راځي۔ که د کلاینټ ترتیبات د یوې زړې وسیلې ته د رسېدو لپاره یو له منځه تللی کیلي تبادله ټینګه کړي، هغه انتخاب پر هر هغه هوسټ پلي کیږي چې ورسره خبرې کوي، نو هغه یې پر هماغه هوسټ محدود کړئ نه په نړیواله توګه۔

هغه مېتودونه ولولئ چې سرور یې واقعاً مني

په دې پوهېدل چې سرور کوم د تصدیق مېتودونه اجازه ورکوي تاسو ته وایي چې پټنوم په اصل کې د څه لپاره دی۔ هغه هوسټ چې یوازې عامه کیلي مني د ساتلو وړ د پټنوم تبادله نه لري، او هغه هوسټ چې لا هم پټنومونه مني د میراثي ډیفالټ پر ځای د پوهاوي پر بنسټ پرېکړې وړ دی۔

sudo sshd -T | grep -E 'passwordauthentication|pubkeyauthentication|permitrootlogin'

د یو کارن کیلي تصدیق ته لېږدول د هغه کارن پټنوم له هغه تبادلې څخه باسي۔ دا نه زیانمن شوی کاري سټیشن خوندي کوي، او نه ناباوري لرې ناسته بې زیانه کوي۔ دا بېلابېل خطرونه د بېلابېلو کنټرولونو سره دي۔ د اجنټ لېږد په اړه هم پرېکړه وکړئ۔ اجنټ ناباوري هوسټ ته لېږل هغه هوسټ ته دا وړتیا ورکوي چې تر هغه چې ناسته دوام کوي ستاسو کیلي وکاروي، او دا له هغه پټنوم پوښتنې چې هر څه پرې پیل شول لویه ښکارېدنه ده۔

د هوسټ کیلي خبرداری د پېښې په توګه وګڼئ

کله چې کلاینټ خبرداری ورکړ چې د هوسټ پېژندنه بدله شوې، ودرېږئ او د هغه چینل له لارې تایید کړئ چې له هماغه شبکې لار څخه نه تېریږي۔ ګوته نښه له سرور کنسول یا له هغه چلوونکي سره پرتله کړئ چې بیا یې جوړ کړی۔ د خبرداری د غلي کولو لپاره زوړ ننوت ړنګول یوازینی کړنه ده چې باید رد یې کړئ۔ دا شاهد غورځوي او ممکنه مداخله په عادي ننوتل بدلوي۔

که هوسټ په قانوني توګه بیا جوړ شوی وي، زوړ ننوت یوازې د نوي ګوته نښې له تایید وروسته لرې کړئ، بیا بیا وصل شئ او خبرې بیا وڅېړئ۔ بدلون د نیټې او دلیل سره ثبت کړئ، ځکه بل کس به هماغه خبرداری وویني او باید پوه شي چې حل شوی دی۔

دا لارښود څه نه پوښي

هغه VPN چلوونکی چې ټرافیک ګوري د هغه سافټویر سره یو شان نه دی چې ستاسو په ماشین کې ځایي امتیازات لري۔ د پای نقطې زیانمنېدنه، د براوزر دوښمنه غځېدنه یا د کیبورډ ثبتوونکی د هغه هر څه لاندې دي چې SSH پرې خبرې کولی شي، او هېڅ تونل دا نه بدلوي۔ که کاري سټیشن شکمن وي، د پېښې بهیر تعقیب کړئ نه دا چې له بل وتلو څخه بیا وصل کیدو سره پټوالی وآزموئ۔ بیا وصل کیدل ثابتوي چې شبکه لار بدله شوې او د پای نقطې په اړه هېڅ نه۔

له عادي قضیې سره پای ته ورسئ: تایید شوی هوسټ، ساتل شوی لېږد، هغه تصدیق مېتود چې په قصد مو غوښتی، او هېڅ غیرضروري لېږد نه۔ همدا ترکیب د سرلیک پوښتنې ځواب دی، او دا یوه نه بلکې څلور پرېکړې دي۔