لينكس / المتقدم: الحدود والأمان والاسترداد / الدرس 16

تأمين الهويات وفهم SSH

طبق أقل امتياز وافهم هوية مضيف SSH ومصادقة المستخدم والإعداد الفعلي وتغيير الوصول بأمان.

وقت القراءة التقريبي: 4 دقيقةتاريخ مراجعة المحتوى 2026-10-23

في هذه الصفحة

أهداف الدرس

فصل مصادقة المضيف عن مصادقة المستخدم.
فحص إعداد SSH دون بدء اتصال.
تخطيط تغييرات الوصول مع التحقق والاسترداد.

الأمان تصميم وصول صريح

ابدأ بالأصول والجهات والعمليات المطلوبة. لا يحتاج قارئ تقارير كتابة عامة أو حساب إدارة تفاعلياً. حافظ على الدعم وافصل هويات الخدمات وراجع الملكية مع الامتيازات. تقسم قدرات لينكس بعض سلطات الجذر إلى وحدات مسماة لكنها قد تبقى حساسة وتتفاعل مع الفضاءات. تضيف السياسات الإلزامية حدوداً ولا تستبدل الأذونات العادية. شخّص الرفض ضمن التصميم بدلاً من تعطيل آلية كشفت افتراضاً خاطئاً.

يتحقق SSH من هويتين مختلفتين

يحتاج العميل أولاً الثقة بأنه وصل الخادم المقصود. تدعم مفاتيح المضيف وسلطات شهاداته الموثوقة الهوية، ويسجل known_hosts قرارات الثقة السابقة. ثم تثبت مصادقة المستخدم تخويل الحساب بمفتاح أو شهادة أو كلمة مرور أو وسيلة مهيأة. يتعلق تحذير تغير المفتاح بهوية الخادم ولا يحل بمحو السجل بلا تحقق. أكد المفتاح بقناة مستقلة موثوقة. وقد ينجح توثيق المستخدم دون إذن لملف أو إجراء إداري.

حماية المفاتيح الخاصة وتحديد التخويل

المفتاح الخاص سر، ويمكن توزيع مقابله العام على الأنظمة التي تتعرف إليه. تحمي عبارة المرور التخزين من بعض الكشف غير المتصل، وقد يحتفظ الوكيل بالاعتماد أثناء الجلسة. يوسع توجيه الوكيل والمقابس المشتركة أماكن استعماله، فاخترهما عمداً. يمكن تقييد authorized_keys للأتمتة بدلاً من جلسة عامة. تتطور الخوارزميات والافتراضيات؛ فاتبع OpenSSH المثبت والمتطلبات بدلاً من تعليمات قديمة تعطل التحقق أو تعيد خوارزميات مهجورة.

bash فحص إعدادات العميل دون اتصال

ssh -G -F /dev/null -o HostName=192.0.2.20 -o User=learner lab-example

يطبع ssh -G إعداد العميل المقيّم ويخرج. يوفر /dev/null إعداد مستخدم فارغاً ولا يُتصل بالعنوان التوثيقي. راجع المضيف والمستخدم والمنفذ والهوية.

مراجعة سياسة الخادم الفعلية

قد يتضمن sshd_config ملفات أخرى وكتل Match. تفوز أول قيمة في توجيهات كثيرة، فلا تتجاوز إضافة سطر إعداداً سابقاً بالضرورة. يتحقق sshd -t من الصياغة وسلامة المفاتيح المطلوبة، ويعرض sshd -T الإعداد الفعلي، ويمكن تزويد سياق اتصال لتقييم Match. تحتاج هذه الفحوص مختبراً مهيأ ولا تضمن نجاح الدخول. راجع الدليل المثبت لاختلاف التوجيهات والافتراضيات. احفظ مسار وصول سليم قبل أي تعديل مصرح.

bash دراسة الصياغة والسياسة الشرطية

# Prepared disposable SSH-server lab only; no reload is performed.
sshd -t -f ./lab-sshd_config
sshd -T -f ./lab-sshd_config -C user=learner,host=lab.example,addr=192.0.2.30

يجب إعداد ملف المختبر ومفاتيحه مسبقاً. يفحص الاستدعاءان الإعداد ولا يبدآن خدمة المضيف أو يعيدانها أو يحملانها.

تحتاج تغييرات الوصول مساراً ثانياً متحققاً

قبل تقييد المصادقة أكد عمل البديل للحساب وسياق المصدر. راجع Include وMatch وصلاحيات المفاتيح وسجل الخادم. أبق وحدة استرداد مصرحاً بها أو جلسة سليمة أثناء الطرح المختبري، واختبر جلسة جديدة قبل إنهاء الأصلية. قد يكشف خرج العميل التفصيلي موقع فشل التفاوض أو المصادقة لكنه يكشف مسارات وهويات حساسة أيضاً. شارك المقتطف اللازم فقط وسجل التغيير وفحص السماح والمنع.

الأخطاء الشائعة وإصلاحها

حذف تحذير مفتاح المضيف دون تحقق

لماذا يحدث؟: اختلطت هوية الخادم بذاكرة مؤقتة مزعجة.
كيف تصلحه؟: تحقق من البصمة المتوقعة بأدلة موثوقة.
كيف تتجنب تكراره؟: خطط لتدوير المفاتيح وتوفير البصمات الموثوقة.

عدم تجاوز السياسة بإضافة توجيه

لماذا يحدث؟: تحدد القيم السابقة أو سياق Match النتيجة.
كيف تصلحه؟: افحص الإعداد الفعلي للاتصال المقصود.
كيف تتجنب تكراره؟: راجع ترتيب التضمين ودلالات التوجيه.

تعطيل المصادقة قبل اختبار البديل

لماذا يحدث؟: اعتُبرت نية الإعداد دخولاً سليماً.
كيف تصلحه؟: استخدم مسار الاسترداد واختبر جلسة مستقلة.
كيف تتجنب تكراره؟: اشترط وصولاً متحققاً ورجوعاً قبل التقييد.

اختبر فهمك

1. ينجح توثيق المفتاح وتفشل قراءة تقرير. ما السياسة التالية؟

اعرض الحل المشروح

افحص الهوية الرقمية وعبور المجلد والصلاحيات وACL والتركيب والضوابط الإلزامية. تمنح المصادقة جلسة وفق السياسة ولا تتجاوز تخويل الملفات. افصل هوية المضيف عن فشل الوصول.

2. ماذا يشمل اختبار قبول تغيير وصول SSH؟