Как настроить SSH в родной Мандриве? (// и ещё в надцатый раз про SSH)

[DrakSoul]

Есть сервер (торент, ftp, шлюз) подключенный к интернету.
К серверу подключена рабочая станция.

Как настроить между ними SSH соединение, для управления сервером?
Есть ли простая и понятная инструкция для чайников, как это сделать?
(с учетом, что настройка в родной Мандриве !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!)


З.Ы. Чем дальше в гугл, тем больше... непонятно и Линукс Линуксу рознь.

[SLEDopit]

да ничего сложного. везде порядок одинаковый:
ставите openssh-server, настраиваете конфиг сервера (из общих рекомендаций нужно сменить стандартный 22 порт на нестандартный, запретить логин рута, разрешенный по умолчанию, желательно явно указать список пользователей, которым можно входить удаленно через ssh) и подключаетесь с удаленное машины любым ssh клиентом.
весь инет завален статьями как и что делать.
если вам непонятно что и как, задавайте конкретные вопросы, что именно непонятно )

[DrakSoul]

да ничего сложного. везде порядок одинаковый:
ставите openssh-server, настраиваете конфиг сервера (из общих рекомендаций нужно сменить стандартный 22 порт на нестандартный, запретить логин рута, разрешенный по умолчанию, желательно явно указать список пользователей, которым можно входить удаленно через ssh) и подключаетесь с удаленное машины любым ssh клиентом.
весь инет завален статьями как и что делать.
если вам непонятно что и как, задавайте конкретные вопросы, что именно непонятно )

Да я как бы и все так и делаю и статей кучу распечатал и просмотрел и как бы все понятно и просто, а не работает

[taaroa]

З.Ы. Чем дальше в гугл, тем больше... непонятно и Линукс Линуксу рознь.

вы ещё напишите, что ssh ssh рознь. и, отчасти, это действительно так.
но в объективной реальности все дистрибутивы gnu/linux используют openssh.
весь ваш вопрос сводится к двум моментам:
как с помощью пакетного менеджера установить ssh;
сделать поиск по этому форуму.

[SLEDopit]

а не работает

что не работает, как не работает, что было сделано и все остальные технические детали, как я понял, мы оставили на усмотрение форумных телепатов (:

[DrakSoul]

Код: Выделить всё

[private1@rs1 ~]$ ssh privatetr1@192.168.11.2
The authenticity of host '[192.168.11.2]:2200 ([192.168.11.2]:2200)' can't be established.
RSA key fingerprint is be:93:d7:36:cc:bb:66:aa:58:95:ba:73:b5:59:84:6f.
Are you sure you want to continue connecting (yes/no)? yes
Failed to add the host to the list of known hosts (/home/private1/.ssh/known_hosts).
Permission denied (publickey,keyboard-interactive).
[private1@rs1 ~]$

sshd_config

Код: Выделить всё

Port 2200
X11Forwarding no
IgnoreRhosts yes
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile /home/privatetr1/.ssh/authorized_keys2
HostbasedAuthentication no
PasswordAuthentication no
PermitEmptyPasswords no
UseLogin no
PermitRootLogin without-password

Protocol 2

SyslogFacility USER
LogLevel INFO
AllowUsers privatetr1
LoginGraceTime 120

hosts.allow

Код: Выделить всё

sshd: 127.0.0.1 192.168.11.11

hosts.deny

Код: Выделить всё

ALL: ALL: DENY

ssh_config

Код: Выделить всё

Host 192.168.11.2
    ForwardX11 no
    Protocol 2
    Port 2200
    RhostsAuthentication no
    RhostsRSAAuthentication no
    RSAAuthentication yes
    HostbasedAuthentication no
    PasswordAuthentication no
    StrictHostKeyChecking ask
    IdentityFile /home/private1/.ssh/id_rsa_key
    IdentityFile /home/private1/.ssh/id_rsa_key.pub

[sash-kan]

Failed to add the host to the list of known hosts (/home/private1/.ssh/known_hosts).

