SSH আর দূরের server — key, config, tunnel আর bastion

১ · Telnet থেকে SSH — দূরের server-এ নিরাপদ দরজা কেন লাগে

Cloud-এ VM বানালেন। সেটি হয়তো অন্য দেশের কোনো data center-এ। তাতে কিবোর্ড নেই, মনিটরও নেই। তাহলে কাজ করবেন কীভাবে? এখানেই আসে SSH (Secure Shell). এটি নিজের ল্যাপটপ থেকে দূরের কম্পিউটারের terminal খোলার নিরাপদ পথ।

SSH-এর আগে প্রচলিত ছিল telnet. সমস্যা হলো, telnet-এ সব কিছু সরাসরি লেখা অবস্থায় যায়। Password-ও। পথের যেকোনো যন্ত্র চাইলে সেটি পড়তে পারে।

দুটি নাম আলাদা করে চিনে নিন। আপনার ল্যাপটপে চলে client ssh. Server-এ চলে একটি daemon, sshd, যা port 22-এ অপেক্ষা করে। নিচের সব সংযোগ শুধু উদাহরণ। server.example.com আর 203.0.113.10 নমুনা ঠিকানা, কোনো আসল server নয়।

# user@host: log in as deploy on this server
ssh deploy@server.example.com

# a different port, and an IP address instead of a name
ssh -p 2222 deploy@203.0.113.10

# run one command, print its result, disconnect
ssh deploy@server.example.com 'uptime'

২ · প্রথম সংযোগ — host key, known_hosts আর trust on first use

প্রতিটি server-এর নিজের একটি key pair থাকে, যাকে বলে host key. এটি server-এর পরিচয়পত্র। আপনার ল্যাপটপ যেসব server চেনে, তাদের public host key রাখে known_hosts ফাইলে। প্রথমবার যখন কোনো নতুন server-এ যান, ফাইলে তার নাম থাকে না। নিচের ধাপগুলো দেখুন। “পরে” চাপলে পথের অবস্থা বদলাবে।

এই নীতির নাম trust on first use (TOFU): প্রথমবার মেনে নেওয়া, তারপর বদল হলে আপত্তি করা। প্রথম সংযোগে আপনি এমন একটি বার্তা দেখবেন:

# নমুনা আউটপুট — version-ভেদে আলাদা হতে পারে; fingerprint-টি ভুয়া
The authenticity of host 'server.example.com (203.0.113.10)' can't be established.
ED25519 key fingerprint is SHA256:EXAMPLE-fake-not-real.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added 'server.example.com' (ED25519) to the list of known hosts.

TOFU-র দুর্বল মুহূর্ত ঠিক একটি: প্রথম yes. তাই ভালো অভ্যাস হলো fingerprint মিলিয়ে নেওয়া। Server-এ ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub চালালে fingerprint দেখা যায়। অনেক provider-এর console বা boot log-এও এটি পাওয়া যায়। পরে key বদলে গেলে কী হয়, নিচের ছোট মডেলে চালিয়ে দেখুন।

// A toy model of known_hosts and trust on first use. No real crypto here.
const knownHosts = new Map();                // host -> saved key
const fingerprint = key => 'SHA256:fake-' + key;

function connect(day, host, serverKey, userSays) {
  const saved = knownHosts.get(host);
  let result;
  if (saved === undefined) {                 // never seen: ask the human
    if (userSays === 'yes') {
      knownHosts.set(host, serverKey);
      result = 'first time, you said yes: saved ' + fingerprint(serverKey);
    } else {
      result = 'first time, you said no: connection stopped';
    }
  } else if (saved === serverKey) {          // same key as before
    result = 'key matches, connected silently';
  } else {                                   // different key: stop, never ask
    result = 'WARNING host key CHANGED, saved ' + fingerprint(saved) +
             ' got ' + fingerprint(serverKey) + ': refused';
  }
  console.log(`day ${day}: ${host} -> ${result}`);
}

const host = 'server.example.com';
connect(1, 'new.example.com', 'key-X', 'no');
connect(1, host, 'key-A', 'yes');
connect(2, host, 'key-A');
connect(3, host, 'key-B');       // server rebuilt from an image, new key
// Fingerprint of key-B checked in the provider console. Only then:
knownHosts.delete(host);         // same effect as: ssh-keygen -R server.example.com
connect(3, host, 'key-B', 'yes');
connect(4, host, 'key-B');
console.log('known_hosts now:', [...knownHosts.entries()].join(' '));

day 2: server.example.com -> key matches, connected silently
day 3: server.example.com -> WARNING host key CHANGED, saved SHA256:fake-key-A got SHA256:fake-key-B: refused

আসল ssh-এ এই থামার মুহূর্তটি বড় বড় অক্ষরে আসে:

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
# নমুনা আউটপুট, সংক্ষেপিত — version-ভেদে আলাদা হতে পারে
Host key verification failed.

