Passordløs SSH-oppkobling - Sideversjonshistorikk

Botit: Redaksjon er sentralisert

2017-03-09T09:22:46Z

Redaksjon er sentralisert

← Eldre sideversjon		Sideversjonen fra 9. mar. 2017 kl. 09:22
Linje 1:		Linje 1:
	~~{{UD}}~~Det finnes mange grunner til å gjøre passordløse oppkoblinger mot ssh-tjenere. Skripting, klyngeregning og sikkerhet er eksempler. Det antas i denne sammenheng at ssh-tjenesten kjører under Linux, men dette er også mulig mot andre OS. Klientsiden kan være både Linux og Windows og vi vil her gi noen eksempler på slik bruk.		Det finnes mange grunner til å gjøre passordløse oppkoblinger mot ssh-tjenere. Skripting, klyngeregning og sikkerhet er eksempler. Det antas i denne sammenheng at ssh-tjenesten kjører under Linux, men dette er også mulig mot andre OS. Klientsiden kan være både Linux og Windows og vi vil her gi noen eksempler på slik bruk.

	På UiB finnes det to metoder for passordløs oppkobling mot ssh-tjenere; Kerberos og SSH-nøkler. Vi vil forklare dem hver for seg.		På UiB finnes det to metoder for passordløs oppkobling mot ssh-tjenere; Kerberos og SSH-nøkler. Vi vil forklare dem hver for seg.

St01368 på 28. jun. 2011 kl. 12:04

2011-06-28T12:04:41Z

← Eldre sideversjon		Sideversjonen fra 28. jun. 2011 kl. 12:04
Linje 1:		Linje 1:
	~~{{Utvikling}}~~{{UD}}Det finnes mange grunner til å gjøre passordløse oppkoblinger mot ssh-tjenere. Skripting, klyngeregning og sikkerhet er eksempler. Det antas i denne sammenheng at ssh-tjenesten kjører under Linux, men dette er også mulig mot andre OS. Klientsiden kan være både Linux og Windows og vi vil her gi noen eksempler på slik bruk.		{{UD}}Det finnes mange grunner til å gjøre passordløse oppkoblinger mot ssh-tjenere. Skripting, klyngeregning og sikkerhet er eksempler. Det antas i denne sammenheng at ssh-tjenesten kjører under Linux, men dette er også mulig mot andre OS. Klientsiden kan være både Linux og Windows og vi vil her gi noen eksempler på slik bruk.

	På UiB finnes det to metoder for passordløs oppkobling mot ssh-tjenere; Kerberos og SSH-nøkler. Vi vil forklare dem hver for seg.		På UiB finnes det to metoder for passordløs oppkobling mot ssh-tjenere; Kerberos og SSH-nøkler. Vi vil forklare dem hver for seg.
Linje 93:		Linje 93:

	===Distribusjon av offentlig nøkkel===		===Distribusjon av offentlig nøkkel===
	For å distribuere en nøkkel til en annen maskin gjør man slik:		For å distribuere en nøkkel til en annen maskin fra Linux gjør man slik:
	<pre>		<pre>
	ssh-copy-id -i $HOME/.ssh/id_dsa.pub bruker@maskin		ssh-copy-id -i $HOME/.ssh/id_dsa.pub bruker@maskin
Linje 118:		Linje 118:
	Nøkler som brukes i skripter bør det legges kraftige begrensninger på da de ellers vil gi fulle tilganger dersom den hemmelige nøkkelen kommer på avveie.		Nøkler som brukes i skripter bør det legges kraftige begrensninger på da de ellers vil gi fulle tilganger dersom den hemmelige nøkkelen kommer på avveie.

	===Nøkkelagent===		===Nøkkelagent (Linux)===
	Det kan være tungvindt å måtte taste passphrasen sin hver gang, så derfor har man ssh-agent. De fleste linuxdistribusjoner i dag starter ssh-agenten automatisk når man logger på grafisk, men om du vil starte den selv gjør du det slik:		Det kan være tungvindt å måtte taste passphrasen sin hver gang, så derfor har man ssh-agent. De fleste linuxdistribusjoner i dag starter ssh-agenten automatisk når man logger på grafisk, men om du vil starte den selv gjør du det slik:
	<pre>		<pre>
Linje 143:		Linje 143:

	Igjen anbefaler vi å lese ''man ssh-agent'' og ''man ssh-add''.		Igjen anbefaler vi å lese ''man ssh-agent'' og ''man ssh-add''.