каталог должен существовать. и каталог, и его содержимое должно принадлежать пользователю.

ALL: ALL: DENY

это в вашем дистрибутиве такой хитрый синтаксис? уточните в man hosts.deny

p.s. а зачем вам вообще эти hosts.* ? чтоб жизнь мёдом не казалась?

[DrakSoul]

p.s. а зачем вам вообще эти hosts.* ? чтоб жизнь мёдом не казалась?

Я б и без них обошелся.
Я просто не знаю что делать.
В одной статье пишут одно в в другой другое, пробовал варианты, в результате уже сам запутался


А пользователь на сервере и на рабочей станции должен бить один и тот же?

[SinClaus]

Бить никого не нужно. А насчёт пользователя - вы заходите в другой комп тем, кем представляетесь, и спросят вас пароль того, кем представитесь. Естественно, тот юзер, в качестве которого вы туда идёте должен существовать на целевой машине.

[Илуватар]

NAT?

[Skyb]

to топикстартер - у вас проблема в том что сертификат не добавляется в фаил, и поэтому не заходит, а так все правильно...есдинственное что нада сделать так это то что сказал sash-kan

[sash-kan]

Я б и без них обошелся.

так обойдитесь. удалите эти файлы, да и не вспоминайте о них.

[DrakSoul]

Вот небольшая инструкция по настройке и авторизации на сервере по публичному ключу используя openSSH

Исходные данные:
Имеем два компьютера: сервер и рабочая станция

rs1 рабочая станция
privaters1 пользователь на рабочей станции
sr1 сервер
privatesr1 пользователь на сервере

Сервер имеет выход в интернет через USB 3G модем, на котором висит фаервол
и выход в локальнюю сеть (eth0) с отключенным фаерволом

На сервере устанавливаете пакет openssh-server
а на рабоче станции openssh-client (установлен по умолчанию)

Правим файлы конфигурации

/etc/ssh/

ssh_config рабочая станция

Код: Выделить всё

#    $OpenBSD: ssh_config,v 1.26 2010/01/11 01:39:46 dtucker Exp $

# This is the ssh client system-wide configuration file.  See
# ssh_config(5) for more information.  This file provides defaults for
# users, and the values can be changed in per-user configuration files
# or on the command line.

# Configuration data is parsed as follows:
#  1. command line options
#  2. user-specific file
#  3. system-wide file
# Any configuration value is only changed the first time it is set.
# Thus, host-specific definitions should be at the beginning of the
# configuration file, and defaults at the end.

# Site-wide defaults for some commonly used options.  For a comprehensive
# list of available options, their meanings and defaults, please see the
# ssh_config(5) man page.

# Host *
#   ForwardAgent no
#   ForwardX11 no
#   RhostsRSAAuthentication no
#   RSAAuthentication yes
#   PasswordAuthentication yes
#   HostbasedAuthentication no
#   GSSAPIAuthentication no
#   GSSAPIDelegateCredentials no
#   BatchMode no
#   CheckHostIP yes
#   AddressFamily any
#   ConnectTimeout 0
#   StrictHostKeyChecking ask
#   IdentityFile ~/.ssh/identity
#   IdentityFile ~/.ssh/id_rsa
#   IdentityFile ~/.ssh/id_dsa
#   Port 22
#   Protocol 2,1
#   Cipher 3des
#   Ciphers aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,aes128-cbc,3des-cbc
#   MACs hmac-md5,hmac-sha1,umac-64@openssh.com,hmac-ripemd160
#   EscapeChar ~
#   Tunnel no
#   TunnelDevice any:any
#   PermitLocalCommand no
#   VisualHostKey no
#   ProxyCommand ssh -q -W %h:%p gateway.example.com

