Ubuntu VPS वर root पासवर्ड कसा बदलावा

Ubuntu वर VPS root पासवर्ड कसा बदलावा

Ubuntu वर VPS (virtual private server) चा root पासवर्ड बदलण्यासाठी, sudo चालवू शकणाऱ्या वापरकर्त्याच्या रूपात SSH (secure shell) सत्र उघडा आणि sudo passwd root चालवा. नवीन पासवर्ड दोनदा विचारला जातो. जुन्या पासवर्डची मागणी केली जात नाही, कारण sudo ने तुमची ओळख आधीच प्रमाणित केलेली असते. त्याऐवजी स्वतःचा login पासवर्ड बदलायचा असल्यास, कोणतेही argument न देता passwd चालवा. या वेळी प्रथम सध्याचा पासवर्ड विचारला जातो.

passwd                  # your own password
sudo passwd deploy      # another user's password
sudo passwd root        # root's password

हीच संपूर्ण प्रक्रिया आहे. खालील भागात प्रत्यक्ष समस्या निर्माण होतात: सत्र बंद होण्यापूर्वी नवीन पासवर्ड कार्यरत आहे हे पडताळणे, स्क्रिप्टमधून पासवर्ड सेट करणे, एखादा पासवर्ड जाणीवपूर्वक expire करणे आणि पासवर्ड आधीच हरवला असल्यास पुन्हा प्रवेश मिळवणे.

पासवर्डमध्ये बदल करण्यापूर्वी दुसरे session उघडा

आता दुसरे SSH session उघडा आणि ते connected ठेवा. या मार्गदर्शकातील जवळपास प्रत्येक त्रुटी एका authenticated shell चे session अजून सुरू असताना दोन मिनिटांत दुरुस्त करता येते. शेवटचे session बंद झाल्यानंतर मात्र console वर जावे लागू शकते.

आधीच उघडलेले shell त्याच्याशी संबंधित account मध्ये बदल, lock किंवा expiry केल्यानंतरही कार्यरत राहते. कारण SSH login वेळी credentials तपासते आणि त्यानंतर पुन्हा तपासत नाही. याला sudo हा अपवाद आहे. त्याचा timestamp संपल्यानंतर ते PAM (pluggable authentication modules) द्वारे तुमचा password पुन्हा तपासते. हे timestamp default नुसार शेवटच्या prompt नंतर 15 minutes ने संपते. त्यामुळे नवीन password ची पहिली वास्तविक चाचणी login वेळी होत नाही. sudo पुढच्या वेळी password मागते तेव्हा ती होते.

पहिले session उघडे ठेवून दुसऱ्या session मध्ये नवीन password तपासा.

passwd वापरून स्वतःचा पासवर्ड बदला

passwd

Changing password for deploy.
Current password:
New password:
Retype new password:
passwd: password updated successfully

passwd: password updated successfully हेच एकमेव आउटपुट आहे ज्याचा अर्थ /etc/shadow मधील hash बदलण्यात आला आहे. इतर कोणतेही आउटपुट आल्यास जुना पासवर्ड कायम राहिला आहे.

येथे दोन अपयश येतात. passwd: Authentication token manipulation error नंतर passwd: password unchanged आल्यास, तुम्ही टाइप केलेला सध्याचा पासवर्ड चुकीचा आहे किंवा /etc/shadow असलेली filesystem लिहिण्यायोग्य नाही. recovery mode मध्ये ही सामान्य स्थिती आहे. You must choose a longer password. हे /etc/pam.d/common-password मधील pam_unix कडून येते. ते सामान्य users साठी password ची लांबी आणि साम्य तपासते.

बहुतेक VPS images मध्ये default account (ubuntu किंवा provider ने दिलेले कोणतेही नाव) कडे पासवर्ड नसतो; केवळ SSH key असते. passwd कडे तपासण्यासाठी सध्याचा पासवर्ड नसल्यामुळे तो पहिल्या prompt च्या पुढे जाऊ शकत नाही. त्याऐवजी sudo passwd $USER वापरा. image मधील sudoers drop-in file मुळे ते account पासवर्ड न देता sudo चालवू शकते.

sudo passwd वापरून दुसऱ्या वापरकर्त्याचा पासवर्ड बदला

sudo passwd deploy

root कडून जुना पासवर्ड विचारला जात नाही. तसेच, pam_unix सामान्य वापरकर्त्यांसाठी लागू होणाऱ्या strength checks वगळते. त्यामुळे root असा पासवर्ड सेट करू शकतो, जो वापरकर्ता स्वतःसाठी सेट करू शकला नसता.

