1

Настроил авторизацию по ssh.

Сгенерировал ключи. Добавил открытый ключ в authorized_keys. Рестанул ssh

И теперь он пускает по ssh ключу только если я залогинен по паролю.

В sshd_config авторизация по ssh2 включена Вот что пишет в логах

Feb 26 18:41:28 vm-10cac6d0 sshd[10970]: PAM 5 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=xx.xx.xx user=root Feb 26 18:41:28 vm-10cac6d0 sshd[10970]: PAM service(sshd) ignoring max retries; 6 > 3
Feb 26 18:41:31 vm-10cac6d0 sshd[10974]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=xx.xx.xx user=root Feb 26 18:41:33 vm-10cac6d0 sshd[10974]: Failed password for root from xx.xx.xx port 45392 ssh2

sshd_config

# Package generated configuration file
# See the sshd_config(5) manpage for details

# What ports, IPs and protocols we listen for
Port 22
# Use these options to restrict which interfaces/protocols sshd will bind to
#ListenAddress ::
#ListenAddress 0.0.0.0
Protocol 2
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
#Privilege Separation is turned on for security
UsePrivilegeSeparation yes

# Lifetime and size of ephemeral version 1 server key
KeyRegenerationInterval 3600
ServerKeyBits 768

# Logging
SyslogFacility AUTH
LogLevel INFO

# Authentication:
LoginGraceTime 120
PermitRootLogin yes
StrictModes yes

RSAAuthentication yes
PubkeyAuthentication yes
#AuthorizedKeysFile %h/.ssh/authorized_keys

# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes
# For this to work you will also need host keys in /etc/ssh_known_hosts
RhostsRSAAuthentication no
# similar for protocol version 2
HostbasedAuthentication no
# Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication
#IgnoreUserKnownHosts yes

# To enable empty passwords, change to yes (NOT RECOMMENDED)
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Change to no to disable tunnelled clear text passwords
#PasswordAuthentication yes

# Kerberos options
#KerberosAuthentication no
#KerberosGetAFSToken no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes

# GSSAPI options
#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
#UseLogin no

#MaxStartups 10:30:60
#Banner /etc/issue.net

# Allow client to pass locale environment variables
AcceptEnv LANG LC_*

Subsystem sftp /usr/lib/openssh/sftp-server

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes

UPD:

Не имею linux, генерировал на putty, можно конечно поставить виртуалку и там сделать.

Что я делал:

1) создал через putty ключи (пароль добавлял) 2) залил открытый ключ на хост 3) cat id_rsa.pub >> ~/.ssh/authorized_keys 4) удалил открытый ключ и рестанул ssh

1 ответ 1

2

Не совсем понятно, что вы делали в целом, а последовательность действий должна быть такой:

На хосте, с которого хотим подключаться по ssh на другой хост без пароля, выполняем команду ssh-keygen, пароль для ключа указывать не будем:

 [user-name@linux]# ssh-keygen
  Generating public/private rsa key pair.
  Enter file in which to save the key (/home/user-name/.ssh/id_rsa):
  Enter passphrase (empty for no passphrase):
  Enter same passphrase again:
  Your identification has been saved in /home/user-name/.ssh/id_rsa.
  Your public key has been saved in /home/user-name/.ssh/id_rsa.pub.
  The key fingerprint is:
  f3:d5:db:e5:d9:eb:ce:d5:cc:48:a3:b4:cb:73:a4:ef user-name@linux
  The key's randomart image is:
+--[ RSA 2048]----+
|                 |
|                 |
|                 |
|             .   |
|        S   o + .|
|         o o +.O=|
|          . ooo.O|
|           .o.o o|
|            o=E= |
+-----------------+

Копируем pub на целевой хост, юзеру, под которым хотим ходить без пароля (в этой операции пароль надо будет ввести один раз для копирования):

[user-name@linux .ssh]# ssh-copy-id another-user@host-name-or-ip
another-user@host-name-or-ip's password: 
Now try logging into the machine, with "ssh 'another-user@host-name-or-ip'", and check in:

  .ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

Заходим на целевой хост без пароля:

[user-name@linux]# ssh another-user@host-name-or-ip
Welcome to Ubuntu 16.04.3 LTS (GNU/Linux 4.4.0-62-generic x86_64)

 * Documentation:  https://help.ubuntu.com
 * Management:     https://landscape.canonical.com
 * Support:        https://ubuntu.com/advantage

36 packages can be updated.
11 updates are security updates.

Никаких рестартов sshd (для sshd из коробки) не требуется.

Update

Вариант для Windows (putty.exe и puttygen.exe)

Как и ранее - генерируем пару public/private с помощью puttygen.exe (и паролем для ключа - опционально).

Поскольку этот процесс происходит в gui и требует болтания мышкой по экрану, то описывать тут особо нечего.

Предполагаем, что процесс генерации завершен успешно и по итогу у нас есть Public key, который сразу можно скопировать из окна (поле Public key for pasting into OpenSSH authorized_keys file:) и вставить в целевой сервер (файл authorized_keys для требуемого юзера). А приватный ключ сохраняем в файл (например, host_name.ppk)

Далее запускаем putty.exe и делаем настройки сессии, понадобится:

  • имя или ip целевого хоста
  • имя нужного пользователя (это в разделе Connection -> Data -> Auto-login username)
  • и приватный ключ. Его надо добавить в разделе Connection -> SSH -> Auth -> Private key file for authentication. Сюда вставляем файл host_name.ppk.

Cохраняем эту сессию, и коннектимся к серверу.

Если на ключ был установлен пароль, то будет предложено его ввести.

Если ключ без пароля, то появится приглашение оболочки сервера.

10
  • Не имею linux, генерировал на putty, можно конечно поставить виртуалку и там сделать. Что я делал: 1) создал через putty ключи (пароль добавлял) 2) залил открытый ключ на хост 3) cat id_rsa.pub >> ~/.ssh/authorized_keys 4) удалил открытый ключ и рестанул ssh
    – Drop
    27 фев 2018 в 7:13
  • @Drop вы это в вопрос напишите, т.к. данная инфа частично меняет решение
    – de_frag
    27 фев 2018 в 7:22
  • @Drop добавил в update для windows.
    – de_frag
    27 фев 2018 в 7:57
  • Да, спасибо! Вопрос, я коннектился через filezilla с ключом но пароль не запрашивался, это норма?
    – Drop
    27 фев 2018 в 8:02
  • @Drop скажем так, такой тип соединения требует указания клиенту приватного ключа. Если клиент (putty, winscp, filezilla, etc) умеют работать с таким типом соединения, то все получится, если не умеют, то сами понимаете. Про filezilla, к сожалению, ничего не знаю.
    – de_frag
    27 фев 2018 в 8:15

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.