Host 192.168.11.2
    ForwardX11 no
#   Protocol 2,1

    # If this option is set to yes then remote X11 clients will have full access
    # to the original X11 display. As virtually no X11 client supports the untrusted
    # mode correctly we set this to yes.
    ForwardX11Trusted no

    # Send locale-related environment variables
    #SendEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
    #SendEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
    #SendEnv LC_IDENTIFICATION LC_ALL
    StrictHostKeyChecking ask

    Port 2200
    Protocol 2

    RhostsRSAAuthentication no
    RSAAuthentication yes
    PasswordAuthentication no
    HostbasedAuthentication no

    IdentityFile /home/privaters1/.ssh/identity

sshd_config сервер

Код: Выделить всё

#    $OpenBSD: sshd_config,v 1.81 2009/10/08 14:03:41 markus Exp $

# This is the sshd server system-wide configuration file.  See
# sshd_config(5) for more information.

# This sshd was compiled with PATH=/usr/local/bin:/bin:/usr/bin

# The strategy used for options in the default sshd_config shipped with
# OpenSSH is to specify options with their default value where
# possible, but leave them commented.  Uncommented options change a
# default value.

Port 2200
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::

# The default requires explicit activation of protocol 1
Protocol 2

# HostKey for protocol version 1
#HostKey /etc/ssh/ssh_host_key
# HostKeys for protocol version 2
#HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_dsa_key

# Lifetime and size of ephemeral version 1 server key
#KeyRegenerationInterval 1h
#ServerKeyBits 1024

# Logging
# obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH
#LogLevel INFO

# Authentication:

#LoginGraceTime 2m
PermitRootLogin without-password
#StrictModes yes
#MaxAuthTries 6
#MaxSessions 10

RSAAuthentication yes
PubkeyAuthentication yes
#AuthorizedKeysFile    .ssh/authorized_keys
AuthorizedKeysFile    /home/privatesr1/.ssh/authorized_keys

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
RhostsRSAAuthentication no
# similar for protocol version 2
HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
# RhostsRSAAuthentication and HostbasedAuthentication
IgnoreUserKnownHosts yes
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to no to disable s/key passwords
#ChallengeResponseAuthentication yes

# Kerberos options
#KerberosAuthentication no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosGetAFSToken no

# GSSAPI options
#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
#UsePAM no

# Accept locale-related environment variables
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL

#AllowAgentForwarding yes
#AllowTcpForwarding yes
#GatewayPorts no
X11Forwarding no
#X11DisplayOffset 10
#X11UseLocalhost yes
#PrintMotd yes
#PrintLastLog yes
#TCPKeepAlive yes
UseLogin no
#UsePrivilegeSeparation yes
#PermitUserEnvironment no
#Compression delayed
#ClientAliveInterval 0
#ClientAliveCountMax 3
#UseDNS yes
#PidFile /var/run/sshd.pid
#MaxStartups 10
#PermitTunnel no
#ChrootDirectory none

# no default banner path
#Banner none

# override default of no subsystems
Subsystem    sftp    /usr/lib64/ssh/sftp-server

# Example of overriding settings on a per-user basis
#Match User anoncvs
#    X11Forwarding no
#    AllowTcpForwarding no
#    ForceCommand cvs server

На рабочей станции создаем ключи rsa ( папка /home/privaters1/.ssh/ )

[root@rs1 privaters1]# ssh-keygen -t rsa -b 4096 -f /home/privaters1/.ssh/id_rsa
[root@rs1 privaters1] ls
id_rsa id_rsa.pub
[root@rs1 privaters1]# cp /home/privaters1/.ssh/id_rsa.pub /home/privaters1/.ssh/authorized_keys
[root@rs1 privaters1]# cp /home/private1/.ssh/id_rsa /home/private1/.ssh/identity
[root@rs1 privaters1] ls
authorized_keys identity id_rsa id_rsa.pub

Копируем authorized_keys на сервер в /home/privatesr1/.ssh/

На сервере запускаем sshd
[root@rs1 privaters1] sshd start

На рабочей станции в консоли [... privaters1]# ssh privatesr1@192.168.11.1 (192.168.11.1 IP сервера )

[sash-kan]

to all
не рекомендовал бы дословно следовать вышеприведённой инструкции: Как настроить SSH в родной Мандриве?

