نام (NAME)

gtlsshd - سرور اجرای پوسته بر بستر TLS

خلاصه دستور (SYNOPSIS)

gtlsshd [گزینه‌ها]

توضیحات (DESCRIPTION)

برنامه gtlsshd اتصالات را از gtlssh دریافت می‌کند، اتصالات را احراز هویت می‌نماید و بنا بر درخواست، آن‌ها را به یک پوسته یا برنامه متصل می‌سازد.

gtlsshd به صورت پیش‌فرض، مگر خلاف آن مشخص شده باشد، روی هر دو سوکت TCP و SCTP گوش فرامی‌دهد.

gtlsshd از احراز هویت مبتنی بر گواهی کلید عمومی OpenSSL در هر دو جهت استفاده می‌کند. هنگامی که اتصالی برقرار می‌شود، با استفاده از فایل‌های کلید و گواهی ارائه‌شده و با به‌کارگیری رفتار استاندارد SSL، هویت خود را برای کاربر اعتبارسنجی می‌کند.

هنگامی که SSL وظیفه خود را انجام داد، پروتکل احراز هویت کاربر را بر بستر اتصال SSL اجرا می‌کند. کاربر نام کاربری را ارسال کرده و gtlsshd از دایرکتوری $HOME/.gtlssh/allowed_certs برای احراز هویت گواهی ارائه‌شده توسط کاربر استفاده خواهد کرد. اگر کاربر گواهی منطبق با گواهی ارائه‌شده نداشته باشد، gtlsshd در صورت فعال بودن، ورود عادی با گذرواژه را امتحان خواهد کرد.

ترفندهای ویندوز (WINDOWS HACKS)

برای اطلاعات درباره پیکربندی ویژه ویندوز، بخش «ترفندهای ویندوز» را در صفحه راهنمای gtlssh-keygen(1) ببینید.

احراز هویت دومرحله‌ای (TWO-FACTOR AUTHENTICATION)

gtlsshd از احراز هویت دومرحله‌ای به چندین روش پشتیبانی می‌کند. gensio در certauth از ارسال توکن احراز هویت دوم پشتیبانی می‌کند؛ در صورتی که PAM آن را بخواهد، gtlsshd آن را دریافت کرده و به کار می‌برد. اگر توکن ارسال نشده باشد اما PAM آن را درخواست کند، به صورت تعاملی توکن را از کاربر درخواست خواهد کرد، مگر آنکه گزینه --nointeractive مشخص شده باشد.

البته این مورد نیازمند پیکربندی مناسب PAM است. همچنین این برنامه مستقیماً از توکن‌های احراز هویت دوم همراه با گواهی‌ها پشتیبانی می‌کند. می‌توانید با استفاده از گزینه --pam-cert-auth یک اسکریپت احراز هویت PAM متفاوت را برای ورودهای مبتنی بر گواهی تعیین کنید تا اضافه شدن عامل دوم تنها به احراز هویت‌های مبتنی بر گواهی محدود شود.

همچنین می‌توانید با افزودن گزینه --do-2fa درخواست کنید که طرف مقابل توکن احراز هویت عامل دوم را از کاربر درخواست کرده و همراه با گذرواژه ارسال نماید. این گزینه موجب می‌شود که طرف مقابل همواره عامل دوم را درخواست کند.

گزینه‌ها (OPTIONS)

