Qué indica el aviso
Un servidor demuestra su identidad mediante una clave de host. Cuando difiere de la que tu cliente guardó anteriormente, OpenSSH muestra REMOTE HOST IDENTIFICATION HAS CHANGED y rechaza la conexión. El cliente no puede distinguir un cambio inofensivo de un ataque, así que considera el aviso pendiente de resolver hasta haberlo comprobado.
Causas habituales
Las causas más comunes son un servidor reinstalado, una máquina virtual restaurada o clonada a partir de una imagen, una dirección que ahora está asignada a otra máquina y un balanceador de carga que te dirige a distintos nodos. Un atacante que intercepta la conexión provoca el mismo aviso. Si no esperabas un cambio, detente y no introduzcas ninguna contraseña.
Compara las huellas
Consulta la huella real en el servidor por un canal que no dependa de esta conexión SSH, como la consola del proveedor o la del hipervisor. El comando ssh-keyscan solo muestra lo que te presenta la red, por lo que no demuestra nada por sí solo. Solo sirve para compararlo con el valor obtenido en la consola.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Sustituye la entrada antigua
Solo cuando las huellas coincidan, elimina la entrada antigua y vuelve a conectar. Un puerto no estándar tiene su propia entrada escrita con corchetes. ssh-keygen conserva el archivo anterior como known_hosts.old. No desactives StrictHostKeyChecking ni borres todo el archivo known_hosts, porque eso elimina la protección para todos tus servidores.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleEvita el aviso tras una reinstalación
Si vas a reinstalar un servidor y quieres conservar su identidad, haz una copia de seguridad protegida de las claves de host de /etc/ssh y restáuralas con el mismo propietario y los mismos permisos. Haz lo contrario con los clones: cada máquina creada a partir de una misma imagen necesita sus propias claves de host; de lo contrario, varios servidores comparten una sola identidad.
Claves de host en CH-J Server Manager
La aplicación guarda las huellas SHA-256 de las claves de host en su bóveda cifrada, por separado del archivo known_hosts de OpenSSH. Ante un cambio bloquea la conexión y muestra la huella conocida y la nueva. La entrada solo se sustituye si lo confirmas, y cancelar no cambia nada. En Alpha 0.1.1 la comprobación también abarca cada servidor de salto, y una transferencia en curso se detiene cuando cambia la clave. La aplicación no puede verificar la nueva huella por ti, así que la comprobación por otro canal sigue siendo tu responsabilidad.