पासवर्ड लॉक करणे ही स्वतंत्र कृती आहे. sudo passwd -l deploy साठवलेल्या hash च्या आधी ! लावते. त्यामुळे कोणताही पासवर्ड त्याच्याशी जुळत नाही. sudo passwd -u deploy ते काढून टाकते. स्थिती पुन्हा पाहण्यासाठी sudo passwd -S deploy वापरा.

पासवर्ड लॉक केल्याने त्या वापरकर्त्याचे login थांबत नाही. त्यांच्या ~/.ssh/authorized_keys मधील कोणतीही key अद्याप कार्य करते, कारण public key authentication /etc/shadow वाचत नाही. एखादे account पूर्णपणे थांबवण्यासाठी account स्वतः expire करा:

sudo usermod --expiredate 1 deploy

यामुळे account expiry तारीख 1970 मधील तारखेवर सेट होते. त्यामुळे कोणतेही credential दिले तरी sshd login नाकारते. हे पूर्ववत करण्यासाठी sudo usermod --expiredate '' deploy वापरा.

passwd -d टाळा. ते account लॉक करण्याऐवजी रिकामा पासवर्ड सेट करते. जुन्या release मध्ये PAM stack मध्ये nullok अद्याप असल्यास, रिकामा पासवर्ड कोणताही वापरकर्ता वापरू शकतो.

VPS वर root साठी password आवश्यक आहे का?

Ubuntu मध्ये root account लॉक केलेले असते. /etc/shadow hash ऐवजी ! ठेवते आणि sudo passwd -S root root L ने सुरू होणारी ओळ दाखवते. तुम्ही password सेट करेपर्यंत password वापरून root म्हणून login करता येत नाही. म्हणूनच image तुम्हाला sudo वापरण्याची क्षमता असलेला user देते. root म्हणून काम करण्याऐवजी VPS वरील least privilege user accounts वापरणे हीच पद्धत कायम ठेवावी.

root password सेट केल्याने एक विशिष्ट सुविधा मिळते: provider console द्वारे प्रवेश. हा console network stack च्या खाली virtual machine शी जोडला जातो. त्यामुळे sshd configuration चुकीची असली किंवा firewall rule चुकीचा असला तरी तो कार्यरत राहतो. मात्र याची एक किंमतही आहे. root साठी password सेट केलेले असल्यास GRUB recovery menu मधील root shell तो password विचारतो. त्यामुळे विसरलेला password reset करण्यासाठी वापरायचे साधन त्याच password मागे उपलब्ध होते.

root password सेट केल्याने root ला SSH द्वारे login करता येत नाही. Ubuntu मध्ये PermitRootLogin prohibit-password असते. याचा अर्थ केवळ keys वापरल्या जातात. तुमचा server प्रत्यक्षात काय वापरतो ते तपासा:

sudo sshd -T | grep -i permitrootlogin

प्रत्येक Include ओळ resolve केल्यानंतर sshd -T प्रभावी configuration दाखवते. त्यामुळे /etc/ssh/sshd_config.d/ अंतर्गत drop-in files असतील, तर हेच एकमेव अचूक उत्तर असते.

स्क्रिप्टमधून chpasswd वापरून पासवर्ड सेट करा

passwd टर्मिनलमधून इनपुट वाचते आणि स्क्रिप्टमधून चालवता येत नाही. chpasswd standard input वरून प्रत्येक ओळीत एक असे user:password जोड वाचते.

printf '%s:%s\n' 'deploy' "$NEW_PASSWORD" | sudo chpasswd

हे कार्य करते; परंतु यामुळे तुमच्या shell history आणि CI (continuous integration) logs मध्ये plaintext पासवर्ड नोंदवला जातो. त्याऐवजी आधी त्याचा hash तयार करा:

HASH=$(openssl passwd -6)
printf '%s:%s\n' 'deploy' "$HASH" | sudo chpasswd -e

openssl passwd -6 पासवर्ड दोनदा विचारते आणि टाइप केलेला मजकूर दाखवत नाही. त्यानंतर ते $6$ ने सुरू होणारा SHA-512 crypt hash मुद्रित करते. -e, दुसरे field आधीच hashed आहे असे chpasswd ला सांगते. त्यामुळे ते जसेच्या तसे /etc/shadow मध्ये कॉपी केले जाते. हा hash repository किंवा CI variable मध्ये ठेवणे सुरक्षित आहे. plaintext तुम्ही तो टाइप केलेल्या मशीनबाहेर कधीही जात नाही.

