مقدمه

SSH یکی از مهم‌ترین سرویس‌های هر سرور لینوکسی است و تقریباً تمام عملیات مدیریت سرور از طریق آن انجام می‌شود. به همین دلیل، قطع شدن دسترسی SSH می‌تواند مدیریت سرور را با مشکل جدی مواجه کند.

گاهی پس از تغییر تنظیمات امنیتی، نصب فایروال، تغییر پورت، غیرفعال کردن Password Authentication یا حتی بروزرسانی سیستم‌عامل، اتصال SSH با خطا مواجه می‌شود.

در این مقاله، رایج‌ترین مشکلات SSH، روش تشخیص علت و مراحل عیب‌یابی را به‌صورت گام‌به‌گام بررسی خواهیم کرد.

قبل از هر تغییری

یکی از مهم‌ترین توصیه‌ها هنگام تغییر تنظیمات SSH این است:

هرگز نشست (Session) فعلی SSH را نبندید.

ابتدا یک اتصال جدید ایجاد کنید و مطمئن شوید همه چیز به‌درستی کار می‌کند، سپس نشست قبلی را ببندید.

این کار از قفل شدن دسترسی شما به سرور جلوگیری می‌کند.

بررسی وضعیت سرویس SSH

اولین قدم، بررسی فعال بودن سرویس SSH است.

در Ubuntu و Debian:

sudo systemctl status ssh

در AlmaLinux، Rocky Linux و RHEL:

sudo systemctl status sshd

اگر سرویس متوقف شده باشد، ابتدا علت توقف را بررسی کنید.

راه‌اندازی مجدد سرویس

در Ubuntu و Debian:

sudo systemctl restart ssh

در AlmaLinux و Rocky Linux:

sudo systemctl restart sshd

بررسی فایل تنظیمات

قبل از Restart کردن سرویس، همیشه فایل تنظیمات را بررسی کنید.

sudo sshd -t

اگر هیچ خروجی نمایش داده نشود، یعنی فایل تنظیمات صحیح است.

اگر خطایی وجود داشته باشد، شماره خط نیز نمایش داده می‌شود.

بررسی فعال بودن پورت SSH

برای مشاهده اینکه SSH روی چه پورتی در حال اجرا است:

ss -tlnp | grep ssh

یا:

ss -tlnp | grep sshd

نمونه خروجی:

LISTEN 0 128 0.0.0.0:22

یا:

LISTEN 0 128 0.0.0.0:2222

اگر هیچ خروجی مشاهده نشد، سرویس SSH در حال گوش دادن نیست.

بررسی باز بودن پورت

از کامپیوتر خود می‌توانید اتصال را آزمایش کنید.

nc -zv SERVER_IP 22

یا اگر پورت تغییر کرده است:

nc -zv SERVER_IP 2222

بررسی فایروال

اگر از UFW استفاده می‌کنید:

sudo ufw status

در Firewalld:

sudo firewall-cmd --list-all

بررسی کنید که پورت SSH مجاز باشد.

بررسی SELinux

در توزیع‌های مبتنی بر RHEL:

getenforce

اگر SELinux فعال باشد و پورت SSH تغییر کرده باشد، باید پورت جدید را نیز معرفی کنید.

برای مشاهده پورت‌های مجاز:

sudo semanage port -l | grep ssh

در صورت نیاز:

sudo semanage port -a -t ssh_port_t -p tcp 2222

اگر دستور semanage وجود نداشت، بسته زیر را نصب کنید:

sudo dnf install policycoreutils-python-utils

بررسی لاگ‌های SSH

در Ubuntu و Debian:

sudo tail -f /var/log/auth.log

در AlmaLinux و Rocky Linux:

sudo tail -f /var/log/secure

همچنین می‌توانید از journalctl استفاده کنید.

Ubuntu:

sudo journalctl -u ssh -f

RHEL:

sudo journalctl -u sshd -f

اتصال با حالت Debug

برای مشاهده جزئیات اتصال:

ssh -v username@SERVER_IP

اطلاعات بیشتر:

ssh -vv

و کامل‌ترین حالت:

ssh -vvv

این خروجی معمولاً دلیل اصلی خطا را مشخص می‌کند.