Automation-এ মানুষ yes লিখতে পারে না। সেখানে আগে থেকে বানানো known_hosts ফাইল দেওয়া সবচেয়ে ভালো। আধুনিক OpenSSH-এর StrictHostKeyChecking accept-new নতুন host মেনে নেয়, কিন্তু বদলে যাওয়া key আটকায়। এটি no-এর চেয়ে নিরাপদ, তবে প্রথম সংযোগের ঝুঁকি থেকেই যায়।

৩ · Key pair দিয়ে লগইন — password-এর চেয়ে ভালো কেন

Server চেনা হলো। এবার আপনার পরিচয়ের পালা। Password দিলে সেটি এনক্রিপ্টেড পথে server পর্যন্ত যায়, আর অনুমান করে ধরার ঝুঁকিও থাকে। Key pair-এ দুটি মিলিত ফাইল থাকে। Public key server-এ রাখা হয়, এটি ফাঁস হলেও ক্ষতি নেই। Private key শুধু আপনার কাছে থাকে।

# on your laptop: create a key pair (it asks for a passphrase)
ssh-keygen -t ed25519 -C "rafi-laptop-2026"
#   ~/.ssh/id_ed25519       private key: never copy or share
#   ~/.ssh/id_ed25519.pub   public key: this one goes to the server

# put the public key on a server you can already reach
ssh-copy-id -i ~/.ssh/id_ed25519.pub deploy@server.example.com

Cloud-এ VM বানানোর সময়ই public key দেওয়া যায়। তখন প্রথম লগইনেই password লাগে না (পর্ব ১৫ আর পর্ব ১৬-তে দেখবেন)। Key-টি জমা পড়ে server-এর authorized_keys ফাইলে। প্রতিটি লাইনে একটি public key থাকে। সামনে শর্তও বসানো যায়:

# ~deploy/.ssh/authorized_keys (keys below are fake and truncated)
ssh-ed25519 AAAAC3...fake-truncated rafi-laptop-2026
from="203.0.113.0/24",no-port-forwarding,no-agent-forwarding ssh-ed25519 AAAAC3...fake-truncated ci-deploy

File permission — ssh নিজেই পাহারা দেয়

অন্য কেউ পড়তে বা বদলাতে পারলে ssh ফাইলটি ব্যবহার করতে চায় না। Server-এ এই পরীক্ষার নাম StrictModes, যা default-এ চালু থাকে। Permission-এর তত্ত্ব পড়তে পারেন Linux-এ user, group আর permission পর্বে।

# নমুনা আউটপুট — version-ভেদে আলাদা হতে পারে
Permissions 0644 for '/home/rafi/.ssh/id_ed25519' are too open.
# সমাধান: chmod 600 ~/.ssh/id_ed25519

Key login ভেতরে কীভাবে হয়

অনেকে ভাবেন, server একটি এলোমেলো প্রশ্ন পাঠায় আর client উত্তর দেয়। ধারণাটি কাছাকাছি, তবে SSH-2-তে “প্রশ্ন” হিসেবে কাজ করে session id. এটি key exchange থেকে তৈরি হয়, প্রতিটি সংযোগে আলাদা। নিচের challenge-response ধাপগুলো দেখুন। শেষ সারিটি বিশেষভাবে খেয়াল করুন।

Passphrase আর ssh-agent

Private key ফাইলটি চুরি হলে কী হবে? Passphrase দিলে ফাইলটি ডিস্কে এনক্রিপ্টেড থাকে, তাই চোর শুধু ফাইল দিয়ে কিছু করতে পারে না। কিন্তু প্রতিবার passphrase লেখা বিরক্তিকর। এই কাজ সহজ করে ssh-agent. এটি আপনার ল্যাপটপে চলা একটি ছোট প্রোগ্রাম, যা খোলা key মেমরিতে রাখে আর চাইলে স্বাক্ষর করে দেয়। ভালো অভ্যাস হলো মেয়াদ বেঁধে key যোগ করা:

# start an agent for this shell, if your desktop has not started one
eval "$(ssh-agent -s)"

ssh-add -t 1h ~/.ssh/id_ed25519   # keep this key for one hour
ssh-add -l                        # list fingerprints of loaded keys
ssh-add -D                        # remove all keys when you are done

৪ · ~/.ssh/config — লম্বা কমান্ডকে ছোট নামে আনা

পাঁচটি server, প্রতিটিতে আলাদা user, আলাদা key, আলাদা পথ। প্রতিবার সব লেখা অসম্ভব। SSH client config ফাইলে এগুলো একবার লিখে রাখলে ssh web-1-ই যথেষ্ট। এটি রান্নাঘরের রেসিপি খাতার মতো: বিস্তারিত একবার লেখা, পরে শুধু নাম ধরে ডাকা।

# more specific blocks first, the general block last
Host web-* !web-old
    User deploy
    ProxyJump bastion

Host web-1
    HostName 10.0.2.11

Host bastion
    HostName server.example.com
    User ops

Host *
    User ubuntu
    IdentityFile ~/.ssh/id_ed25519

• Host: যে নামে আপনি ডাকবেন। * আর ? pattern চলে। ! দিলে সেই নাম বাদ।
• HostName: আসল ঠিকানা। না দিলে ডাকা নামটিই ঠিকানা ধরা হয়।
• User, IdentityFile: কোন user, কোন key.
• ProxyJump: কোন মধ্যবর্তী host হয়ে যাবেন (অংশ ৭-এ দেখবেন)।

নিচের ছোট simulator ঠিক এই ফাইলটি পড়ে প্রতিটি নামের চূড়ান্ত মান বের করে:

// Toy reader for ~/.ssh/config: glob patterns, !negation, first value wins.
const configText = `
Host web-* !web-old
    User deploy
    ProxyJump bastion
Host web-1
    HostName 10.0.2.11
Host bastion
    HostName server.example.com
    User ops
Host *
    User ubuntu
    IdentityFile ~/.ssh/id_ed25519`;

const blocks = [];
for (const line of configText.trim().split('\n')) {
  const [key, ...rest] = line.trim().split(/\s+/);
  if (key === 'Host') blocks.push({ patterns: rest, opts: [] });
  else blocks.at(-1).opts.push([key, rest.join(' ')]);
}
const globMatch = (p, name) => new RegExp('^' +
  p.replace(/[.+]/g, '\\$&').replace(/\*/g, '.*').replace(/\?/g, '.') + '$').test(name);
function blockApplies(patterns, name) {
  const no = patterns.filter(p => p[0] === '!').map(p => p.slice(1));
  const yes = patterns.filter(p => p[0] !== '!');
  return yes.some(p => globMatch(p, name)) && !no.some(p => globMatch(p, name));
}
function resolve(name) {
  const used = {};
  for (const b of blocks.filter(b => blockApplies(b.patterns, name)))
    for (const [k, v] of b.opts) used[k] ??= v;       // first value wins
  console.log(name, '->', JSON.stringify({ HostName: name, ...used }));
}
['web-1', 'web-2', 'web-old', 'bastion'].forEach(resolve);

web-1 -> {"HostName":"10.0.2.11","User":"deploy","ProxyJump":"bastion","IdentityFile":"~/.ssh/id_ed25519"}
web-old -> {"HostName":"web-old","User":"ubuntu","IdentityFile":"~/.ssh/id_ed25519"}
bastion -> {"HostName":"server.example.com","User":"ops","IdentityFile":"~/.ssh/id_ed25519"}

Permission denied (publickey) এলে কী দেখবেন

নতুনদের সবচেয়ে পরিচিত error এটি। মনে রাখুন, server নিরাপত্তার কারণে আসল কারণ client-কে বলে না। তাই দুই দিক থেকে খুঁজতে হয়। ল্যাপটপে ssh -v দেখায় কোন key চেষ্টা হলো। Server-এর log জানায় কেন প্রত্যাখ্যান হলো।