Ubuntu 24.04 मध्ये passwd नवीन पासवर्ड सेट करते तेव्हा ते yescrypt ($y$) वापरून hash तयार करते. openssl passwd -6 मात्र SHA-512 वापरते. Login वेळी दोन्ही hash format पडताळले जातात, कारण libxcrypt दोन्ही format वाचते. दोन्ही format एकत्र वापरणे योग्य आहे. openssl passwd -6 प्रत्येक Ubuntu LTS release मध्ये समान प्रकारे कार्य करते. chpasswd -c YESCRYPT मात्र तसे करत नाही: 20.04 मधील जुने shadow package त्या method name ला ओळखत नाही.

प्रत्यक्षात पासवर्ड बदलला आहे का हे कसे तपासाल?

प्रथम metadata तपासा आणि त्यानंतर login करून बदलाची खात्री करा.

sudo passwd -S deploy

deploy P 08/01/2026 0 99999 7 -1

दुसरे field म्हणजे state आहे: वापरण्यायोग्य पासवर्डसाठी P, locked पासवर्डसाठी L आणि अजिबात पासवर्ड नसल्यास NP. तारीख म्हणजे पासवर्ड शेवटचा कधी बदलला ती तारीख. त्यामुळे त्यात आजची तारीख दिसली पाहिजे. त्यानंतरचे अंक खाली स्पष्ट केलेल्या aging fields दर्शवतात.

प्रत्यक्ष कार्यरत प्रणालीवर सुरक्षित चाचणी करण्यासाठी sudo हेच वापरा. sudo -k cached timestamp काढून टाकते आणि sudo -v नवीन prompt सक्तीने दाखवते. तेथे नवीन पासवर्ड स्वीकारला गेला, तर PAM ने तो स्वीकारला आहे आणि तुमच्या session मध्ये कोणताही बदल झालेला नाही.

sudo -k && sudo -v

दुसऱ्या account ची चाचणी करण्यासाठी unprivileged shell मधून su - deploy चालवा. sudo su - deploy चालवू नका, कारण root कडून पासवर्ड कधीही विचारला जात नाही आणि या चाचणीतून काहीही सिद्ध होत नाही. चुकीचा पासवर्ड दिल्यास su: Authentication failure दिसते.

खरी चाचणी म्हणजे तुमच्या laptop वरून नवीन SSH login करणे. सध्याचे कार्यरत session उघडेच ठेवा:

ssh -o PubkeyAuthentication=no deploy@203.0.113.10

येथे Permission denied (publickey). याचा अर्थ server ने password authentication उपलब्ध करून दिले नाही. त्यामुळे पासवर्ड बदलला तरी login करता येणार नाही. Permission denied, please try again. याचा अर्थ password authentication उपलब्ध होते, पण तुम्ही टाइप केलेला पासवर्ड नाकारला गेला.

पुढील login वेळी password बदलण्याची सक्ती chage ने करा

sudo chage -d 0 deploy

-d 0 मुळे शेवटच्या password बदलाची तारीख epoch वर सेट होते. त्यामुळे PAM password expired असल्याचे मानते. पुढील interactive login वेळी shell देण्यापूर्वी सध्याचा password आणि त्यानंतर नवीन password विचारला जातो. sudo passwd -e deploy हेच काम करते.

हा पर्याय फक्त password वापरून interactive login करणाऱ्या accounts साठी वापरा. Expired password चा परिणाम key-based login वरही होतो, कारण authentication साठी key वापरली असली तरी sshd PAM account stage चालवतो. Script मधील ssh deploy@203.0.113.10 'systemctl restart app' खालील संदेशासह fail होते आणि थांबते:

Password change required but no TTY available.

त्या ओळीनंतर कोणतेही काम चालत नाही. Job फक्त non-zero exit code नोंदवते.

