Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
Beide Seiten der vorigen Revision Vorhergehende Überarbeitung Nächste Überarbeitung | Vorhergehende Überarbeitung Nächste ÜberarbeitungBeide Seiten der Revision | ||
centos:ssh_c7 [19.03.2017 09:50. ] – [Erzeugung eines SSH-Schlüssel(paars)] #ssh #centos7 django | centos:ssh_c7 [31.03.2022 18:41. ] – [Client Konfiguration] django | ||
---|---|---|---|
Zeile 1: | Zeile 1: | ||
====== Secure Shell - ssh unter CentOS 7.x ====== | ====== Secure Shell - ssh unter CentOS 7.x ====== | ||
{{: | {{: | ||
+ | \\ | ||
+ | <WRAP center round info 65%> | ||
+ | **Hinweis**: | ||
+ | </ | ||
===== openSSH - Programmsuite ===== | ===== openSSH - Programmsuite ===== | ||
Zeile 3145: | Zeile 3149: | ||
**id_ed25519_dmz** enthält den privaten Schlüssel und sollte auf keinen Fall weitergegeben werden und darf auch __nur__ für den Nutzer selbst lesbar sein! **id_ed25519_dmz.pub**, | **id_ed25519_dmz** enthält den privaten Schlüssel und sollte auf keinen Fall weitergegeben werden und darf auch __nur__ für den Nutzer selbst lesbar sein! **id_ed25519_dmz.pub**, | ||
+ | |||
+ | ==== Passphrase eines SSH-Keys ändern ==== | ||
+ | Will man die passphrase eines bestehenden SSH-Keys ändern benutzt man wie schon bei der Erstellung des Schlüssel(paares) den Befehl **ssh-keygen**. | ||
+ | $ ssh-keygen -p -f ~/ | ||
+ | |||
+ | Enter old passphrase: | ||
+ | |||
+ | Enter new passphrase (empty for no passphrase): | ||
+ | |||
+ | Enter same passphrase again: | ||
+ | |||
+ | Your identification has been saved with the new passphrase. | ||
+ | |||
==== Zielverzeichnis anlegen und öffentlichen Schlüssel kopieren | ==== Zielverzeichnis anlegen und öffentlichen Schlüssel kopieren | ||
Auf dem Zielrechner legen wir nun das Verzeichnis **.ssh** an und schützen es entsprechend. | Auf dem Zielrechner legen wir nun das Verzeichnis **.ssh** an und schützen es entsprechend. | ||
Zeile 3174: | Zeile 3191: | ||
<WRAP round important> | <WRAP round important> | ||
- | Der User muß selbst darauf achten, dass sein privater Schlüssel nicht in fremde Hände gelangt! Will man noch sicherer gehen, vergibt man, wie Eingangs bereits erwähnt, bei der Erzeugung des Schlüssels eine Passphrase. Diese muss er User dann aber bei jedem neuen Verbindungsaufbau angeben!</ | + | Der User muß selbst darauf achten, dass sein privater Schlüssel nicht in fremde Hände gelangt! Will man noch sicherer gehen, vergibt man, wie Eingangs bereits erwähnt, bei der Erzeugung des Schlüssels eine Passphrase. Diese muss er User dann aber bei jedem neuen Verbindungsaufbau angeben! |
+ | |||
+ | <WRAP center round tip> | ||
+ | Möchte man seine Schlüssel sicher ausserhalb seines Rechners/ | ||
+ | </ | ||
+ | |||
+ | |||
+ | </ | ||
===== ssh-Daemon ===== | ===== ssh-Daemon ===== | ||
Zeile 3330: | Zeile 3354: | ||
# taken to be an absolute path or one relative to the user's home directory. | # taken to be an absolute path or one relative to the user's home directory. | ||
AuthorizedKeysFile | AuthorizedKeysFile | ||
- | |||
- | # Specifies whether pure RSA authentication is allowed. The default is | ||
- | # '' | ||
- | RSAAuthentication no | ||
# Specifies whether public key authentication is allowed. The default is | # Specifies whether public key authentication is allowed. The default is | ||
Zeile 3343: | Zeile 3363: | ||
# RhostsRSAAuthentication and HostbasedAuthentication | # RhostsRSAAuthentication and HostbasedAuthentication | ||
RhostsRSAAuthentication no | RhostsRSAAuthentication no | ||
- | |||
# Specifies whether rhosts or / | # Specifies whether rhosts or / | ||
# with successful public key client host authentication is allowed | # with successful public key client host authentication is allowed | ||
Zeile 3464: | Zeile 3483: | ||
# login when a user logs in interactively. The default is '' | # login when a user logs in interactively. The default is '' | ||
PrintLastLog yes | PrintLastLog yes | ||
- | |||
- | # Specifies whether login(1) is used for interactive login sessions. The | ||
- | # default is '' | ||
- | # execution. Note also, that if this is enabled, X11Forwarding will be | ||
- | # disabled because login(1) does not know how to handle xauth(1) cookies. | ||