			===Bruk av grafisk SSH-klient under Windows===
			I grafiske verktøy finnes det ofte verktøy for å bruke den hemmelige ssh-nøkkelen for oppkobling, og av og til også mulighet for å generere nøkkelparet i verktøyet. UiB tilbyr et [[SSH\|slikt verktøy]] til alle ansatte og studenter.

	===Ofte stilte spørsmål===		===Ofte stilte spørsmål===

St01368: /* SSH med nøkkelautentisering */

2011-06-28T11:57:57Z

SSH med nøkkelautentisering

@@ Linje 77: / Linje 77: @@
 ==SSH med nøkkelautentisering==
-tba
+Nøkkelautentisering virker slik at man har en hemmelig og en offentlig nøkkel i par. Den offentlige delen av nøkkelparet kan man fritt distribuere da denne i seg selv ikke er hemmelig. Den hemmelige delen av nøkkelparet er naturligvis hemmelig.
 [[Kategori:Linux]]
 [[Kategori:SSH]]

St01368: /* SSH med Kerberosautentisering */

2011-06-28T09:59:59Z

SSH med Kerberosautentisering

← Eldre sideversjon		Sideversjonen fra 28. jun. 2011 kl. 09:59
Linje 7:		Linje 7:
	==SSH med Kerberosautentisering==		==SSH med Kerberosautentisering==
	Alle UiBs Linuxklienter er satt opp til å fungere med kerberosautentisering, men dette krever også innstillinger på klientsiden som ikke alltid kan tilfredsstilles. Av denne grunn vil dette kun fungere fra Linux eller fra selvdriftet maskin, det vil også kun fungere når klienten står på UiBs [[UiB-nett\|129.177/16-nett]]. Man kan også endre oppsettet på serversiden per bruker (i filen $HOME/.ssh/config), men de globale reglene er definert i /etc/ssh/sshd_config og /etc/ssh/ssh_config. Her er et utdrag fra disse		Alle UiBs Linuxklienter er satt opp til å fungere med kerberosautentisering, men dette krever også innstillinger på klientsiden som ikke alltid kan tilfredsstilles. Av denne grunn vil dette kun fungere fra Linux eller fra selvdriftet maskin, det vil også kun fungere når klienten står på UiBs [[UiB-nett\|129.177/16-nett]]. Man kan også endre oppsettet på serversiden per bruker (i filen $HOME/.ssh/config), men de globale reglene er definert i /etc/ssh/sshd_config og /etc/ssh/ssh_config. Her er et utdrag fra disse
			=== Utdrag fra /etc/ssh/sshd_config ===
	<pre>		<pre>
	~~# Utdrag fra /etc/ssh/sshd_config~~
	# Kerberos options		# Kerberos options
	KerberosAuthentication yes		KerberosAuthentication yes
Linje 19:		Linje 19:
	GSSAPICleanupCredentials yes		GSSAPICleanupCredentials yes
	</pre>		</pre>
			=== Utdrag fra /etc/ssh/ssh_config ===
	<pre>		<pre>
	~~# Utdrag fra /etc/ssh/ssh_config~~
	# Rekkefolgen er vesentlig		# Rekkefolgen er vesentlig
	# First FQDNs at UiB		# First FQDNs at UiB
Linje 59:		Linje 59:
	ForwardX11Trusted yes		ForwardX11Trusted yes
	</pre>		</pre>
			===Mer info===
	Man kan lese mer om disse filene i deres manualsider: man ssh_config og man sshd_config. Man overstyrer /etc/ssh_config i $HOME/.ssh/config ved at rekkefølgen er relevant og brukerens fil leses først.		Man kan lese mer om disse filene i deres manualsider: man ssh_config og man sshd_config. Man overstyrer /etc/ssh_config i $HOME/.ssh/config ved at rekkefølgen er relevant og brukerens fil leses først.

			===Krav===
	For at kerberosautentisering skal virke må man:		For at kerberosautentisering skal virke må man:
	# Ha støtte for dette på server og klient skrudd på		# Ha støtte for dette på server og klient skrudd på
	# Ha en gyldig [[Kerberos\|kerberosticket]]		# Ha en gyldig [[Kerberos\|kerberosticket]]
	# Være på UiBs [[UiB-nett\|129.177/16-nett]].		# Være på UiBs [[UiB-nett\|129.177/16-nett]].