৫ · ফাইল পাঠানো আর লম্বা কাজ — scp, rsync, tmux

একই SSH পথে ফাইলও যায়। scp সাধারণ কপির জন্য। rsync শুধু বদলানো অংশ পাঠায়, তাই বারবার একই folder পাঠাতে অনেক ভালো। আধুনিক OpenSSH-এ (৯.০ থেকে) scp ভেতরে SFTP প্রোটোকল ব্যবহার করে, কিন্তু কমান্ড একই থাকে।

# one file to the server, one file back
scp app.tar.gz deploy@server.example.com:/tmp/
scp deploy@server.example.com:/var/log/app.log ./

# see first what rsync WOULD do: --dry-run changes nothing
rsync -avz --dry-run ./site/ web-1:/var/www/site/

# then run it for real (the config name web-1 works here too)
rsync -avz ./site/ web-1:/var/www/site/

tmux — সংযোগ কাটলেও কাজ চলবে

৪০ মিনিটের একটি database backup চালাচ্ছেন। হঠাৎ লোডশেডিংয়ে রাউটার বন্ধ, SSH সংযোগ কেটে গেল। Terminal-এর সাথে যুক্ত প্রোগ্রাম তখন সাধারণত SIGHUP সংকেত পেয়ে থেমে যায়। tmux এই সমস্যার সমাধান। এর session server-এই চলে, আপনি শুধু তাতে যুক্ত হন আর আলাদা হন। পুরোনো সমতুল্য টুল GNU screen.

tmux একবারের কাজের জন্য। যা সবসময় চলবে, যেমন app, তা systemd service হওয়া উচিত (পর্ব ১১). Server reboot হলে tmux session থাকে না।

৬ · Port forwarding — SSH-এর ভেতরে গোপন নল

Database শুধু private network-এ আছে। ল্যাপটপ থেকে একবার দেখতে চান। Database-কে internet-এ খোলা ভয়ংকর ভুল। SSH-এর port forwarding (tunnel) এখানে কাজে আসে। এটি এনক্রিপ্টেড পথের ভেতর দিয়ে একটি TCP নল বানায়।

-L: local forwarding — দূরের জিনিস কাছে আনা

# local port 5433 -> through bastion -> db.internal.example:5432
ssh -N -L 127.0.0.1:5433:db.internal.example:5432 bastion

# in a second terminal on the laptop
psql -h 127.0.0.1 -p 5433 -U app_read appdb

-R: remote forwarding — নিজের জিনিস দূরে দেখানো

উল্টো কাজ। আপনার ল্যাপটপে একটি dev app চলছে। Server-এর কেউ বা কিছু সেটিকে ডাকতে চায়, কিন্তু ল্যাপটপ NAT-এর পেছনে, বাইরে থেকে পৌঁছানো যায় না। -R দিলে server-এর একটি port ল্যাপটপের দিকে নল হয়ে আসে। লক্ষ করুন, সংযোগ খোলে ল্যাপটপ, কিন্তু request আসে উল্টো দিকে।

# server port 9000 -> back through the tunnel -> laptop port 3000
ssh -N -R 127.0.0.1:9000:localhost:3000 deploy@server.example.com

# on the server: reaches the app that runs on your laptop
curl http://127.0.0.1:9000/health

Tunnel দিয়ে security নিয়ম এড়িয়ে যাওয়া যায় বলে অনেক প্রতিষ্ঠান একে নীতির বিষয় হিসেবে দেখে। অনুমতি ছাড়া অফিসের network-এ -R খুলবেন না। Server-এ দরকার না হলে AllowTcpForwarding no রাখুন। -D নামে আরেকটি রূপ আছে, যা SOCKS proxy বানায়। এর দৈনন্দিন ব্যবহার কম।

৭ · Bastion, ProxyJump আর port 22 ছাড়া প্রবেশ

ভালো নকশায় app server আর database থাকে private subnet-এ (পর্ব ২৫ আর পর্ব ২৭ দেখুন)। তাদের public IP নেই। তাহলে ঢুকবেন কীভাবে? ঐতিহ্যবাহী উত্তর bastion বা jump host: public subnet-এ একটি ছোট, শক্ত করে সাজানো server, যা শুধু দরজার কাজ করে। সব SSH সেখান দিয়ে যায়, তাই পাহারা আর log এক জায়গায় থাকে।

