تنبیہ کیا بتاتی ہے
سرور ہوسٹ کی کے ذریعے اپنی شناخت ثابت کرتا ہے۔ جب کلید آپ کے کلائنٹ کی پہلے محفوظ کردہ کلید سے مختلف ہو تو OpenSSH پیغام REMOTE HOST IDENTIFICATION HAS CHANGED دکھاتا ہے اور کنکشن سے انکار کرتا ہے۔ کلائنٹ بے ضرر تبدیلی اور حملے میں فرق نہیں کر سکتا، اس لیے جانچنے تک تنبیہ کو غیر حل شدہ سمجھیں۔
عام وجوہات
عام وجوہات میں سرور کی دوبارہ تنصیب، امیج سے VM کی بحالی یا کلون بنانا، پتے کا اب کسی دوسری مشین کو دیا جانا، اور لوڈ بیلنسر کا آپ کو مختلف نوڈز پر بھیجنا شامل ہیں۔ کنکشن کو بیچ میں روکنے والا حملہ آور بھی یہی تنبیہ پیدا کرتا ہے۔ اگر آپ کو تبدیلی کی توقع نہیں تھی تو رک جائیں اور پاس ورڈ درج نہ کریں۔
فنگرپرنٹس کا موازنہ کریں
سرور پر اصل فنگرپرنٹ کسی ایسے ذریعے سے پڑھیں جو اس SSH کنکشن پر منحصر نہ ہو، مثلاً فراہم کنندہ کے کنسول یا ہائپروائزر کنسول سے۔ ssh-keyscan کمانڈ صرف وہی دکھاتی ہے جو نیٹ ورک آپ کو پیش کرتا ہے، اس لیے یہ بذات خود کچھ ثابت نہیں کرتی۔ یہ صرف کنسول سے حاصل کردہ قدر کے ساتھ موازنہ کرنے کے لیے مفید ہے۔
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -پرانا اندراج بدلیں
فنگرپرنٹس ملنے کے بعد ہی پرانا اندراج ہٹائیں اور دوبارہ جڑیں۔ غیر معیاری پورٹ کا اپنا اندراج ہوتا ہے جو مربع قوسین کے ساتھ لکھا جاتا ہے۔ ssh-keygen پچھلی فائل کو known_hosts.old کے نام سے رکھتا ہے۔ StrictHostKeyChecking بند نہ کریں اور پوری known_hosts فائل حذف نہ کریں، کیونکہ اس سے آپ کے تمام سرورز کا تحفظ ختم ہو جاتا ہے۔
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleدوبارہ تنصیب کے بعد تنبیہ سے بچیں
اگر آپ سرور دوبارہ بنانے کا ارادہ رکھتے ہیں اور اس کی شناخت برقرار رکھنا چاہتے ہیں تو /etc/ssh میں موجود ہوسٹ کیز کا محفوظ بیک اپ بنائیں اور انہیں اسی مالک اور اجازتوں کے ساتھ بحال کریں۔ کلونز کے لیے اس کے برعکس کریں: ایک امیج سے بننے والی ہر مشین کو اپنی ہوسٹ کیز درکار ہیں، ورنہ کئی سرورز ایک ہی شناخت استعمال کریں گے۔
CH-J Server Manager میں ہوسٹ کیز
ایپ ہوسٹ کیز کے SHA-256 فنگرپرنٹس اپنے مرموز والٹ میں، OpenSSH کی known_hosts فائل سے الگ محفوظ کرتی ہے۔ تبدیلی پر یہ کنکشن روک دیتی ہے اور پہلے سے معلوم اور نیا فنگرپرنٹ دکھاتی ہے۔ اندراج صرف آپ کی تصدیق پر بدلا جاتا ہے، جبکہ منسوخ کرنے سے کچھ نہیں بدلتا۔ Alpha 0.1.1 میں جانچ ہر جمپ ہوسٹ پر بھی ہوتی ہے، اور کلید بدلنے پر جاری منتقلی رک جاتی ہے۔ ایپ آپ کی جگہ نئے فنگرپرنٹ کی تصدیق نہیں کر سکتی، اس لیے دوسرے ذریعے سے جانچ اب بھی آپ کی ذمہ داری ہے۔