SSH सर्वर कॉन्फ़िग ऑडिटर
अपना sshd_config चिपकाएँ या फ़ाइल अपलोड करें। ऑडिट पूरी तरह आपके ब्राउज़र में चलता है — कुछ भी अपलोड नहीं होता — और आपको स्कोर, पंक्ति-दर-पंक्ति निष्कर्ष और डाउनलोड करने योग्य मज़बूत कॉन्फ़िग मिलता है।
sshd_config वह फ़ाइल है जो तय करती है कि आपके सर्वर में कौन, कैसे लॉगिन कर सकता है: root लॉगिन, पासवर्ड प्रमाणीकरण, कौन-से सिफ़र और कुंजी-विनिमय एल्गोरिदम दिए जाते हैं, और निष्क्रिय सत्र कितनी देर रहते हैं। यह टूल आपके ब्राउज़र में Mozilla OpenSSH दिशानिर्देशों व OpenSSH 10.6 डिफ़ॉल्ट के अनुसार आपके sshd_config की जाँच करता है, 0–100 का स्कोर देता है, हर निष्कर्ष को पंक्ति के साथ सूचीबद्ध करता है, और डाउनलोड करने योग्य मज़बूत कॉन्फ़िग बनाता है। यह फ़र्स्ट-मैच शब्दार्थ, Match ब्लॉक और Include पंक्तियों को समझता है, इसलिए पहला पेज साफ़ दिखे तो भी कमज़ोर Match ब्लॉक छिप नहीं सकता। कुंजियाँ बनाने के लिए SSH कुंजी सूट का उपयोग करें; पासवर्ड लीक हुआ है या नहीं, यह जानने के लिए पासवर्ड लीक जाँच का उपयोग करें; और यदि कोई सीक्रेट कभी कॉन्फ़िग में आ जाए, तो लीक सीक्रेट स्कैनर उसे खोज लेता है। साथी लेख अपने SSH सर्वर कॉन्फ़िग को मज़बूत कैसे करें उन्हीं सेटिंग्स को शब्दों में समझाता है।
बेसलाइन: Mozilla OpenSSH दिशानिर्देश + OpenSSH 10.6 डिफ़ॉल्ट, 2026-11-13 को सत्यापित।
अंतिम अपडेट:
🔒 आपका कॉन्फ़िग आपके ब्राउज़र में ही पार्स होता है और कभी आपके डिवाइस को नहीं छोड़ता। कोई खाता नहीं, कोई अपलोड नहीं, कोई सर्वर कॉल नहीं।
आपके चिपकाए गए कॉन्फ़िग का क्या होता है
आपके ब्राउज़र से कुछ भी बाहर नहीं जाता। कॉन्फ़िग इस पेज के JavaScript द्वारा स्थानीय रूप से पार्स होता है: कोई अपलोड नहीं, कोई सर्वर कॉल नहीं, कोई स्टोरेज नहीं, कोई खाता नहीं। यह मायने रखता है क्योंकि सर्वर कॉन्फ़िग बुनियादी ढाँचे का विवरण है — होस्टनाम, उपयोगकर्ता नाम, अनुमत उपयोगकर्ता और पोर्ट — और इसे कभी चैट या सर्वर-साइड चेकर में नहीं चिपकाना चाहिए। पेज बंद करते ही यह मिट जाता है।
यह स्कोर क्या साबित नहीं करता
साफ़ स्कोर सुरक्षा का प्रमाण नहीं है। इसका मतलब सिर्फ़ इतना है कि इस बेसलाइन के अनुसार इस फ़ाइल में कोई चिह्नित निर्देश नहीं है — कमज़ोर कुंजी, लीक हुआ क्रेडेंशियल, बिना पैच वाला sshd या गायब फ़ायरवॉल फिर भी सब कुछ बिगाड़ सकते हैं।
खराब स्कोर किसी सेंध का प्रमाण नहीं है। यह प्राथमिकता के क्रम में बदलने वाली सेटिंग्स की सूची है — पहले त्रुटियाँ ठीक करें, फिर चेतावनियाँ।
बेसलाइन बदलती रहती है। यह ऑडिट 2026-11-13 को सत्यापित Mozilla OpenSSH दिशानिर्देशों व OpenSSH 10.6 डिफ़ॉल्ट पर आधारित है; आज आधुनिक एल्गोरिदम कल बहिष्कृत हो सकता है। sshd अपग्रेड करने पर फिर से जाँच करें।
स्कोर कैसे बनता है
हर त्रुटि पर 15 अंक और हर चेतावनी पर 7 अंक कटते हैं; नोट पर कोई अंक नहीं कटता। Match ब्लॉक के अंदर के निष्कर्ष सशर्त होते हैं — वे सिर्फ़ उस ब्लॉक से मेल खाने वाले सत्रों पर लागू होते हैं, इसलिए सूचीबद्ध होते हैं पर स्कोर नहीं घटाते। चार बैंड जानबूझकर मोटे रखे गए हैं: 80–100 उच्च, 60–79 मध्यम, 40–59 निम्न, और 0–39 खराब — ज़्यादा बारीक पैमाना उस सटीकता का दिखावा करेगा जो कॉन्फ़िग ऑडिट में नहीं होती।