- | # If UsePrivilegeSeparation is specified, it will be disabled after | ||
- | # authentication. | ||
- | UseLogin no | ||
# Set this to ' | # Set this to ' | ||
Zeile 3673: | Zeile 3684: | ||
===== ssh in der Praxis (Teil 2) ===== | ===== ssh in der Praxis (Teil 2) ===== | ||
==== Verbindungsaufbau via SSH ==== | ==== Verbindungsaufbau via SSH ==== | ||
- | Nachdem wir den Login mit Passwort deaktiviert haben, werden wir nun beim Verbindungsaufbau nach der Passphrase des zur Anwendung kommenden Schlüssels gefragt. | + | Nun ist es an der Zeit, dass wir uns mit unserem Zielhost verbinden. |
+ | |||
+ | <WRAP center round important 80%> | ||
+ | **Achtung**: | ||
+ | Doch bevor wir das machen, besorgen wir uns zuerst einmal noch die **fingerprints** des Zielhosts! doch warum sollten wir das machen? Nun, beim initialen Verbindungsaufbau wird uns der Fingerprint des '' | ||
+ | |||
+ | Also wichtig, nicht einfach **__blind__** irgendwelchen Zielen vertrauen. Eine gewisse Paranoia als Admin an den Tag legen ist nie verkehrt! | ||
+ | </ | ||
+ | |||
+ | Wir melden uns also direkt an der Konsole unseres Zielsystems vor Ort oder über eine Remote-Konsole an und lassen uns die betreffenden Fingerprints ausgeben. Hierzu ist es notwendig, dass wir das als Nutzer **'' | ||
+ | | ||
+ | < | ||
+ | -rw-r-----. 1 root ssh_keys | ||
+ | -rw-r-----. 1 root ssh_keys 1675 Jan 17 2017 / | ||
+ | |||
+ | Die Fingerprints dieser drei Schlüssel (**ECDSA**, **ED25519**, | ||
+ | | ||
+ | < | ||
+ | 256 SHA256: | ||
+ | 2048 SHA256: | ||
+ | |||
+ | Nun können wir uns das erste mal mit unserem Zielhost verbinden. | ||
$ ssh www | $ ssh www | ||
- | < | + | < |
+ | ED25519 key fingerprint is SHA256: | ||
+ | Are you sure you want to continue connecting (yes/ | ||
+ | |||
+ | Den angezeigten Fingerprint **'' | ||
+ | 256 SHA256: | ||
+ | |||
+ | Da sich dieser nicht unterscheidet, | ||
+ | yes | ||
+ | < | ||
+ | ############################################################################## | ||
# # | # # | ||
# This is server of nausch.org. | # This is server of nausch.org. | ||
Zeile 3692: | Zeile 3734: | ||
# This is server of nausch.org. | # This is server of nausch.org. | ||
# # | # # | ||
- | # kd-141271-b357-fr138d | + | # kd-141271-b357-fr13nd |
# # | # # | ||
# | # | ||
Zeile 3701: | Zeile 3743: | ||
############################################################################## | ############################################################################## | ||
- | [django@kd-141271-b357-fr138d | + | [django@kd-141271-b357-fr13nd |
</ | </ | ||
Zeile 3715: | Zeile 3757: | ||
<file bash ~/ | <file bash ~/ | ||
# Django : 2016-11-18 | # Django : 2016-11-18 | ||
+ | |||
+ | # Standardwerte die für alle nachfolgenden Hosts gelten sollen, sofern diese Werte nicht überschrieben werden. | ||
+ | Host * | ||
+ | User django | ||
+ | | ||
+ | |||
Host 04x1 | Host 04x1 | ||
- | | + | |
Port 9922 | Port 9922 | ||
- | User django | ||
| | ||
| | ||
- | | ||
| | ||
Zeile 3727: | Zeile 3773: | ||
| | ||
Port 22 | Port 22 | ||
- | User django | ||
| | ||
- | | ||
| | ||
Zeile 3742: | Zeile 3786: | ||
- | Im folgenden Beispiel würde | + | Im folgenden Beispiel würde |
$ ssh 04x1 | $ ssh 04x1 | ||
__Ohne__ unsere Clientkonfigurationsdatei müssten wir hingegen folgenden Aufruf verwenden. | __Ohne__ unsere Clientkonfigurationsdatei müssten wir hingegen folgenden Aufruf verwenden. | ||
- | $ ssh -p 9922 -u django -Y -A -2 -i ~/ | + | $ ssh -p 9922 -u django -Y -A -2 -i ~/ |
Zeile 3837: | Zeile 3881: | ||
Von der Admin-Workstation aus, wollen wir nun nicht nur zum nächstgelegenen Host springen, sondern auch zum übernächsten oder gar zu einem Host im Internet, den wir aber aus Sicherheitsgründen nicht direkt erreichen dürfen und auch können. | Von der Admin-Workstation aus, wollen wir nun nicht nur zum nächstgelegenen Host springen, sondern auch zum übernächsten oder gar zu einem Host im Internet, den wir aber aus Sicherheitsgründen nicht direkt erreichen dürfen und auch können. | ||
=== System-Skizze === | === System-Skizze === | ||
- | < | + | <uml> |
state Firewall_A { | state Firewall_A { | ||
Firewall_A : ----------- | Firewall_A : ----------- | ||
Zeile 4070: | Zeile 4113: | ||
* **[[http:// | * **[[http:// | ||
- | ~~AUTOTWEET: | + | |
- | ~~DISCUSSION~~ | + |