Hvad advarslen fortæller
En server beviser sin identitet med en værtsnøgle. Når nøglen er forskellig fra den, din klient tidligere har gemt, viser OpenSSH REMOTE HOST IDENTIFICATION HAS CHANGED og afviser forbindelsen. Klienten kan ikke skelne en harmløs ændring fra et angreb, så betragt advarslen som uafklaret, indtil du har undersøgt den.
Almindelige årsager
De sædvanlige årsager er en geninstalleret server, en VM gendannet eller klonet fra et image, en adresse, der nu er tildelt en anden maskine, og en belastningsfordeler, der sender dig til forskellige noder. En angriber, der opsnapper forbindelsen, udløser samme advarsel. Hvis du ikke forventede en ændring, skal du stoppe og undlade at indtaste en adgangskode.
Sammenlign fingeraftrykkene
Aflæs det rigtige fingeraftryk på serveren via en kanal, der ikke afhænger af denne SSH-forbindelse, for eksempel udbyderens konsol eller en hypervisorkonsol. Kommandoen ssh-keyscan viser kun det, netværket præsenterer for dig, så den beviser ikke noget i sig selv. Den er kun nyttig til sammenligning med værdien fra konsollen.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Erstat den gamle post
Fjern først den gamle post, når fingeraftrykkene stemmer overens, og opret derefter forbindelse igen. En port, der afviger fra standarden, har sin egen post med kantede parenteser. ssh-keygen gemmer den tidligere fil som known_hosts.old. Slå ikke StrictHostKeyChecking fra, og slet ikke hele known_hosts-filen, da det fjerner beskyttelsen for alle dine servere.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleUndgå advarslen efter en geninstallation
Hvis du planlægger at geninstallere en server og vil bevare dens identitet, skal du sikkerhedskopiere værtsnøglerne i /etc/ssh på en sikker måde og gendanne dem med samme ejer og rettigheder. Gør det modsatte ved kloner: hver maskine oprettet fra samme image skal have sine egne værtsnøgler, ellers deler flere servere én identitet.
Værtsnøgler i CH-J Server Manager
Applikationen gemmer SHA-256-fingeraftryk af værtsnøgler i sin krypterede boks, separat fra OpenSSH-filen known_hosts. Ved en ændring blokerer den forbindelsen og viser det kendte og det nye fingeraftryk. Posten erstattes kun, hvis du bekræfter det, og annullering ændrer intet. I Alpha 0.1.1 omfatter kontrollen også hver springvært, og en igangværende overførsel stopper, når nøglen ændres. Applikationen kan ikke kontrollere det nye fingeraftryk for dig, så kontrollen via en anden kanal er stadig din opgave.