Bastion হয়ে যাওয়ার আধুনিক উপায় ProxyJump. কমান্ড লাইনে এটি -J: ssh -J ops@server.example.com deploy@10.0.2.11. আগের config-এ ProxyJump bastion লেখা আছে, তাই শুধু ssh web-1 লিখলেই চলে। ভেতরে কী ঘটে দেখুন।

Port 22 খোলা না রেখে প্রবেশ

নতুন ধারণাটি এমন: VM-এর ভেতরে একটি agent চলে, যা নিজে থেকে provider-এর সার্ভিসে বাইরের দিকে সংযোগ রাখে। আপনি provider-এর API দিয়ে IAM পরিচয়ে লগইন করেন, আর সেই পথে shell পান। ফলে VM-এ ঢোকার কোনো port খোলা থাকে না। এই ধরনকে আমরা বলব session manager. বিভিন্ন provider-এর নাম আর আচরণ আলাদা, এবং সময়ের সাথে বদলায়।

হাতে-কলমে চেষ্টা করতে চাইলে আসল cloud VM লাগবে না। নিজের কম্পিউটারের একটি ভার্চুয়াল মেশিনেই SSH শেখা যায়। Cloud VM ব্যবহার করলে খরচ হতে পারে। কাজ শেষে VM আর তার public IP মুছে দিন, আর পরীক্ষার key-ও বাদ দিন।

৮ · sshd শক্ত করা — log, fail2ban আর security group

Internet-এ port 22 খুলে রাখলে স্বয়ংক্রিয় scanner কিছুক্ষণের মধ্যেই লগইনের চেষ্টা শুরু করে। এটি সাধারণ পটভূমির গোলমাল, তবে অবহেলা করার নয়। Server-এর config /etc/ssh/sshd_config আর তার sshd_config.d/ folder-এর ফাইলে থাকে।

# /etc/ssh/sshd_config.d/00-hardening.conf
# Keep comments on their own lines: older OpenSSH rejects them after a value.
# Log in as a user, then sudo.
PermitRootLogin no
# Keys or certificates only. The second line closes the other password path.
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
# Every other account is refused.
AllowUsers deploy ops
MaxAuthTries 3
X11Forwarding no
AllowAgentForwarding no
# Set yes only on a host that needs it, such as a bastion.
AllowTcpForwarding no

sshd_config-এও প্রথম পাওয়া মানই থাকে, তাই একই keyword দুবার থাকলে ওপরেরটি জেতে। অনেক cloud image নিজের একটি ফাইল যোগ করে (যেমন 50-cloud-init.conf). আপনার ফাইলের নাম তার আগে সাজাতে হয়। নিচের ছোট checker একটি config লেখা পড়ে দুর্বল setting জানায়। এটি কোনো server স্পর্শ করে না।

# Reports weak settings in sshd_config text. It reads text only, it touches no server.
set -euo pipefail
config=$(cat <<'CONF'
# sample file: a careless config
PermitRootLogin yes
PasswordAuthentication yes
PasswordAuthentication no
PubkeyAuthentication yes
X11Forwarding yes
MaxAuthTries 6
CONF
)
# Like sshd: the first value of a keyword wins.
value() {
  awk -v k="$1" 'tolower($1) == tolower(k) { print $2; exit }' <<< "$config"
}
weak=0
check() {  # keyword, safe value, built-in default if the line is missing
  local got
  got=$(value "$1")
  got=${got:-$3}
  if [ "$got" = "$2" ]; then
    printf 'OK    %-29s %s\n' "$1" "$got"
  else
    printf 'WEAK  %-29s %s (want %s)\n' "$1" "$got" "$2"
    weak=$((weak + 1))
  fi
}
check PermitRootLogin              no  prohibit-password
check PasswordAuthentication       no  yes
check KbdInteractiveAuthentication no  yes
check PubkeyAuthentication         yes yes
check X11Forwarding                no  no
[ -n "$(value AllowUsers)" ] || { echo 'WEAK  AllowUsers missing'; weak=$((weak + 1)); }
echo "weak settings: $weak"

