ssh: tự động chấp nhận khóa

Tôi đã viết tập lệnh tiện ích nhỏ này:

for h in $SERVER_LIST; do ssh $h "uptime"; done

Khi một máy chủ mới được thêm vào $SERVER_LIST, tập lệnh sẽ bị dừng với:

The authenticity of host 'blah.blah.blah (10.10.10.10)' can't be established.
RSA key fingerprint is a4:d9:a4:d9:a4:d9a4:d9:a4:d9a4:d9a4:d9a4:d9a4:d9a4:d9.
Are you sure you want to continue connecting (yes/no)?

Tôi đã thử yes:

for h in $SERVER_LIST; do yes | ssh $h "uptime"; done

không có may mắn

Có cách nào để parametrize sshtự động chấp nhận bất kỳ khóa mới nào không?

Sử dụng tùy chọn StricthostKeyChecking, ví dụ:

ssh -oStrictHostKeyChecking=no $h uptime

Tùy chọn này cũng có thể được thêm vào ~ / .ssh / config, vd:

Host somehost
    Hostname 10.0.0.1
    StrictHostKeyChecking no

Lưu ý rằng khi các phím máy chủ đã thay đổi, bạn sẽ nhận được cảnh báo, ngay cả với tùy chọn này:

$ ssh -oStrictHostKeyChecking=no somehost uptime
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the RSA key sent by the remote host is
31:6f:2a:d5:76:c3:1e:74:f7:73:2f:96:16:12:e0:d8.
Please contact your system administrator.
Add correct host key in /home/peter/.ssh/known_hosts to get rid of this message.
Offending RSA key in /home/peter/.ssh/known_hosts:24
  remove with: ssh-keygen -f "/home/peter/.ssh/known_hosts" -R 10.0.0.1
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
ash: uptime: not found

Nếu máy chủ của bạn không thường xuyên được cài đặt lại, bạn có thể làm cho điều này kém an toàn hơn (nhưng thuận tiện hơn cho các khóa máy chủ thường xuyên thay đổi) với -oUserKnownHostsFile=/dev/nulltùy chọn. Điều này loại bỏ tất cả các khóa máy chủ nhận được để nó sẽ không bao giờ tạo cảnh báo.

Với 18.04, có một khả năng mới : StrictHostKeyChecking=accept-new. Từ man 5 ssh_config:

If this flag is set to “accept-new” then ssh will automatically
add new host keys to the user known hosts files, but will not
permit connections to hosts with changed host keys.  If this flag
is set to “no” or “off”, ssh will automatically add new host keys
to the user known hosts files and allow connections to hosts with
changed hostkeys to proceed, subject to some restrictions.

Bạn có thể sử dụng lệnh sau để thêm dấu vân tay cho máy chủ vào know_hosts của mình

ssh-keyscan -H <ip-address> >> ~/.ssh/known_hosts
ssh-keyscan -H <hostname> >> ~/.ssh/known_hosts

LƯU Ý: Thay thế <địa chỉ ip> và <tên máy chủ> bằng tên IP và dns của máy chủ bạn muốn thêm.

Vấn đề duy nhất với điều này là bạn sẽ kết thúc với một số máy chủ trong know_hosts của mình hai lần. Nó không thực sự là một vấn đề lớn, chỉ cần đề cập đến. Để đảm bảo không có trùng lặp, trước tiên bạn có thể xóa tất cả các máy chủ bằng cách chạy sau:

ssh-keygen -R <ip-address>
ssh-keygen -R <hostname>

Vì vậy, bạn có thể chạy:

for h in $SERVER_LIST; do
    ip=$(dig +search +short $h)
    ssh-keygen -R $h
    ssh-keygen -R $ip
    ssh-keyscan -H $ip >> ~/.ssh/known_hosts
    ssh-keyscan -H $h >> ~/.ssh/known_hosts
done

Một lưu ý khi xóa chỉ để thêm lại, về cơ bản bạn đang xóa tính bảo mật của việc xác minh dấu vân tay. Vì vậy, bạn chắc chắn sẽ không muốn chạy tập lệnh này trước mỗi lần thực thi tập lệnh tiện ích của bạn.

Tôi hơi muộn với phản hồi này, nhưng cách hợp lý sẽ là thực hiện ssh-keyscan trên máy mới trước khi bạn chạy thu thập thời gian hoạt động.

ssh-keyscan  <newhost> >> ~/.ssh/known_hosts

Vô hiệu hóa kiểm tra vệ sinh vì lợi ích thuận tiện nghe có vẻ là một kế hoạch tồi, ngay cả khi bạn nghĩ rằng bạn hoàn toàn kiểm soát môi trường.

Để tự động thêm danh sách máy chủ, chúng tôi có thể thực hiện bên dưới:

Thêm IP máy chủ trong danh sách máy chủ tệp

Các IP nên được thêm vào trong định dạng dưới đây.

Đầu ra của cat servers-list

123.1.2.3
124.1.2.4
123.1.2.5

Thay đổi IP trên bằng cách thay thế của bạn.

Lệnh dưới đây sẽ thêm tất cả các máy chủ từ danh sách.

ssh-keyscan -p61 -H "`cat servers-list`" >> ~/.ssh/known_hosts