पासवर्ड कालबाह्यता फील्ड्सचा अर्थ

sudo chage -l deploy

Last password change                                    : Aug 01, 2026
Password expires                                        : never
Password inactive                                       : never
Account expires                                         : never
Minimum number of days between password change          : 0
Maximum number of days between password change          : 99999
Number of days of warning before password expires       : 7

ही संख्या /etc/shadow मधील त्या वापरकर्त्याच्या ओळीतील फील्ड 4 ते 8 आहेत. किमान दिवस (chage -m) म्हणजे वापरकर्त्याने पुन्हा पासवर्ड बदलण्यापूर्वी प्रतीक्षा करायचा कालावधी. सक्तीने पासवर्ड बदलल्यानंतर वापरकर्ता लगेच जुना पासवर्ड पुन्हा सेट करू नये, यासाठी हे वापरले जाते. कमाल दिवस (chage -M) म्हणजे पासवर्ड वैध राहण्याचा कालावधी. चेतावणीचे दिवस (chage -W) म्हणजे login करताना चेतावणी दाखवण्यास सुरुवात होण्यापूर्वीचे दिवस. निष्क्रिय दिवस (chage -I) म्हणजे पासवर्ड कालबाह्य झाल्यानंतर तो पूर्णपणे नाकारला जाण्यापूर्वीचा सवलतीचा कालावधी. खाते कालबाह्यता (chage -E) ही निश्चित तारीख असते आणि ती पासवर्डपासून स्वतंत्र असते.

sudo chage -M 90 -W 14 deploy

धोरणानुसार आवश्यक असेल तेव्हाच हे सेट करा. NIST (US National Institute of Standards and Technology) ने 2017 पासून नियमित पासवर्ड कालबाह्यतेविरुद्ध सल्ला दिला आहे. यामुळे लोक एका पासवर्डच्या अंदाज लावता येणाऱ्या बदलांकडे वळतात. त्याऐवजी, तडजोड झाल्याचे पुरावे मिळाल्यावर पासवर्ड बदलणे सक्तीचे करण्याची शिफारस केली जाते. password manager मध्ये सुरक्षित ठेवलेला मोठा, अद्वितीय पासवर्ड आणि key based SSH हे 90 दिवसांच्या चक्रापेक्षा अधिक सुरक्षित आहे.

तुम्ही root पासवर्ड विसरल्यास काय करावे

सर्व्हरवरील कोणतेही खाते sudo चालवू शकत असल्यास, काहीही पुनर्प्राप्त करण्याची गरज नाही: sudo passwd root नवीन पासवर्ड सेट करते. कोणतेही login कार्यरत नसणे ही कठीण परिस्थिती आहे.

खालील सर्व टप्प्यांसाठी provider console आवश्यक आहे. बहुतेक panels मध्ये ती VNC (virtual network computing) किंवा serial console म्हणून दिली जाते. ही console network stack च्या खाली असलेल्या virtual machine शी जोडली जाते. त्यामुळे sshd settings आणि firewall rules तिच्यावर परिणाम करत नाहीत.

1. Panel मधून server reboot करा आणि console वर लक्ष ठेवा.
2. GRUB menu उघडा. Cloud images मध्ये सामान्यतः GRUB_TIMEOUT=0 सेट केलेले असते. त्यामुळे BIOS boot वेळी Shift दाबून ठेवा किंवा UEFI boot वेळी reboot सुरू होताच Esc वारंवार दाबा.
3. Advanced options for Ubuntu निवडा. त्यानंतर (recovery mode) ने समाप्त होणारी entry निवडा. मग recovery menu मधील root निवडा.
4. प्रथम mount -o remount,rw / चालवा. Recovery मध्ये root filesystem read-only पद्धतीने mount केलेले असते. त्यामुळे हे न केल्यास passwd अयशस्वी होते आणि passwd: Authentication token manipulation error दाखवते, कारण ते /etc/shadow मध्ये लिहू शकत नाही.
5. आवश्यक खात्यासाठी passwd ubuntu चालवा. त्यानंतर panel मधून reboot करा.