[DrakSoul]

to all
не рекомендовал бы дословно следовать вышеприведённой инструкции: Как настроить SSH в родной Мандриве?

Каждый делает под свои нужды или как умеет.
У меня получилось и я выложил.
Возможно не лучший вариан!


З.Ы. Я не волшебник, я только учусь...

[sash-kan]

А ваш какой был бы вариант?

вместо приведения готовых конфигурационных файлов (первый, кстати, вообще странен: настройки пользователя в общесистемной конфигурации), которые будут разительно отличаться от дефолтных конфигов в разных дистрибутивах, лучше указать, каким именно параметрам и какие значения присвоить (с краткой информацией, что это даст).

[SinClaus]

Вообще-то в Мандриве конфиг sshd править не требуется (обычному юзеру) - удалённый доступ рута запрещён по умолчанию (что бы ни говорили юзвери), доступ юзеру по паролю и ключу разрешен. Только что пропускать коннект к иксам можно убирать. После в том числе и моих багрепортов вроде поправили ssh-agent.

[sash-kan]

SinClaus
как я понимаю, у т.с. были неправильные права на файлы в домашнем каталоге.
и он начал править общесистемные файлы, пытаясь чего-то добиться.
потом, наконец, подключиться получилось. ну, вот он и выложил последнее содержимое системных файлов,
да, по ходу пьесы он явно указал разрешение логина только по ключу для root-а. и явно запретил авторизацию по паролю для всех.
ещё указал в общесистемных файлах в качестве хранилища для авторизованных ключей файлик в _своём_ домашнем каталоге.
возможно, там ещё какие-нибудь «интересные» штуки написаны.
я потому и порекомендовал не пользоваться этими конфигами as is.

[SinClaus]

Я бы тоже не советовал пользоваться чужими конфигами, а моё замечание не относится к твоему, я описал состояние дефолтной конфигурации ssh в Mandriva.
BTW у меня рут завсегда запрещён к удалённой авторизации, на всех серверах и ностах.

[DrakSoul]

SinClaus
как я понимаю, у т.с. были неправильные права на файлы в домашнем каталоге.
и он начал править общесистемные файлы, пытаясь чего-то добиться.
потом, наконец, подключиться получилось. ну, вот он и выложил последнее содержимое системных файлов,
да, по ходу пьесы он явно указал разрешение логина только по ключу для root-а. и явно запретил авторизацию по паролю для всех.
ещё указал в общесистемных файлах в качестве хранилища для авторизованных ключей файлик в _своём_ домашнем каталоге.
возможно, там ещё какие-нибудь «интересные» штуки написаны.
я потому и порекомендовал не пользоваться этими конфигами as is.

А как тогда сделать правильно?
Доступ должен быть только для меня одного,
с возможностью при необходимости править настройки сервера,
устанавливать или удалять программы.

[sash-kan]

Доступ должен быть только для меня одного

если только вы знаете пароли от любых учётных записей на сервере, то ничего править не надо.
если же хотите, чтобы даже при знании пароля, допуск был только у вас лично (благодаря наличию секретной части ключа), всё, что надо было сделать, это:
1. воспользоваться ssh-keygen (если пары публичный/секретный ключ у вас до сих пор не было).
2. воспользоваться ssh-copy-id
3. запретить на сервере парольную аутентификацию.
приятное побочное следствие: вам бы и пароль от учётной записи не требовался для аутентификации.

с возможностью при необходимости править настройки сервера,
устанавливать или удалять программы.

а это к ssh никакого отношения не имеет. man sudo