WEAK  PermitRootLogin               yes (want no)
WEAK  PasswordAuthentication        yes (want no)
WEAK  KbdInteractiveAuthentication  yes (want no)
OK    PubkeyAuthentication          yes
WEAK  X11Forwarding                 yes (want no)
WEAK  AllowUsers missing
weak settings: 5

Log পড়া আর fail2ban

sshd প্রতিটি চেষ্টা log-এ লেখে। Debian ধরনের সিস্টেমে /var/log/auth.log, Red Hat ধরনে /var/log/secure, আর অনেক সিস্টেমে journalctl -u ssh (পর্ব ৯ আর পর্ব ১১-এর কৌশল এখানে কাজে লাগে)। নিচের script একটি নমুনা log থেকে অচেনা host আর ব্যর্থ লগইন গোনে। সব ঠিকানা documentation-এর জন্য সংরক্ষিত 203.0.113.0/24 থেকে নেওয়া।

# Finds unknown hosts in a sample sshd log. All addresses are documentation addresses.
set -euo pipefail
log=$(cat <<'LOG'
Oct 30 02:14:05 web-1 sshd[2101]: Failed password for invalid user admin from 203.0.113.45 port 51122 ssh2
Oct 30 02:14:09 web-1 sshd[2101]: Failed password for root from 203.0.113.45 port 51130 ssh2
Oct 30 02:14:13 web-1 sshd[2102]: Failed password for root from 203.0.113.45 port 51138 ssh2
Oct 30 02:15:13 web-1 sshd[2108]: Failed password for invalid user test from 203.0.113.77 port 40222 ssh2
Oct 30 02:16:40 web-1 sshd[2113]: Accepted publickey for deploy from 203.0.113.10 port 53010 ssh2
Oct 30 02:18:02 web-1 sshd[2120]: Failed password for deploy from 203.0.113.99 port 33100 ssh2
Oct 30 02:18:07 web-1 sshd[2120]: Failed password for deploy from 203.0.113.99 port 33100 ssh2
Oct 30 02:18:15 web-1 sshd[2121]: Accepted password for deploy from 203.0.113.99 port 33108 ssh2
Oct 30 02:20:31 web-1 sshd[2130]: Failed password for ops from 203.0.113.11 port 44120 ssh2
LOG
)
awk -v known='203.0.113.10 203.0.113.11' '
BEGIN { n = split(known, list, " "); for (i = 1; i <= n; i++) ok[list[i]] = 1 }
/Failed password|Accepted / {
  for (i = 1; i <= NF; i++) if ($i == "from") ip = $(i + 1)
  seen[ip] = 1
  if (/Failed password/) failed[ip]++; else accepted[ip]++
}
END {
  for (ip in seen) {
    tag = (ip in ok) ? "known" : "UNKNOWN"
    alert = (tag == "UNKNOWN" && accepted[ip] > 0) ? "  <-- check this login now" : ""
    printf "%-14s failed=%d accepted=%d %s%s\n", ip, failed[ip], accepted[ip], tag, alert
  }
}' <<< "$log" | sort -t= -k2,2nr -k1,1
echo "total failed logins: $(grep -c 'Failed password' <<< "$log")"

203.0.113.45   failed=3 accepted=0 UNKNOWN
203.0.113.99   failed=2 accepted=1 UNKNOWN  <-- check this login now
203.0.113.11   failed=1 accepted=0 known
203.0.113.77   failed=1 accepted=0 UNKNOWN
203.0.113.10   failed=0 accepted=1 known
total failed logins: 7

fail2ban এই log পাহারা দেয়। নির্দিষ্ট সময়ে বেশি ব্যর্থ চেষ্টা হলে সেই IP-কে কিছুক্ষণের জন্য firewall-এ আটকায়। এটি গোলমাল কমায়, কিন্তু মূল সুরক্ষা নয়। অনেক IP থেকে ধীরে চেষ্টা হলে এটি কম কাজে আসে (অনুশীলন ১-এ হিসাব দেখবেন)।

# /etc/fail2ban/jail.local
[sshd]
enabled  = true
maxretry = 5
findtime = 10m
bantime  = 1h

সবচেয়ে কার্যকর স্তর কিন্তু server-এর বাইরে। Security group (পর্ব ২৭) দিয়ে port 22 শুধু অফিসের IP, VPN বা bastion থেকে খোলা রাখুন। তাহলে packet sshd পর্যন্ত পৌঁছায়ই না। 0.0.0.0/0-তে 22 রাখবেন না। Port বদলে 2222 করলে log-এর গোলমাল কমতে পারে, তবে এটি নিরাপত্তা নয়, কারণ scan করলেই port খুঁজে পাওয়া যায়।