خطای Connection Refused

اگر پیام زیر را مشاهده کردید:

Connection refused

معمولاً یکی از موارد زیر رخ داده است:

• سرویس SSH اجرا نمی‌شود.
• پورت اشتباه است.
• فایروال اتصال را مسدود کرده است.
• SSH روی آن پورت Listen نمی‌کند.

خطای Connection Timed Out

نمونه:

Connection timed out

دلایل رایج:

• پورت در فایروال بسته است.
• مسیر شبکه مشکل دارد.
• Security Group سرویس ابری بسته است.
• IP یا پورت اشتباه وارد شده است.

خطای Permission Denied

نمونه:

Permission denied (publickey)

یا

Permission denied (password)

دلایل رایج:

• کلید SSH اشتباه است.
• فایل authorized_keys مشکل دارد.
• مجوزهای پوشه .ssh صحیح نیست.
• Password Authentication غیرفعال شده است.

بررسی مجوزهای فایل‌های SSH

برای کاربر:

chmod 700 ~/.ssh

chmod 600 ~/.ssh/authorized_keys

همچنین مالک فایل‌ها باید صحیح باشد:

chown -R username:username ~/.ssh

بررسی فایل authorized_keys

بررسی کنید فایل زیر وجود داشته باشد:

~/.ssh/authorized_keys

و کلید عمومی شما داخل آن قرار گرفته باشد.

بررسی تنظیمات sshd_config

برخی از مهم‌ترین گزینه‌ها:

PubkeyAuthentication yes

PasswordAuthentication no

PermitRootLogin no

AllowUsers

AllowGroups

Port

LoginGraceTime

MaxAuthTries

گاهی فقط یک مقدار اشتباه باعث قطع کامل دسترسی می‌شود.

اگر بعد از تغییر تنظیمات دیگر وارد سرور نشدیم

در این شرایط معمولاً باید از یکی از روش‌های زیر استفاده کنید:

• کنسول مدیریتی VPS
• KVM
• Rescue Mode
• Console ارائه‌دهنده سرویس

از طریق این روش‌ها می‌توانید فایل sshd_config را اصلاح کنید.

رایج‌ترین اشتباهات مدیران سرور

• تغییر هم‌زمان چند تنظیم امنیتی
• بستن نشست فعلی قبل از تست اتصال جدید
• فراموش کردن باز کردن پورت جدید در فایروال
• غیرفعال کردن Password Authentication قبل از راه‌اندازی SSH Key
• اشتباه در مجوز فایل‌های .ssh
• تغییر پورت بدون اعمال تنظیمات در SELinux

بهترین روش عیب‌یابی

در صورت بروز مشکل، مراحل زیر را به ترتیب انجام دهید:

1. بررسی وضعیت سرویس SSH
2. بررسی فایل sshd_config
3. اجرای sshd -t
4. بررسی فایروال
5. بررسی لاگ‌های SSH
6. تست اتصال با ssh -vvv
7. بررسی فایل authorized_keys
8. بررسی مجوزهای فایل‌های SSH
9. بررسی SELinux (در صورت فعال بودن)

چک‌لیست

در زمان عیب‌یابی SSH، موارد زیر را بررسی کنید:

• سرویس SSH فعال است.
• فایل تنظیمات بدون خطا است.
• پورت صحیح در حال Listen است.
• فایروال پورت را مسدود نکرده است.
• کلید SSH صحیح است.
• مجوز فایل‌های .ssh درست است.
• لاگ‌های SSH بررسی شده‌اند.
• نشست فعلی تا پایان تست باز نگه داشته شده است.

جمع‌بندی

عیب‌یابی SSH باید به‌صورت مرحله‌ای و بر اساس حذف احتمالات انجام شود. در بیشتر موارد، مشکل به یکی از چند عامل رایج مانند خطای فایل sshd_config، بسته بودن پورت در فایروال، مجوزهای نادرست فایل‌های SSH یا تنظیمات اشتباه احراز هویت مربوط می‌شود.

با استفاده از ابزارهایی مانند systemctl، sshd -t، journalctl، ss و ssh -vvv می‌توان علت اکثر مشکلات را در مدت کوتاهی شناسایی کرد. همچنین، حفظ یک نشست SSH فعال تا پایان آزمایش تغییرات، یکی از مهم‌ترین اقداماتی است که از قفل شدن دسترسی به سرور جلوگیری می‌کند.

کیان پور