Ngừng khách hàng ssh cung cấp tất cả các khóa công khai nó có thể tìm thấy?

Giống như hầu hết các sysadins tôi sử dụng openssh mọi lúc. Tôi có khoảng một tá khóa ssh, tôi muốn có một khóa ssh khác nhau cho mỗi máy chủ. Tuy nhiên, điều này gây ra sự cố khi tôi kết nối với máy chủ lần đầu tiên và tất cả những gì tôi có là mật khẩu. Tôi muốn chỉ kết nối với máy chủ bằng mật khẩu, không có khóa ssh trong trường hợp này. Tuy nhiên, khách hàng ssh sẽ cung cấp tất cả các khóa công khai trong tôi ~/.ssh/(tôi biết điều này khi nhìn vào đầu ra của ssh -v). Vì tôi có rất nhiều, tôi sẽ bị ngắt kết nối vì quá nhiều lỗi xác thực.

Có cách nào để nói với khách hàng ssh của tôi không cung cấp tất cả các khóa ssh không?

Đây là hành vi dự kiến ​​theo trang người đàn ông của ssh_config:

 IdentityFile
         Specifies a file from which the user's DSA, ECDSA or DSA authentica‐
         tion identity is read.  The default is ~/.ssh/identity for protocol
         version 1, and ~/.ssh/id_dsa, ~/.ssh/id_ecdsa and ~/.ssh/id_rsa for
         protocol version 2.  Additionally, any identities represented by the
         authentication agent will be used for authentication.  

         [...]

         It is possible to have multiple identity files specified in configu‐
         ration files; all these identities will be tried in sequence.  Mul‐
         tiple IdentityFile directives will add to the list of identities
         tried (this behaviour differs from that of other configuration
         directives).

Về cơ bản, việc chỉ định IdentityFiles chỉ thêm các khóa vào danh sách hiện tại mà tác nhân SSH đã được trình bày cho khách hàng.

Hãy thử ghi đè hành vi này với hành vi này ở cuối .ssh/configtệp của bạn :

Host *
  IdentitiesOnly yes

Bạn cũng có thể ghi đè cài đặt này ở cấp máy chủ, ví dụ:

Host foo
  User bar
  IdentityFile /path/to/key
  IdentitiesOnly yes

Mặc dù những người khác đã ám chỉ điều này với các giải pháp dựa trên cấu hình, nhưng có lẽ đáng để chỉ ra rằng bạn có thể dễ dàng thực hiện việc này một lần duy nhất trên dòng lệnh với:

ssh -o 'PubkeyAuthentication no' myhostname.mydomain

Theo giải pháp của James Sneeringer, bạn có thể chỉ muốn đặt ssh_config dọc theo dòng:

Host *.mycompany.com
  IdentityFile .ssh/id_dsa_mycompany_main

Host *.mycustomer.com
  IdentityFile .ssh/id_dsa_mycustomer

Host *
  RSAAuthentication no #this should be up top, avoid ssh1 at all costs
  PubkeyAuthentication no

Nếu bạn kết nối với một khóa cụ thể với nhiều máy không thuộc một miền chung, hãy xem xét cung cấp cho họ tất cả các CNAME trong DNS của riêng bạn. Tôi làm điều này với tất cả các hệ thống khách hàng.

Tương tự như giải pháp của user23413, bạn có thể vô hiệu hóa hoàn toàn xác thực khóa chung cho một máy chủ cụ thể (hoặc mẫu ký tự đại diện):

Host *.example.org
RSAAuthentication no        # SSHv1
PubkeyAuthentication no     # SSHv2

Nếu bạn trỏ đến một tệp khóa cụ thể bằng ssh -i / path / to / key, nó sẽ chỉ sử dụng tệp đó ngay cả khi các tệp khác được tải vào tác nhân và bạn sẽ không được nhắc nhập mật khẩu. Bạn cũng có thể chỉnh sửa bạn ~ / .ssh / config và quảng cáo một cái gì đó như thế này ...

Lưu trữ foo.example.com
Danh tínhFile .ssh / id_rsa_foo.example.com

bạn cũng có thể làm ...

Máy chủ * .example.org
Danh tínhFile .ssh / id_rsa_example.org