7.16. Konfigurowanie ssh (klient, serwer, tunelowanie)

Program ssh (Secure Shell) służy do logowania się na zdalne komputery (przez sieć) i zdalnego wykonywania komend. W przeciwieństwie do programów typu rsh czy telnet oferuje bezpieczną, szyfrowaną komunikację, uniemożliwia więc ewentualne podsłuchiwanie transmisji. Autoryzacja użytkownika może się odbywać na kilka sposobów. Najprostszym jest autoryzacja przy pomocy podawanego przez użytkownika hasła. Po uruchomieniu komendy:

ssh login@host

Skonfigurowanie ssh wymaga kilku prostych kroków:

• W systemie muszą być zainstalowane odpowiednie pakiety, zawierające między innymi program ssh (pod Debianem są to pakiety openssh-client dla programu ssh i openssh-server dla serwera ssh). Praktycznie wszystkie współczesne dystrybucje Linuksa zawierają domyślnie te pakiety.

• Następnie można skonfigurować ssh tak, żeby nie było konieczne podawanie hasła.

  Załóżmy, że np. użytkownik janosik na komputerze alpha chce się logować na komputer beta jako użytkownik ondraszek. W tym celu janosik musi sprawdzić, czy w jego katalogu domowym, w podkatalogu .ssh znajdują się pliki id_rsa i id_rsa.pub. Pliki te zawierają klucz prywatny i publiczny. Jeżeli ich nie mamy, to możemy je stworzyć przez wywołanie:

  ssh-keygen -t rsa

  Na zadawane przez program pytania należy odpowiadać naciskając po prostu Enter, czyli wybierając wartości domyślne.

  Plik .ssh/id_rsa jest naszym kluczem publicznym - należy go chronić i nikomu nie udostępniać. Natomiast plik .ssh/id_rsa.pub kopiujemy na konto użytkownika ondraszek na komputerze beta i dodajemy do pliku .ssh/authorized_keys2 - jeżeli tego pliku nie ma, musimy go stworzyć. Sekwencja komend do wykonania mogłaby wyglądać tak:

  scp .ssh/id_rsa.pub ondraszek@beta:
  ssh ondraszek@beta
  mkdir -p .ssh
  cat id_rsa.pub >> .ssh/authorized_keys2

  Ważne jest też ustawienie odpowiednich praw zapisu - katalog .ssh powinien mieć tylko prawa odczytu i zapisu dla właściciela, a plik authorized_keys2 dodatkowo prawa odczytu dla innych. Jeżeli uprawnienia będą nieprawidłowe, ssh odmówi użycia klucza. Właściwe uprawnienia użytkownik ondraszek może ustawić przez wykonanie komend:

  chmod 0700 ~/.ssh
  chmod 0644 ~/.ssh/authorized_keys2

  Teraz, po wpisaniu przez użytkownika janosik na komputerze alpha polecenia

  ssh ondraszek@beta

  powinno nastąpić zalogowanie na komputer beta, bez pytania o hasło.

  W razie wystąpienia problemów z autoryzacją trzeba uruchomić ssh w trybie verbose (ssh -v). Program wyświetli wtedy błędy, co znacznie ułatwia rozpoznanie problemu.

  Powyższy opis odnosi się do wersji drugiej protokołu SSH. W starszych dystrybucjach Linuksa domyślnie używana była wersja 1 protokołu. Dla wersji tej zamiast pliku authorized_keys2 używany był plik authorized_keys, generowany był klucz typu RSA1 (czyli do generacji klucza wywołanie ssh-key -t rsa1), klucz domyślnie umieszczany był w plikach identity i identity.pub. Używaną wersję protokołu można wymusić przez wpis Protocol 2,1 w pliku /etc/ssh/ssh_config (ważna jest kolejność liczb, można też zostawić tylko jedną liczbę) lub przez opcję w linii poleceń ssh, np. -1. Obecnie używanie wersji 1 protokołu nie jest zalecane, ze względu na mniejsze bezpieczeństwo.

Plikiem konfiguracyjnym dla klienta ssh jest /etc/ssh/ssh_config. Oprócz wspomnianej wyżej wersji protokołu możemy ustawić globalnie kilka innych parametrów, między innymi.:

• StrictHostKeyChecking - ustawienie, czy klient ssh może automatycznie dodawać hosty do pliku ~/.ssh/known_hosts. Przyjmuje jedną z trzech wartości: 'yes', 'no' lub 'ask' (wartość domyślna). Jeżeli ustawimy na 'yes', to wpisy będą dodawane automatycznie, 'no' oznacza, że będziemy musieli wpisy dodawać ręcznie, natomiast 'ask' oznacza, że ssh sam będzie dodawał wpisy po potwierdzeniu użytkownika.

  Uwaga - jeśli dodamy klucz jakiegoś komputera do pliku known_hosts i będziemy próbowali połączyć się z innym komputerem (o innym kluczu) używającym z jakiegoś powodu tego samego IP (częste, jeśli np. lokalne adresy IP w różnych sieciach, z których korzystamy się pokrywają), ssh podniesie alarm, podejrzewając że ktoś "podmienił" komputer, na który chcemy się zalogować. W szczególności nie pozwoli na zalogowanie się na taki komputer z użyciem hasła (logowanie po wymianie kluczy mimo ostrzeżenia będzie możliwe). Aby zalogować się za pomocą hasła, musimy ręcznie w edytorze tekstowym usunąć odpowiednią linię z pliku .ssh/known_hosts. Każdy klucz trzymany jest w osobnej linii, ssh poda w ostrzeżeniu numer linii, o którą chodzi.

ssh -o StrictHostKeyChecking=no ondraszek@beta

Plikiem konfiguracyjnym dla serwera SSH jest plik /etc/ssh/sshd_config.

ssh user@server -R 7777:localhost:22

ssh localhost -p 7777

ssh user@server -R 7777:localhost:22 "/bin/sh -c 'while true; do sleep 5; \
echo +; done'"

autossh -fN -M 7778 -R 7777:localhost:22 user@server