تأمين لوحة بروكسموكس: من يدخلها يملك سيرفرك

لوحة بروكسموكس تحتوي زرّ Shell يفتح سطر أوامر السيرفر بصلاحية root كاملة. أي أن من يدخل لوحتك يملك سيرفرك — لا جزءاً منه.

ومع ذلك، أكثر ما نراه هو لوحات على المنفذ 8006 مفتوحة للإنترنت بحساب root وكلمة مرور. هذه المقالة عن إغلاق ذلك — بالترتيب الصحيح.

الترتيب بحسب الأثر لا بحسب السهولة

‏1 · أخرج اللوحة من الإنترنت

ثلاث طرق مرتّبة من الأفضل إلى الأضعف:

# نفق SSH — اللوحة تصبح على حاسبتك أنت
ssh -L 8006:127.0.0.1:8006 root@<السيرفر>
# ثم افتح: https://127.0.0.1:8006

وهذه الطريقة نستعملها نحن في كل هذه السلسلة: لم تُفتح لوحة المختبر على الإنترنت لحظة واحدة، وكل لقطة في المقالات أُخذت عبر نفق.

وقاعدة الجدار إن اخترت الطريق الثاني

nc -zv <عنوانك-العام> 8006 22 3128

‏2 · التحقّق بخطوتين

‏3 · توقّف عن استعمال root

pveum user add yourname@pve --comment "مالك النظام"
pveum acl modify / -user yourname@pve -role Administrator

ثم استعمله يومياً. والفائدة مزدوجة: سجلّ المهامّ يعرف من فعل ماذا، وroot يبقى منفذ طوارئ لا يُستعمَل يومياً فلا تتسرّب كلمته.

‏4 · شهادة موثّقة

‏5 · مفاتيح SSH وحماية المحاولات

# من جهازك
ssh-keygen -t ed25519 -C "owner@maram"
ssh-copy-id -i ~/.ssh/id_ed25519.pub root@<السيرفر>

# وبعد التحقّق أن المفتاح يعمل — في جلسة ثانية مفتوحة
sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin prohibit-password/' /etc/ssh/sshd_config
systemctl reload ssh

apt install -y fail2ban
systemctl enable --now fail2ban
fail2ban-client status sshd

‏6 · تحصينات إضافية

‏7 · من فعل ماذا

# محاولات الدخول إلى اللوحة
grep -i "authentication failure" /var/log/syslog | tail -20

# ومحاولات SSH
grep -i "Failed password" /var/log/auth.log | tail -20

قائمة فحص شهرية — عشرون دقيقة

1. افحص المنافذ من خارج شبكتك.
2. راجع المستخدمين: هل فيهم من غادر؟
3. راجع سجلّ الدخول: وقت أو عنوان غريب؟
4. تحقّق أن النسخ نجحت — واسترجع واحدة.
5. راجع التحديثات المعلّقة.
6. تحقّق أن التحقّق بخطوتين ما زال مفعّلاً على الحسابات الإدارية.

أخطاء شائعة وحلولها

أسئلة شائعة

هل أغيّر منفذ اللوحة من 8006؟

يقلّل الضجيج الآلي ولا يمنع فحصاً جاداً. أخرجها من الإنترنت — هذا ما يغيّر المعادلة فعلاً.

هل أضع وسيطاً عكسياً أمام اللوحة؟

ممكن للشهادة والاسم، لكنه لا يغني عن التقييد. والوسيط يضيف نقطة فشل — فلا تفعله بلا سبب.

ما أخطر ما تراه فعلاً؟

لوحة على الإنترنت بحساب root وكلمة مرور بلا تحقّق ثانٍ. وهذا ليس افتراضاً نظرياً — رأينا في مختبرنا نفسه راوتراً بعنوان عام وحساب بلا كلمة مرور، وأغلقناه فوراً.

هل التحقّق بخطوتين يعطّل الأتمتة؟

لا — الرموز البرمجية لا تخضع له. ولهذا تُستعمَل للأتمتة والحسابات البشرية للبشر.

ما الذي يستحقّ الاستثمار أولاً؟

نسخة احتياطية خارج السيرفر ومُختبَرة. لأن كل إجراء أمني قد يفشل، وهذه الطبقة الأخيرة هي ما يعيدك إلى العمل.

الخطوة التالية

أغلقت الأبواب. بقي أن تقرأ ما يحدث: في الجزء الأخير من هذا المسار نشرح سجلّ المهامّ وسجلّ النظام — وكيف تصل إلى سبب أي عطل في دقائق بدل ساعات.