root साठी आधीपासून पासवर्ड सेट केलेला असेल आणि तुम्ही तोच पासवर्ड विसरला असाल, तर recovery shell तो पासवर्ड विचारते आणि ही पद्धत पुढे चालत नाही. त्याऐवजी provider ची rescue image boot करा. मग वास्तविक disk mount करा आणि त्यामध्ये पासवर्ड बदला.

lsblk
sudo mount /dev/vda1 /mnt
sudo mount --bind /dev /mnt/dev
sudo mount --bind /proc /mnt/proc
sudo mount --bind /sys /mnt/sys
sudo chroot /mnt passwd ubuntu
sudo umount -R /mnt

/dev/vda1 या पृष्ठावरून तसाच कॉपी करण्याऐवजी partition layout lsblk मधून पहा. root partition मोठा असतो. UEFI image मध्ये त्याच्या शेजारी एक लहान EFI partition असतो. त्यामध्ये /etc directory अजिबात नसते.

SSH ने पासवर्ड स्वीकार करणे थांबवल्यावर काय करावे

तुमच्याकडे अजून उपलब्ध असलेल्या session मधून काम करा. कोणतीही session उरली नसेल, तर console वापरा.

Permission denied, please try again. याचा अर्थ server ने password authentication उपलब्ध करून दिले, पण तुम्ही पाठवलेला पासवर्ड नाकारला. नेहमीची कारणे म्हणजे caps lock सुरू असणे किंवा पासवर्ड सेट करताना वापरलेल्या keyboard layout पेक्षा console वरील keyboard layout वेगळा असणे.

Permission denied (publickey). याचा अर्थ server ने password authentication उपलब्ध करून दिले नाही. PasswordAuthentication no कुठेतरी सेट केलेले आहे. Ubuntu 22.04 आणि त्यानंतरच्या आवृत्त्यांमध्ये ते सहसा /etc/ssh/sshd_config.d/ अंतर्गत असलेल्या drop-in file मध्ये असते. ही file मुख्य file मधील सेटिंग्जवर override करते. प्रभावी मूल्ये वाचा:

sudo sshd -T | grep -Ei 'passwordauthentication|kbdinteractiveauthentication|permitrootlogin'

KbdInteractiveAuthentication yes आणि PasswordAuthentication no दोन्ही वापरात असतील, तरीही पासवर्ड स्वीकारला जाऊ शकतो, कारण keyboard-interactive पद्धत तोच PAM stack चालवते. एका पद्धतीला बंद करून दुसरी सुरू ठेवली, तर server केवळ key authentication वापरत असल्यासारखा दिसतो; परंतु typed passwords स्वीकारत राहतो.

Disconnect message मधील Too many authentication failures याचा अर्थ तुमच्या client ने password पर्यंत पोहोचण्यापूर्वी अनेक keys देऊ केल्या. त्यानंतर server वर MaxAuthTries मर्यादा आली. तिचे default मूल्य 6 आहे. एकच पद्धत सक्तीने वापरा:

ssh -o IdentitiesOnly=yes -o PubkeyAuthentication=no deploy@203.0.113.10

एक मिनिटापूर्वी चालणाऱ्या port वर Connection refused दिसत असेल, तर repeated failures नंतर SSH वर लक्ष ठेवणाऱ्या fail2ban ने तुमचा address ban केला असण्याची शक्यता आहे. त्याचा default ban rule packet drop करण्याऐवजी तो reject करतो. त्यामुळे connection timeout होण्याऐवजी refusal लगेच परत येतो. Console मधून sudo fail2ban-client status sshd banned addresses ची यादी दाखवते आणि sudo fail2ban-client set sshd unbanip 203.0.113.10 तुमचा address clear करते.

पासवर्ड हे संक्रमणाचे पाऊल आहेत; keys हे अंतिम ध्येय आहे

SSH वर कार्य करणारा पासवर्ड इंटरनेटवरील प्रत्येक scanner ला अंदाजाने तपासता येतो. key based authentication वापरा; त्यानंतर असे अंदाज लावणे निरर्थक ठरते. key pair तयार करा, public key चा भाग install करा आणि इतर कोणतेही बदल करण्यापूर्वी दुसऱ्या terminal मधून त्या key ने login होत असल्याची खात्री करा. SSH key management basics मध्ये generation, authorized_keys आणि passphrases यांचा समावेश आहे.

