Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
Beide Seiten der vorigen RevisionVorhergehende ÜberarbeitungNächste Überarbeitung | Vorhergehende Überarbeitung | ||
howtos:ssh [2017/09/19 11:30] – [Schritt 3: Eine Passwortabfrage pro Tag] morquai | howtos:ssh [2022/02/18 08:09] (aktuell) – Externe Bearbeitung 127.0.0.1 | ||
---|---|---|---|
Zeile 31: | Zeile 31: | ||
wird man freundlich nach dem Passwort gefragt. | wird man freundlich nach dem Passwort gefragt. | ||
==== Schritt 2: geht das auch ohne Passwort ==== | ==== Schritt 2: geht das auch ohne Passwort ==== | ||
- | Natürlich muss der Benutzer sich ausweisen, dafür ist aber nicht unbedingt ein Passwort erforderlich. Ein Zertifikat | + | Natürlich muss der Benutzer sich ausweisen, dafür ist aber nicht unbedingt ein Passwort erforderlich. Ein SSH Key (eine Art Ausweis) reicht auch aus, muss aber erstmal angelegt werden. Ich empfehle DRINGEND den Schlüssel mit einem Passwort (" |
ssh-keygen -t rsa -b 2048 -f < | ssh-keygen -t rsa -b 2048 -f < | ||
Lässt man "-f < | Lässt man "-f < | ||
Zeile 75: | Zeile 75: | ||
LocalForward | LocalForward | ||
IdentityFile | IdentityFile | ||
- | Damit haben wir die Passwort Abrage des Servers deaktiviert und müssen nun die Passphrase des Zertifikats | + | Damit haben wir die Passwort Abrage des Servers deaktiviert und müssen nun die Passphrase des SSH Keys eingeben. Damit haben wir aber leider nur die eine Passwortabfrage durch eine andere ersetzt. |
==== Schritt 3: Eine Passwortabfrage pro Tag ==== | ==== Schritt 3: Eine Passwortabfrage pro Tag ==== | ||
- | Die openssh Entwickler sind anscheinend ziemlich faule Gesellen. Im Paket openssh befindet sich auch ein Agent, der die Aufgabe hat sich die Zertifikate | + | Die openssh Entwickler sind anscheinend ziemlich faule Gesellen. Im Paket openssh befindet sich auch ein Agent, der die Aufgabe hat sich die SSH Keys im RAM zu merken und bei Bedarf zur Verfügung zu stellen. Die Ablage im RAM erfolgt natürlich nach allen Regeln der Sicherheit. Unter Linux (auch Cygwin) wird der Agent folgendermaßen benutzt: |
ssh-agent | ssh-agent | ||
SSH_AUTH_SOCK=/ | SSH_AUTH_SOCK=/ | ||
Zeile 97: | Zeile 97: | ||
**Hinweis: wer PuTTY und openssh unter Cygwin parallel benutzt sollte sich die Benutzung von PAGEANT (PuTTY) und die Zusammenarbeit mit ssh-pageant (openssh unter Cygwin) anschauen. [[https:// | **Hinweis: wer PuTTY und openssh unter Cygwin parallel benutzt sollte sich die Benutzung von PAGEANT (PuTTY) und die Zusammenarbeit mit ssh-pageant (openssh unter Cygwin) anschauen. [[https:// | ||
- | ==== Schritt 4: Das Zertifikat | + | ==== Schritt 4: Den SSH Key auch von server.example.com aus benutzen ==== |
- | Oft findet man eine ganze Serverlandschaft, | + | |
- | + | Oft findet man eine ganze Serverlandschaft, | |
+ | **Ein Private Key darf den Client NIEMALS verlassen.**\\ | ||
+ | Natürlich hat openssh hier eine Lösung parat, denn der ssh-agent kann noch mehr. Der Private Key kann in einer ganze Kette aufeinander folgende SSH Sessions benutzt werden. Der Schalter " | ||
+ | client: ssh -A server.example.com | ||
+ | server.example.com: | ||
