Ko nozīmē brīdinājums
Serveris apliecina savu identitāti ar hosta atslēgu. Ja atslēga atšķiras no tās, kuru klients saglabājis iepriekš, OpenSSH parāda REMOTE HOST IDENTIFICATION HAS CHANGED un atsaka savienojumu. Klients nevar atšķirt nekaitīgas izmaiņas no uzbrukuma, tāpēc uzskatiet brīdinājumu par neatrisinātu, līdz esat veicis pārbaudi.
Biežākie cēloņi
Parastie cēloņi ir pārinstalēts serveris, no attēla atjaunota vai klonēta virtuālā mašīna, adrese, kas tagad piešķirta citai mašīnai, un slodzes līdzsvarotājs, kas novirza uz dažādiem mezgliem. Uzbrucējs, kurš pārtver savienojumu, izraisa tādu pašu brīdinājumu. Ja izmaiņas negaidījāt, apstājieties un neievadiet paroli.
Salīdziniet pirkstu nospiedumus
Nolasiet īsto pirksta nospiedumu serverī, izmantojot kanālu, kas nav atkarīgs no šī SSH savienojuma, piemēram, pakalpojumu sniedzēja vai hipervizora konsoli. Komanda ssh-keyscan rāda tikai to, ko jums uzrāda tīkls, tāpēc pati par sevi neko nepierāda. Tā noder tikai salīdzināšanai ar konsolē iegūto vērtību.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Aizstājiet veco ierakstu
Tikai pēc pirkstu nospiedumu sakritības izdzēsiet veco ierakstu un pievienojieties vēlreiz. Nestandarta portam ir savs ieraksts ar kvadrātiekavām. ssh-keygen saglabā iepriekšējo failu kā known_hosts.old. Neatslēdziet StrictHostKeyChecking un nedzēsiet visu known_hosts failu, jo tā tiek noņemta visu jūsu serveru aizsardzība.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleIzvairieties no brīdinājuma pēc pārinstalēšanas
Ja plānojat no jauna izveidot serveri un vēlaties saglabāt tā identitāti, droši dublējiet hosta atslēgas mapē /etc/ssh un atjaunojiet tās ar to pašu īpašnieku un atļaujām. Ar kloniem rīkojieties pretēji: katrai no viena attēla izveidotai mašīnai vajadzīgas savas hosta atslēgas, citādi vairākiem serveriem ir viena identitāte.
Hosta atslēgas lietotnē CH-J Server Manager
Lietotne glabā hosta atslēgu SHA-256 pirkstu nospiedumus savā šifrētajā glabātuvē, atsevišķi no OpenSSH faila known_hosts. Izmaiņu gadījumā tā bloķē savienojumu un parāda zināmo un jauno pirksta nospiedumu. Ieraksts tiek aizstāts tikai ar jūsu apstiprinājumu, un atcelšana neko nemaina. Alpha 0.1.1 pārbaude aptver arī katru starpniekserveri savienojuma ķēdē, un notiekoša pārsūtīšana apstājas, ja mainās atslēga. Lietotne nevar pārbaudīt jauno pirksta nospiedumu jūsu vietā, tāpēc pārbaude citā kanālā paliek jūsu uzdevums.