☰

Não consigo me conectar ao meu servidor usando SSH Kerberos Auth no OSX 10.7

tag-icon • tag-icon ssh osx-lion kerberos
Não consigo me conectar ao meu servidor usando SSH Kerberos Auth no OSX 10.7

Acabei de atualizar meu Mac OS para 10.7 Lion. Já funcionou bem antes. Mas, kinitfuncionando normalmente agora, não consigo fazer ssh no meu servidor.

Depois de reinstalar o "Mac OS X Kerberos Extras", não melhorou.

Meu comando:

ssh [email protected] -v

......

debug1: Authentications that can continue: gssapi-with-mic,password
debug1: Next authentication method: gssapi-with-mic
debug1:  Miscellaneous failure (see text)
UNKNOWN_SERVER while looking up 'host/[email protected]' (cached result, timeout in 1200 sec)

debug1:  An invalid name was supplied
unknown mech-code 0 for mech 1 2 752 43 14 2

debug1:  Miscellaneous failure (see text)
unknown mech-code 0 for mech 1 3 6 1 5 5 14

debug1: Authentications that can continue: gssapi-with-mic,password
debug1:  An unsupported mechanism was requested
unknown mech-code 0 for mech 1 3 5 1 5 2 7

debug1:  Miscellaneous failure (see text)
unknown mech-code 0 for mech 1 3 6 1 5 2 5

debug1: Next authentication method: password
[email protected]'s password:

Responder1

Você tem as duas linhas a seguir em seu ~/.ssh/configarquivo ou em seu /etc/ssh_config?:

GSSAPIAuthentication yes
GSSAPITrustDNS yes

O primeiro é necessário para habilitar a autenticação GSSAPI (Kerberos), o segundo é necessário para obter o ssh para canonizar o nome do host via DNS e usar o nome canônico para obter um tíquete de serviço do host. Sem o segundo, o ssh usará o nome exato do host ou endereço IP inserido na linha de comando para tentar obter um ticket de serviço do host e, neste caso, falhará:

UNKNOWN_SERVER enquanto procura 'host/[e-mail protegido]'

O nome real do principal normalmente é 'host/hostname.domain@REALM' em vez de um endereço IP. Claro, você precisa de uma configuração correta de DNS reverso para que isso funcione.

Também parece que o OS X não consegue detectar o nome de domínio correto a ser usado e está tentando usar um endereço IP (a parte '@3.18.211'). Você tem registros DNS TXT e SRV corretos configurados para seu domínio e KDC? Caso contrário, você precisará inserir o domínio padrão e o endereço KDC manualmente no arquivo /etc/krb5.conf.

Responder2

Tive esses erros ao conectar ao Centos, mas não ao Fedora.Resolvido alterando meu usuário para um userPrincipalName completo em vez do meu nome abreviado no OS X.

~/.ssh/config:

Host svn saturnus.lan
User [email protected]

Erros de código mecânico desconhecidos SSH:

debug1: Next authentication method: gssapi-with-mic
debug2: we sent a gssapi-with-mic packet, wait for reply
debug1: Delegating credentials
debug1: Authentications that can continue: publickey,gssapi-with-mic,password
debug1:  An invalid name was supplied
unknown mech-code 0 for mech 1 2 752 43 14 2

debug1:  Miscellaneous failure (see text)
unknown mech-code 0 for mech 1 3 6 1 5 5 14

debug2: we sent a gssapi-with-mic packet, wait for reply
debug1: Authentications that can continue: publickey,gssapi-with-mic,password
debug1:  An unsupported mechanism was requested
unknown mech-code 0 for mech 1 3 5 1 5 2 7

debug1:  Miscellaneous failure (see text)
unknown mech-code 0 for mech 1 3 6 1 5 2 5

debug2: we did not send a packet, disable method

informação relacionada