-p|--port port: استفاده از درگاه (پورت) مشخص‌شده به جای درگاه پیش‌فرض.
-h|--keyfile file: استفاده از فایل داده‌شده برای کلید به جای فایل پیش‌فرض. مقدار پیش‌فرض sysconfdir/gtlssh/gtlsshd.key است. در یونیکس، sysconfdir عموماً /etc می‌باشد. در ویندوز، یک پوشه بالاتر از فایل اجرایی به همراه /etc است.
-c|--certfile file: تنظیم گواهی مورد استفاده. مقدار پیش‌فرض sysconfdir/gtlssh/gtlsshd.crt است. در یونیکس، sysconfdir عموماً /etc می‌باشد. در ویندوز، یک پوشه بالاتر از فایل اجرایی به همراه /etc است.
--permit-root: اجازه ورود به کاربر ریشه (root). در غیر این صورت، ورود کاربر ریشه یا کاربری با uid=0 رد می‌شود.
--allow-password: اجازه ورود با گذرواژه. به طور پیش‌فرض فقط ورود مبتنی بر گواهی مجاز است. گذرواژه‌ها بسیار ناامن‌تر از ورود با گواهی هستند، بنابراین استفاده از آن‌ها توصیه نمی‌شود.
--require-password: الزام به گذرواژه علاوه بر ورود با گواهی. این گزینه عمدتاً برای سیستم‌های ویندوزی است که برای ورود صحیح حتماً به گذرواژه نیاز دارند.
در سیستم‌های یونیکس، معمولاً برای این کار از PAM استفاده می‌کنید، اما اگر PAM را طوری پیکربندی کنید که حتی در صورت استفاده از گواهی باز هم گذرواژه بخواهد، باید این گزینه را نیز فعال کنید تا گذرواژه به عنوان بخشی از پروتکل احراز هویت منتقل شود و نه به صورت تعاملی.
--do-2fa: فعال‌سازی احراز هویت دومرحله‌ای. این به این معنی است که احراز هویت دومرحله‌ای در PAM برای gtlssh فعال شده است. این امر باعث می‌شود که کلاینت داده‌های دومرحله‌ای را درخواست کند و آن‌ها را به همراه گذرواژه ارسال نماید. در حین احراز هویت، انتظار می‌رود که PAM دو توکن احراز هویت درخواست کند که اولی گذرواژه خواهد بود (در صورتی که گواهی ناموفق باشد). توجه داشته باشید که این گزینه برای انجام احراز هویت دومرحله‌ای اجباری نیست، اما به gtlssh امکان می‌دهد داده‌های دومرحله‌ای را بخواند و به عنوان بخشی از اطلاعات ورود ارسال کند.
--pam-cert-auth <name>: اگر اتصال با گواهی احراز هویت شد، همچنان احراز هویت PAM را انجام بده، اما از نام مشخص‌شده به عنوان نام برنامه برای PAM جهت یافتن قوانین استفاده کن. این کار اجازه می‌دهد احراز هویت دومرحله‌ای روی ورود مبتنی بر گواهی نیز انجام پذیرد، زیرا می‌توان قوانین مشخص‌شده را طوری نوشت که فقط بخش احراز هویت مرحله دوم را انجام دهند.
--pam-service <name>: استفاده از نام مشخص‌شده برای سرویس PAM، به جای استفاده از نام برنامه.
--use-login, --no-use-login: استفاده یا عدم استفاده از برنامه login برای ورود کاربر به سیستم. برخی سیستم‌ها با login بهتر کار می‌کنند، در حالی که در دیگر سیستم‌ها اجرای مستقیم پوسته به خوبی کار می‌کند. مقدار پیش‌فرض وابسته به سیستم است و بهترین حالت انتخاب خواهد شد.
--oneshot: عدم انشعاب (fork نکردن) برنامه در شروع کار یا هنگام دریافت یک اتصال. این گزینه امکان اشکال‌زدایی آسان‌تر برنامه را فراهم می‌کند.
--nodaemon: برنامه را به صورت دیمن (انشعاب دوگانه / double fork) درنیاور.
--nointeractive: غیرفعال کردن ورودهای تعاملی. تمام اطلاعات احراز هویت باید از طریق پروتکل ارسال شوند. این مورد با مفهوم تعاملی در gtlssh که بر نحوه ورودی/خروجی تأثیر می‌گذارد متفاوت است. این گزینه فقط بر درخواست تعاملی اطلاعات کاربری اثر می‌گذارد.
--sctp: فعال کردن پشتیبانی از پروتکل SCTP.
--notcp: غیرفعال کردن پشتیبانی از پروتکل TCP.
--other_acc <accepter>: فعال‌سازی پذیرنده (accepter) مشخص‌شده برای دریافت اتصالات gtlsshd. این گزینه TCP یا SCTP را غیرفعال نمی‌کند.
-P|--pidfile file: ایجاد یک فایل شناسه فرایند (pidfile) استاندارد با نام داده‌شده.
-4: فقط استفاده از IPv4.
-6: فقط استفاده از IPv6.
-m, --enable-mdns: فعال‌سازی سرویس mDNS برای این دستگاه. این قابلیت به gtlssh امکان می‌دهد آن را با gtlssh -m <name> پیدا کند.
--mdns-name <name>: تنظیم نام مورد استفاده برای یافتن این اتصال از طریق mDNS. مقدار پیش‌فرض، بخش اول نام میزبان قبل از نخستین نویسه «.» (در صورت وجود) است.
--startup-retries: تعداد دفعاتی که gtlsshd برای ایجاد پذیرنده تلاش مجدد می‌کند. تلاش مجدد یک بار در هر ثانیه انجام می‌شود. معمولاً در صورت ناموفق بودن ایجاد پذیرنده، به این معنی است که کارساز نام (nameserver) هنوز در دسترس نیست و تبدیل نام محلی به آدرس با خطا مواجه می‌شود؛ بنابراین این گزینه می‌تواند در شرایطی که تحلیل‌گر نام (resolver) هنگام شروع کار gtlsshd آماده نیست، مفید باشد. مقدار پیش‌فرض ۳۰ است.
-d|--debug: تولید خروجی اشکال‌زدایی. مشخص کردن بیش از یک بار، میزان خروجی را افزایش می‌دهد. همچنین باعث می‌شود خروجی syslog به خروجی خطای استاندارد (stderr) ارسال گردد.
--version: چاپ شماره نسخه و خروج.
-h|--help: نمایش پیام راهنما.

همچنین ببینید (SEE ALSO)

gensio(5), gtlssh(1), gtlssh-keygen(1)

مشکلات شناخته‌شده (KNOWN PROBLEMS)

هیچ موردی گزارش نشده است.

نویسنده (AUTHOR)

Corey Minyard <minyard@acm.org>