৯ · Key rotation, revocation আর SSH certificate

মেস থেকে একজন চলে গেলে কী করেন? তালা বদলান, কারণ তাঁর হাতে চাবি আছে। Server-এও তাই। কর্মী চলে গেলে, ল্যাপটপ হারালে বা key ফাঁসের সন্দেহ হলে key বাতিল করতে হয়। এই কাজের দুটি নাম। Key rotation মানে নিয়ম করে পুরোনো key বদলে নতুন key আনা। Revocation মানে কোনো key সাথে সাথে অকেজো করা।

• Rotation-এর ক্রম: নতুন key যোগ, পরীক্ষা, তারপর পুরোনো key মোছা। আগে মুছলে নিজেই আটকে যাবেন।
• Revocation: প্রতিটি server-এর authorized_keys থেকে লাইন মোছা, অথবা RevokedKeys ফাইলে যোগ করা। ১০০টি server হলে কাজটি Ansible-এর মতো টুলে করতে হয় (পর্ব ৫৬).
• সমস্যা: কোন key কার, কোথায় আছে, তার হিসাব হারিয়ে যায়। এজন্য key-এর comment-এ মালিকের নাম রাখা আর ভাগ করা key এড়ানো জরুরি।

SSH certificate — গেট পাসের ধারণা

অফিসে অতিথি এলে রিসেপশন একটি সাময়িক গেট পাস দেয়, যাতে নাম আর মেয়াদ লেখা। প্রতিটি দারোয়ানকে আলাদা করে নাম মুখস্থ করাতে হয় না। তাঁরা শুধু রিসেপশনের সিল চেনেন। SSH certificate ঠিক এমন। একটি certificate authority (CA) আপনার public key-এ স্বাক্ষর করে, সাথে login নাম আর মেয়াদ বসায়। Server শুধু CA-র public key বিশ্বাস করে। প্রতিটি server-এর authorized_keys আর ছোঁয়া লাগে না।

# the CA signs rafi's public key: login name deploy, valid 8 hours
ssh-keygen -s ca_key -I rafi-2026-10-30 -n deploy -V +8h id_ed25519.pub
# this creates id_ed25519-cert.pub; inspect it with:
ssh-keygen -L -f id_ed25519-cert.pub

# on every server, in sshd_config
TrustedUserCAKeys /etc/ssh/trusted_user_ca.pub
RevokedKeys /etc/ssh/revoked_keys

Host-এর জন্যও certificate হয়। ল্যাপটপের known_hosts-এ @cert-authority *.example.com ssh-ed25519 AAAA...fake ধরনের একটি লাইন থাকলে সেই CA-র স্বাক্ষরিত সব server চেনা হয়ে যায়। তখন প্রথম সংযোগের yes প্রশ্নও চলে যায়।

১০ · AI-এর যুগে SSH — দ্রুত সমাধান, কিন্তু খোলা দরজা

SSH-এর error পেলে AI প্রায়ই সবচেয়ে ছোট পথ দেখায়, যা নিরাপত্তা বন্ধ করে দিয়ে “সমাধান” করে। Cloud আর DevOps-এর অন্য ভুলের সাথে এগুলো মিলিয়ে দেখুন:

AI-এর দেওয়া SSH পরামর্শ চালানোর আগে — চেকলিস্ট

• প্রতিটি option man পাতায় বা official docs-এ পেয়েছি
• sshd -t পাস করেছে, আর sshd -T বা ssh -G-তে চূড়ান্ত মান দেখেছি
• পুরোনো session খোলা রেখে নতুন window থেকে পরীক্ষা করেছি
• কোনো host যাচাই বন্ধ করিনি, কোনো দরজা 0.0.0.0/0-তে খুলিনি
• Prompt-এ কোনো key, token বা আসল ঠিকানা দিইনি
• আগে throwaway VM-এ চালিয়েছি, আর সেটি শেষে মুছে দিয়েছি; budget alert চালু আছে