☰

Аутентификация на основе хоста OpenSSH - mm_answer_keyallowed: ключ 0x58c400 запрещен

tag-icon • tag-icon linux ssh
Аутентификация на основе хоста OpenSSH - mm_answer_keyallowed: ключ 0x58c400 запрещен

Я пытаюсь настроить hostbased аутентификацию для небольшого подмножества хостов. Я думаю, что у меня все в порядке:

  • Скопировал открытые ключи в /etc/ssh/ssh_known_hostsфайл
  • Поместите все хосты в/etc/shosts.equiv
  • Включено HostbasedAuthenticationв /etc/ssh/sshd_configи/etc/ssh/ssh_config
  • Установите идентификатор /usr/lib64/ssh/ssh-keysignдвоичного файла и установите его EnableSSHKeysign yesв /etc/ssh/ssh_configфайле на клиентах.

However, it still doesn't work. Running the server in debug mode I get the following output:

debug1: attempt 0 failures 0
debug3: mm_getpwnamallow entering
debug3: mm_request_send entering: type 6
debug3: monitor_read: checking request 6
debug3: mm_answer_pwnamallow
debug3: Trying to reverse map address 10.3.128.10.
debug3: mm_getpwnamallow: waiting for MONITOR_ANS_PWNAM
debug3: mm_request_receive_expect entering: type 7
debug3: mm_request_receive entering
debug2: parse_server_config: config reprocess config len 137
debug3: mm_answer_pwnamallow: sending MONITOR_ANS_PWNAM: 1
debug3: mm_request_send entering: type 7
debug2: monitor_read: 6 used once, disabling now
debug3: mm_request_receive entering
debug2: input_userauth_request: setting up authctxt for kamil
debug3: mm_start_pam entering
debug3: mm_request_send entering: type 45
debug3: mm_inform_authserv entering
debug3: mm_request_send entering: type 3
debug2: input_userauth_request: try method none
debug3: monitor_read: checking request 45
debug1: PAM: initializing for "kamil"
debug1: PAM: setting PAM_RHOST to "foo.bar.com"
debug1: PAM: setting PAM_TTY to "ssh"
debug2: monitor_read: 45 used once, disabling now
debug3: mm_request_receive entering
debug3: monitor_read: checking request 3
debug3: mm_answer_authserv: service=ssh-connection, style=
debug2: monitor_read: 3 used once, disabling now
debug3: mm_request_receive entering
debug1: userauth-request for user kamil service ssh-connection method hostbased
debug1: attempt 1 failures 1
debug2: input_userauth_request: try method hostbased
debug1: userauth_hostbased: cuser kamil chost foo.bar.com. pkalg ssh-dss slen 55
debug3: mm_key_allowed entering
debug3: mm_request_send entering: type 20
debug3: monitor_read: checking request 20
debug3: mm_answer_keyallowed entering
debug3: mm_answer_keyallowed: key_from_blob: 0x58c400
debug2: userauth_hostbased: chost foo.bar.com. resolvedname foo.bar.com ipaddr 10.3.128.10
debug2: stripping trailing dot from chost foo.bar.com.
debug2: auth_rhosts2: clientuser kamil hostname foo.bar.com ipaddr 10.3.128.10
debug1: temporarily_use_uid: 1031/1028 (e=0/0)
debug3: mm_key_allowed: waiting for MONITOR_ANS_KEYALLOWED
debug3: mm_request_receive_expect entering: type 21
debug3: mm_request_receive entering
debug1: restore_uid: 0/0
debug1: temporarily_use_uid: 1031/1028 (e=0/0)
debug1: restore_uid: 0/0
Failed hostbased for kamil from 10.3.128.10 port 55105 ssh2
debug3: mm_answer_keyallowed: key 0x58c400 is disallowed
debug3: mm_request_send entering: type 21
debug3: mm_request_receive entering
debug2: userauth_hostbased: authenticated 0
debug1: userauth-request for user kamil service ssh-connection method hostbased
debug1: attempt 2 failures 2
debug2: input_userauth_request: try method hostbased
debug1: userauth_hostbased: cuser kamil chost foo.bar.com. pkalg ssh-rsa slen 143
debug3: mm_key_allowed entering
debug3: mm_request_send entering: type 20
debug3: monitor_read: checking request 20
debug3: mm_answer_keyallowed entering
debug3: mm_answer_keyallowed: key_from_blob: 0x58c400
debug2: userauth_hostbased: chost foo.bar.com. resolvedname foo.bar.com ipaddr 10.3.128.10
debug2: stripping trailing dot from chost foo.bar.com.
debug2: auth_rhosts2: clientuser kamil hostname foo.bar.com ipaddr 10.3.128.10
debug1: temporarily_use_uid: 1031/1028 (e=0/0)
debug1: restore_uid: 0/0
debug1: temporarily_use_uid: 1031/1028 (e=0/0)
debug1: restore_uid: 0/0
Failed hostbased for kamil from 10.3.128.10 port 55105 ssh2
debug3: mm_answer_keyallowed: key 0x58c400 is disallowed
debug3: mm_request_send entering: type 21
debug3: mm_request_receive entering
debug3: mm_key_allowed: waiting for MONITOR_ANS_KEYALLOWED
debug3: mm_request_receive_expect entering: type 21
debug3: mm_request_receive entering
debug2: userauth_hostbased: authenticated 0
debug1: userauth-request for user kamil service ssh-connection method keyboard-interactive
debug1: attempt 3 failures 3
debug2: input_userauth_request: try method keyboard-interactive

Суть проблемы, по-видимому, в строке:

debug3: mm_answer_keyallowed: key 0x58c400 is disallowed

Идеи?

решение1

Вы EnableSSHKeysignвключили на клиенте? Это была еще одна часть, которая мне была нужна для работы аутентификации на основе хоста.

решение2

Ладно, это мой крупный промах. Я создал /etc/shosts.equivвместо /etc/ssh/shosts.equiv(см. пункт 2 моего вопроса). Причина, по которой это сработало на некоторых моих других системах, заключалась в том, что у них также был остаточный /etc/hosts.equivфайл от какой-то предыдущей работы коллеги.

Все работает гораздо лучше, когда нужные файлы находятся в нужном месте. Потребовалось некоторое использование straceна сервере, чтобы выяснить, что он считывает из каких файлов, чтобы наконец подсказать мне ответ.

решение3

Вы используете Debian со старым ключом хоста? Пакет openssh-blacklist может блокировать использование ключей, на которые влияетпечально известная уязвимость SSL.

В этом случае повторно сгенерируйте ключи хоста.

Связанный контент