+ | Auch der auf " | ||
+ | host * | ||
+ | ForwardAgent yes | ||
+ | Und wieder etwas gelernt, man kann für die Definitionen in der .ssh/config Wildcards (" | ||
+ | |||
+ | ==== Schritt 5: nicht öffentliche Services lokal nutzen ==== | ||
+ | Was ist damit gemeint? Auf server.example.com läuft ein WebServer, der aus dem Internet nicht erreichbar ist, den wir aber auf unserem Client ansprechen wollen. Ein WebServer wird auf Port 80 (unverschlüsselt) oder 443 (verschlüsselt) angesprochen. Dieser Port wird aber von einer Firewall geblockt. Die Lösung lautet: Port Forwarding, was mit openssh kein Problem ist. | ||
+ | ssh -L 1234: | ||
+ | Was will uns der Dichter damit sagen? Die SSH Session wird überredet, auf dem Client den Port 1234 zu öffnen und jeglichen Traffic auf diesem Port an den Port 443 auf server.example.com (" | ||
+ | https:// | ||
+ | um den Webserver zu erreichen. \\ | ||
+ | |||
+ | Der Eintrag in der .ssh/config lautet | ||
+ | LocalForward | ||
+ | |||
+ | Verwirrend? Das liegt an der Doppelnutzung von " | ||
+ | Aber in der Serverlandschaft hinter server.example.com laufen mehrere WebServer, für jeden einzelnen ein Port Forwarding einzurichten ist wohl ein wenig aufwendig. Aber natürlich hat openssh alles zur Hand. Wir richten uns einfach einen Socks Proxy ein, den wir im Browser eintragen und schon stehen alle WebServer mit einem einzigen Eintrag im SSH Command zur Verfügung. | ||
+ | ssh -D 3128 server.example.com | ||
+ | Wie immer was es das schon. Nur noch im Browse die Proxy Einstellungen einstellen und die alle Webserver, die server.example.com erreichen kann, stehen zur Verfügung. Unschön ist das Verhalten, wenn man Namen statt IP-Adressen benutzt. Normalerweise sprechen wir Webseiten nach dem Schema < | ||
+ | Ach ja, wie sieht denn der Eintrag in der .ssh/config aus? | ||
+ | DynamicForward | ||
+ | |||
+ | |||
+ | ==== Fazit: Beispiel einer .ssh/config ==== | ||
+ | |||
+ | # Ersteinmal die Einstellungen, | ||
+ | Host * | ||
+ | # ssh-agent soll die private Keys zur Verfügung stellen | ||
+ | ForwardAgent yes | ||
+ | # Bei Ungereimtheiten mit Host Keys wollen wir gefragt werden | ||
+ | StrictHostKeyChecking ask | ||
+ | # den Wert mancher Variablen wollen wir mitschleppen, | ||
+ | # die sich auf die Sprachumgebung beziehen | ||
+ | SendEnv LANG LC_* | ||
+ | # Wo steht nochmal unser Private Key? | ||
+ | IdentityFile | ||
+ | # Nun zu Server.example.com | ||
+ | # Da die für alle Hosts geltenden Einstellungen hier ebenfalls gültig sind, brauchen wir nur | ||
+ | # anzugeben, was sich ändert oder was hinzukommt | ||
+ | Host Server.example.com | ||
+ | # wie lautet unser Benutzename | ||
+ | User user | ||
+ | # unser netter Socks 5 Proxy | ||
+ | DynamicForward | ||
+ | # Der lokale Forward um den Webserver auf server.example.com zu erreichen | ||
+ | # ist ja eigentlich unnötig, denn wir haben ja einen Dynamic Forward | ||
+ | LocalForward | ||
+ | # Hier mal ein Beispiel für mehrere Server | ||
+ | Host *.example.com | ||
+ | User user | ||
+ | |||
+ | Die Grundlagen sind gelegt und die meisten Fragen beantwortet. Weitergehende HowTo' | ||
| | ||