Ano ang sinasabi ng babala
Pinatutunayan ng server ang pagkakakilanlan nito gamit ang host key. Kapag iba ang key sa naunang na-save ng iyong client, ipinapakita ng OpenSSH ang REMOTE HOST IDENTIFICATION HAS CHANGED at tinatanggihan ang koneksiyon. Hindi matukoy ng client kung hindi mapanganib na pagbabago o pag-atake ang dahilan, kaya ituring na hindi pa nalulutas ang babala hangga’t hindi mo ito nasusuri.
Mga karaniwang sanhi
Karaniwang sanhi ang muling pag-install ng server, VM na na-restore o na-clone mula sa image, address na nakatalaga na ngayon sa ibang machine, at load balancer na nagpapadala sa iyo sa magkakaibang node. Ganoon din ang babala kapag may umaatake na humaharang sa koneksiyon. Kung hindi mo inaasahan ang pagbabago, huminto at huwag maglagay ng password.
Ihambing ang mga fingerprint
Basahin ang tunay na fingerprint sa server sa pamamagitan ng channel na hindi umaasa sa SSH connection na ito, gaya ng console ng provider o hypervisor console. Ipinapakita lang ng ssh-keyscan command kung ano ang inihaharap sa iyo ng network, kaya wala itong napapatunayan nang mag-isa. Kapaki-pakinabang lang ito sa paghahambing sa halagang nakuha mula sa console.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Palitan ang lumang entry
Kapag nagtugma na ang mga fingerprint, saka lamang alisin ang lumang entry at kumonekta muli. May sariling entry ang di-karaniwang port na isinusulat gamit ang mga square bracket. Pinananatili ng ssh-keygen ang dating file bilang known_hosts.old. Huwag patayin ang StrictHostKeyChecking at huwag burahin ang buong known_hosts file dahil inaalis nito ang proteksiyon para sa lahat ng iyong server.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleIwasan ang babala matapos mag-install muli
Kung plano mong buuing muli ang server at nais mong panatilihin ang pagkakakilanlan nito, ligtas na i-back up ang mga host key sa /etc/ssh at i-restore ang mga ito na may parehong may-ari at permiso. Kabaligtaran ang gawin sa mga clone: kailangan ng bawat machine na ginawa mula sa iisang image ang sarili nitong mga host key, kung hindi ay iisang pagkakakilanlan ang pagsasaluhan ng maraming server.
Mga host key sa CH-J Server Manager
Iniimbak ng app ang SHA-256 fingerprint ng mga host key sa naka-encrypt na vault nito, hiwalay sa known_hosts file ng OpenSSH. Kapag may pagbabago, hinaharangan nito ang koneksiyon at ipinapakita ang kilala at bagong fingerprint. Pinapalitan lang ang entry kapag kinumpirma mo, at walang nababago kapag kinansela. Sa Alpha 0.1.1, kasama rin sa pagsusuri ang bawat jump host, at humihinto ang kasalukuyang paglilipat kapag nagbago ang key. Hindi mapatutunayan ng app ang bagong fingerprint para sa iyo, kaya responsibilidad mo pa rin ang pagsusuri sa ibang channel.