SSH vào một hộp có IP thường xuyên thay đổi

Tôi có một số hộp đám mây thay đổi IP của họ thường xuyên.

Tôi ssh sử dụng tên máy chủ nhưng phải chỉnh sửa tệp know_hosts mỗi khi máy chủ khởi chạy vì thông báo lỗi này:

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that the RSA host key has just been changed.
The fingerprint for the RSA key sent by the remote host is…

Ngoài bất kỳ rủi ro bảo mật nào và có liên quan đến những gì tôi muốn làm, có cách nào để bỏ qua lỗi này hoặc ghi đè lên tệp know_hosts tự động để tôi không phải tự chỉnh sửa nó không?

Chỉnh sửa tệp ssh_config của bạn và thêm thay đổi dòng này:

CheckHostIP no

CheckhostIP mặc định là 'có'. Điều này làm là chỉ làm loại kiểm tra bạn thất bại. Tắt nó đi có nghĩa là nó chỉ tin tưởng rằng IP là biến và sẽ kiểm tra khóa đối với tên máy chủ.

Ngoài ra: bạn chỉ có thể thử vô hiệu hóa kiểm tra CheckhostIP cho tên đó :

Host *
  [ global settings .. ]

Host very.dynamic.host
  CheckHostIP no

Rất nhiều câu trả lời ở đây sẽ hoạt động - nhưng về mặt kỹ thuật chúng là cách giải quyết. OpenSSH đã có sẵn một tính năng tích hợp với ý tưởng này : HostKeyAlias.

Trong tệp .ssh / config của bạn, thêm HostKeyAlias <alias>vào cấu hình máy chủ:

host myserver.example.com
HostKeyAlias myserver.example.com

Với vị trí này, việc kết nối với máy chủ myserver.example.comsẽ không sử dụng tên máy chủ hoặc địa chỉ IP cho tham chiếu cục bộ - nó sẽ luôn chỉ sử dụng HostKeyAlias ​​đã cho khi kết nối với máy chủ đó. Đối với tôi thật hợp lý khi sử dụng tên máy chủ - nhưng tất nhiên bạn có thể sử dụng bất kỳ bí danh nào bạn thích.

Cấu hình tiêu biểu cho bản thân tôi cho các máy chủ động là như vậy:

host myserver
hostname myserver.dyn.example.com
HostKeyAlias myserver.private.example.com

Điều này cũng có thể được sử dụng trong một số tình huống khó hiểu khi bạn biết một loạt các máy chủ của mình có cùng khóa máy chủ (nói chung điều này không nên xảy ra). Điều này sau đó sẽ ngăn chặn các mục trùng lặp. Trong tương lai, nếu các khóa thay đổi hợp pháp, bạn không phải thay thế / xóa nhiều mục. Chỉ một. Máy chủ Gitlab Geo là một ví dụ tốt về điều này.

Về việc xóa tệp know_hosts, tôi khuyên bạn nên xem xét các câu hỏi / câu trả lời khác liên quan cụ thể đến việc duy trì / xóa các mục đã biết cũ_hosts. Ví dụ: xem Cách quản lý tệp .ssh / know_hosts của tôi ; Tôi đặc biệt ấn tượng với câu trả lời của người dùng 1953828, mặc dù tôi thấy nó không có nhiều upvote (chưa). :)

Tôi sử dụng các tùy chọn tinh ranh để giải quyết vấn đề này. (Khóa công khai của máy chủ lưu trữ của tôi được tạo lại khá thường xuyên. Vì vậy, việc này sẽ loại bỏ kiểm tra IP và Khóa)

ssh remoteServerName -l username -o "UserKnownHostsFile=/dev/null"

Bạn cũng có thể chỉ sử dụng điều này nếu Khóa giữ nguyên nhưng IP thay đổi:

ssh remoteServerName -l username -o "CheckHostIP=no"

Bạn có thể đặt StricthostKeyChecking = no trong cấu hình máy khách ssh của mình (tức là tệp ~ / ssh / config trên máy mà bạn kết nối), để bỏ qua cảnh báo.

Bạn có thể đưa CheckHostIP novào ~/.ssh/configtập tin của mình , nhưng điều đó khiến bạn mở các cuộc tấn công giả mạo. Nếu bạn không quan tâm đến điều đó, thì cài đặt này sẽ tắt known_hostskiểm tra.

Tôi tránh thêm dấu vân tay vào known_hoststệp của mình khi kết nối với các máy AWS thoáng qua. Tôi sử dụng một lệnh như

ssh -o UserKnownHostsFile=/dev/null -o StrictHostKeyChecking=no -i secret.pem ec2-user@10.0.0.5

để kết nối với họ. Nó sẽ không hỏi bạn nếu bạn muốn thêm máy vào danh sách các máy chủ đã biết. Thay thế 10.0.0.5bằng địa chỉ IP của máy và secret.pembằng đường dẫn đầy đủ của khóa Ssh của bạn. Bạn vẫn sẽ nhận được một cảnh báo rằng nó 10.0.0.5đã được thêm vào, nhưng nó đã thực sự biến mất /dev/null. Tôi làm điều này thường xuyên đủ để tôi đặt bí danh trong~/.profile

alias awsssh='ssh -i secret.pem -o UserKnownHostsFile=/dev/null -o StrictHostKeyChecking=no'

Tôi dự trữ các ssh ec2-user@example.comloại lệnh cho máy móc là tôi đã gặp rắc rối khi kiểm tra dấu vân tay.

Làm cho know_hosts chỉ đọc.