Посилила SSH до 24 перевірених директив

Ситуація. SSH — єдиний інтерактивний спосіб потрапити на хост компанії, а його налаштування записує роль автоматизації, яка місяцями працювала без жодної помилки. У вересні 2026 року звіт про доступ зчитав підсумкові налаштування, які застосовує сам демон, і виявив, що два з них розходяться з тим, що роль записувала під час кожного converge.

Завдання. Посилений захист мав стати тим, що підтверджує сам демон, а не тим, що стверджує репозиторій, бо розрив між одним і другим існував уже кілька місяців, і ніхто його не помічав.

Дія. Причина була в порядку налаштувань. Операційна система постачає власні значення за замовчуванням розкоментованими й вище того місця, куди потрапляє додатковий файл конфігурації (drop‑in), а для двох згаданих параметрів діє перше входження. Виправленням став префікс у назві файлу, завдяки якому він сортується раніше за файл постачальника, — зміна на один символ, і саме такі вади лишаються невиправленими, бо нікому не спадає на думку туди подивитися. Важливіше те, що збудовано навколо цього виправлення: три етапи перевірки під час кожного converge. Файл‑кандидат перевіряють на синтаксис ще до встановлення, тож некоректна конфігурація ніколи не потрапляє на хост. Зібрану конфігурацію перевіряють після встановлення. Потім зчитують підсумкові налаштування, які видає сам демон, і звіряють із ними 24 директиви, тож параметр, який записали, але перекрили, обриває прогін. Дві директиви навмисно не включили — обидві тому, що демон їх більше не підтримує, а записувати їх означало б лише створювати видимість ретельності.

Результат. Стан захисту SSH тепер визначає відповідь демона, а не твердження репозиторію, і різниця не теоретична: коли писали перевірку, вона вже становила два параметри. Converge, який не бачить, чи набув засіб контролю чинності, його не перевірив, а пошук директиви через grep доводить лише те, що її записали.