त्यानंतर password authentication बंद करा आणि तुम्ही संपादित केलेल्या file वर विश्वास ठेवण्याऐवजी sudo sshd -T वापरून ते बंद झाल्याची खात्री करा. hardening SSH on a VPS मध्ये बदलण्यास योग्य असलेल्या उर्वरित sshd settings दिल्या आहेत आणि the first ten minutes on a new VPS नवीन server वर त्या कोणत्या क्रमाने कराव्यात हे सांगते.

त्यानंतर एक password ठेवून द्या. sshd config मध्ये बिघाड झालेल्या key-only server पर्यंत provider console शिवाय पोहोचता येत नाही, आणि त्या console साठी username आणि password आवश्यक असतो. तुम्ही सुरक्षितपणे साठवून ठेवलेला strong password असलेले account पाच मिनिटांत दुरुस्ती करता येईल की पुन्हा install करावे लागेल, हे ठरवते.

FAQ

माझ्या VPS वरील root password बदलायचा आहे, पण जुना password माहीत नाही. तो कसा बदलू?

sudo चालवू शकणाऱ्या user म्हणून login करा आणि sudo passwd root चालवा. जुना password न विचारता तो नवीन password सेट करतो, कारण sudo ने तुमचे authentication आधीच केलेले असते. सर्व्हरवरील कोणतेही account sudo चालवू शकत नसेल, तर provider console उघडा, GRUB recovery menu मध्ये reboot करा, root shell entry निवडा, mount -o remount,rw / चालवा आणि त्यानंतर passwd चालवा. root कडे आधीपासून password असेल आणि तुम्ही तोच विसरला असाल, तर recovery shell तो password विचारेल. अशा वेळी disk mount करून आणि chroot करून provider ची rescue image वापरणे हा उरलेला मार्ग आहे.

passwd मध्ये "Authentication token manipulation error" असे का दिसते?

या संदेशामागे दोन कारणे असू शकतात. सर्वसाधारण कारण म्हणजे Current password: prompt वर चुकीचे उत्तर देणे. त्याखालील passwd: password unchanged line मध्ये काहीही लिहिले गेले नसल्याची पुष्टी होते. दुसरे कारण म्हणजे लिहिता न येणारी filesystem. Recovery mode मध्ये हे घडते, कारण तेथे / read-only म्हणून mount केलेले असते. mount -o remount,rw / चालवा आणि पुन्हा प्रयत्न करा.

माझा Linux password बदलल्यावर sudo password देखील बदलतो का?

होय. sudo चा स्वतःचा password नसतो. तो PAM मार्फत SSH आणि su वापरत असलेल्या त्याच /etc/shadow entry विरुद्ध तुमचे authentication करतो. त्यामुळे प्रत्येक account साठी एकच password असतो. Password बदलल्यानंतरचा पहिला sudo prompt हीच खरी पडताळणी का असते, हे यावरून स्पष्ट होते. कार्यरत session सुरू असतानाच तो prompt जबरदस्तीने दाखवण्यासाठी sudo -k && sudo -v चालवा.

माझा password बदलल्यावर SSH keys किंवा आधीपासून सुरू असलेली sessions बंद होतील का?

नाही. Public key authentication /etc/shadow कधीही वाचत नाही. त्यामुळे password बदलल्यानंतर, passwd -l नंतर आणि chage -d 0 नंतरही keys कार्यरत राहतात. आधीपासून सुरू असलेल्या sessions सुरूच राहतात, कारण SSH credentials फक्त login वेळी तपासतो. कार्यरत session मध्ये बदलणारी एकमेव गोष्ट sudo आहे. त्याचा 15 मिनिटांचा timestamp संपल्यानंतर तो नवीन password एकदा विचारतो.

पुढील login वेळी user ला password बदलणे अनिवार्य कसे करावे?

sudo chage -d 0 deploy किंवा sudo passwd -e deploy चालवा. दोन्ही एकच काम करतात. Stored last-change date epoch वर सेट होते, त्यामुळे PAM password expired मानतो. पुढील interactive login मध्ये shell सुरू होण्यापूर्वी नवीन password सेट करणे आवश्यक असते. SSH वर scripts वापरणाऱ्या account वर हे करू नका. अशा वेळी non-interactive command Password change required but no TTY available. मुळे अयशस्वी होतो आणि कधीही चालत नाही.