ऑडिट कैसे काम करता है
sshd हर निर्देश को एक बार पढ़ता है: हर कीवर्ड के लिए, पहला मिला मान जीतता है, और बाद के डुप्लिकेट चुपचाप अनदेखे कर दिए जाते हैं। यह टूल प्रभावी पंक्ति बताता है और छिपे हुए डुप्लिकेट को चिह्नित करता है, इसलिए पहली पंक्ति के नीचे वाली “ठीक की गई” पंक्ति इसे धोखा नहीं दे सकती। गायब निर्देश की जाँच उसके OpenSSH डिफ़ॉल्ट के अनुसार होती है — जब डिफ़ॉल्ट खुद ही ढीला हो, तो अनुपस्थिति को पास नहीं माना जाता, और इसीलिए PasswordAuthentication अछूते कॉन्फ़िग पर सबसे आम निष्कर्ष है।
Match ब्लॉक के अंदर के निर्देश सिर्फ़ उन सत्रों पर लागू होते हैं जो उसकी शर्तों से मेल खाते हैं, इसलिए वहाँ के निष्कर्ष सशर्त होते हैं: वे अपने ब्लॉक के साथ सूचीबद्ध होते हैं, पर स्कोर नहीं घटाते। Include पंक्तियों को “फ़ॉलो नहीं किया गया” के रूप में चिह्नित किया जाता है — शामिल फ़ाइलें कभी पढ़ी नहीं जातीं, इसलिए सिर्फ़ शामिल फ़ाइल में रहने वाला निर्देश इस ऑडिट के लिए अदृश्य होता है। पूरी जाँच के लिए मर्ज किया गया कॉन्फ़िग चिपकाएँ (sshd -T प्रभावी कॉन्फ़िगरेशन छापता है)।
यह टूल फ़ाइल पढ़ता है, चल रहे सर्वर को नहीं: यह नहीं देख सकता कि sshd वाकई इस कॉन्फ़िग का उपयोग कर रहा है या नहीं, आपकी कुंजियाँ कितनी मज़बूत हैं, या फ़ायरवॉल या fail2ban पोर्ट की रक्षा कर रहा है या नहीं। सिर्फ़ PasswordAuthentication बंद करना काफ़ी नहीं है, अगर PAM अब भी पासवर्ड स्वीकार कर सकता है — KbdInteractiveAuthentication और अपने PAM स्टैक की भी जाँच करें। और पोर्ट बदलना छिपाव है, मज़बूती नहीं: यह दर्ज किया जाता है, कभी स्कोर नहीं किया जाता।
अक्सर पूछे जाने वाले प्रश्न
PasswordAuthentication सबसे आम निष्कर्ष क्यों है?
क्योंकि OpenSSH का डिफ़ॉल्ट yes है: ज़्यादातर डिस्ट्रीब्यूशन पासवर्ड लॉगिन चालू करके आते हैं, और कई ऑपरेटर इसे कभी बंद नहीं करते। इसे बंद करना — और KbdInteractiveAuthentication व PAM की जाँच करना, जो अब भी पासवर्ड स्वीकार कर सकते हैं — पोर्ट बदलने से कहीं ज़्यादा मायने रखता है; पोर्ट बदलने से सिर्फ़ लॉगिन संकेत बदलता है।
मेरा कॉन्फ़िग कई Include फ़ाइलों में बँटा है। ऑडिट उन्हें क्यों अनदेखा करता है?
यह टूल आपके ब्राउज़र में चलता है और आपके सर्वर का फ़ाइलसिस्टम नहीं पढ़ सकता, इसलिए Include पंक्तियों को चुपचाप छोड़ने के बजाय “फ़ॉलो नहीं किया गया” के रूप में चिह्नित किया जाता है। इसके बजाय मर्ज किया गया कॉन्फ़िग चिपकाएँ: sshd -T सभी include हल करके प्रभावी कॉन्फ़िगरेशन छापता है, और यह ऑडिट उसी फ़ाइल के लिए बना है।
क्या मैं मज़बूत कॉन्फ़िग सीधे अपने सर्वर पर डाल सकता हूँ?
नहीं — पहले उसकी समीक्षा करें। डाउनलोड चिह्नित निर्देशों को बेसलाइन मानों से बदल देता है और हटाए गए या छिपे हुए पंक्तियों को टिप्पणी में बदल देता है, लेकिन यह आपके Match ब्लॉक, आपके उपयोगकर्ता या आपके नेटवर्क को नहीं जानता। sshd -t से परीक्षण करें, एक सत्र खुला रखें, और पहला सत्र बंद करने से पहले दूसरा लॉगिन परीक्षण करें।