تغییر پورت SSH بدون قفل شدن دسترسی سرور

فرض کنید مدیر سرور با برنامهٔ مشخصی پورت تازهٔ SSH را ۲۶۸۴ انتخاب کرده است. SSH همان اتصال فرمانی مدیر به سرور است. تنظیم سرویس، فایروال و در بعضی سیستم‌ها سرویس شنوندهٔ جداگانه باید با این پورت هماهنگ شوند. تا وقتی اتصال تازه کار نکرده، اتصال فعلی را نبندید.

برای آزمایش از یک پنجرهٔ فرمان تازه، نشانی واقعی سرور و نام حساب را به جای نمونه‌ها بگذارید:

اگر درخواست ورود دیدید و توانستید وارد شوید، یک فرمان ساده مثل pwd را اجرا کنید تا مطمئن شوید اتصال واقعاً برقرار شده است. برای SFTP نیز پورت تازه با sftp -P 2684 user@server.example.com نوشته می‌شود. به تفاوت حروف دقت کنید: گزینهٔ پورت در ssh حرف کوچک -p و در sftp حرف بزرگ -P است.

اگر اتصال تازه زمانش تمام شد، به کنسول و تنظیم شبکه برگردید؛ تغییر دوبارهٔ رمز کمکی نمی‌کند. اگر پیام گواهی اثر انگشت تازه آمد، هویت سرور را از اطلاعات معتبر مقایسه کنید. تنها بعد از ورود موفق تازه، دربارهٔ بستن دسترسی قدیمی تصمیم بگیرید.

با پورت فعلی وارد شوید و نشست را باز نگه دارید. کنسول ارائه‌دهنده یا مسیر مستقل بازیابی را هم امتحان کنید. شمارهٔ تازه باید آزاد و در فایروال سرور و شبکهٔ ارائه‌دهنده مجاز باشد. پورت قدیمی را تا پایان آزمون ورود جدید نبندید.

از تنظیم SSH و قواعد مرتبط نسخه بگیرید. اگر SELinux یا ابزار مدیریتی شبکه فعال است، محدودیت همان لایه نیز باید بررسی شود. افزودن یک عدد به sshd_config لزوماً همهٔ این موارد را هماهنگ نمی‌کند.

فایل sshd_config و includeهای آن را با نسخهٔ نصب‌شده بررسی کنید. ممکن است مقدار نهایی از یک فایل دیگر خوانده شود. در بعضی توزیع‌ها ssh.socket هم در listener نقش دارد؛ در این حالت، تغییر تنها فایل سرویس بدون بررسی socket می‌تواند نتیجهٔ مورد انتظار را ندهد.

در یک انتقال کنترل‌شده، پورت قدیمی و جدید می‌توانند برای مدت آزمون هم‌زمان در دسترس باشند، اگر محیط و سیاست اجازه دهد. پس از ثبت تنظیم، صحت نحوی را با ابزار sshd بررسی کنید. خطای نحوی باید قبل از reload یا restart رفع شود، چون می‌تواند ورود تازه را از بین ببرد.

listener واقعی را در سرور ببینید و سپس از یک ترمینال تازه با پورت جدید متصل شوید. نام کاربری و روش احراز را همان‌طور که در سرویس استفاده می‌کنید آزمایش کنید. پاسخ یک پورت به آزمون TCP کافی نیست؛ ورود واقعی حساب باید موفق باشد.

اگر timeout دارید، مسیر فایروال را بررسی کنید. اگر connection refused دارید، listener یا سرویس مطرح است. اگر کلاینت هشدار اثر انگشت می‌دهد، آن را با مرجع مطمئن تطبیق دهید و خودکار قبول نکنید. این پیام‌ها به مرحله‌های متفاوت ارتباط مربوط‌اند.

تنها بعد از ورود موفق مستقل، قواعد و listener پورت قبلی را طبق برنامه تغییر دهید. نشست قدیمی را تا تأیید نهایی نگه دارید. اگر اتصال تازه قطع شد، از همان مسیر یا کنسول به تنظیم ثبت‌شده برگردید.

ابزارهای بکاپ، انتقال فایل و مانیتورینگ را نیز بررسی کنید؛ ممکن است آن‌ها هنوز با شمارهٔ قبلی متصل شوند. تغییر پورت بدون اصلاح این وابستگی‌ها می‌تواند کارهای خودکار را بی‌خبر متوقف کند. در پایان، شمارهٔ تازه و نتیجهٔ ورود و اجرای وظایف وابسته را ثبت کنید.

فرمان‌های زیر مربوط به مراحل توضیح‌داده‌شده‌اند. پیش از اجرا، نام حساب و مسیر نمونه را با اطلاعات خودتان جایگزین کنید. فرمان‌های مدیریتی را مدیر سرور اجرا می‌کند.