			===Skru av===
			For å skru av kerberosautentisering for alle eller enkelte maskiner legg dette i din $HOME/.ssh/config
			<pre>
			Host *
			#Host maskin1 maskin2
			GSSAPIAuthentication no
			</pre>

	==SSH med nøkkelautentisering==		==SSH med nøkkelautentisering==

St01368 på 28. jun. 2011 kl. 09:55

2011-06-28T09:55:01Z

← Eldre sideversjon		Sideversjonen fra 28. jun. 2011 kl. 09:55
Linje 2:		Linje 2:

	På UiB finnes det to metoder for passordløs oppkobling mot ssh-tjenere; Kerberos og SSH-nøkler. Vi vil forklare dem hver for seg.		På UiB finnes det to metoder for passordløs oppkobling mot ssh-tjenere; Kerberos og SSH-nøkler. Vi vil forklare dem hver for seg.

			__TOC__

	==SSH med Kerberosautentisering==		==SSH med Kerberosautentisering==

St01368 på 28. jun. 2011 kl. 09:23

2011-06-28T09:23:24Z

← Eldre sideversjon		Sideversjonen fra 28. jun. 2011 kl. 09:23
Linje 1:		Linje 1:
	{{UD}}Det finnes mange grunner til å gjøre passordløse oppkoblinger mot ssh-tjenere. Skripting, klyngeregning og sikkerhet er eksempler. Det antas i denne sammenheng at ssh-tjenesten kjører under Linux, men dette er også mulig mot andre OS. Klientsiden kan være både Linux og Windows og vi vil her gi noen eksempler på slik bruk.		{{Utvikling}}{{UD}}Det finnes mange grunner til å gjøre passordløse oppkoblinger mot ssh-tjenere. Skripting, klyngeregning og sikkerhet er eksempler. Det antas i denne sammenheng at ssh-tjenesten kjører under Linux, men dette er også mulig mot andre OS. Klientsiden kan være både Linux og Windows og vi vil her gi noen eksempler på slik bruk.

	På UiB finnes det to metoder for passordløs oppkobling mot ssh-tjenere; Kerberos og SSH-nøkler. Vi vil forklare dem hver for seg.		På UiB finnes det to metoder for passordløs oppkobling mot ssh-tjenere; Kerberos og SSH-nøkler. Vi vil forklare dem hver for seg.

St01368 på 28. jun. 2011 kl. 09:22

2011-06-28T09:22:50Z

← Eldre sideversjon		Sideversjonen fra 28. jun. 2011 kl. 09:22
Linje 1:		Linje 1:
	Det finnes mange grunner til å gjøre passordløse oppkoblinger mot ssh-tjenere. Skripting, klyngeregning og sikkerhet er eksempler. Det antas i denne sammenheng at ssh-tjenesten kjører under Linux, men dette er også mulig mot andre OS. Klientsiden kan være både Linux og Windows og vi vil her gi noen eksempler på slik bruk.		{{UD}}Det finnes mange grunner til å gjøre passordløse oppkoblinger mot ssh-tjenere. Skripting, klyngeregning og sikkerhet er eksempler. Det antas i denne sammenheng at ssh-tjenesten kjører under Linux, men dette er også mulig mot andre OS. Klientsiden kan være både Linux og Windows og vi vil her gi noen eksempler på slik bruk.

	På UiB finnes det to metoder for passordløs oppkobling mot ssh-tjenere; Kerberos og SSH-nøkler. Vi vil forklare dem hver for seg.		På UiB finnes det to metoder for passordløs oppkobling mot ssh-tjenere; Kerberos og SSH-nøkler. Vi vil forklare dem hver for seg.

St01368: Ny side: Det finnes mange grunner til å gjøre passordløse oppkoblinger mot ssh-tjenere. Skripting, klyngeregning og sikkerhet er eksempler. Det antas i denne sammenheng at ssh-tjenesten kjører u…

2011-06-28T09:22:02Z

Ny side: Det finnes mange grunner til å gjøre passordløse oppkoblinger mot ssh-tjenere. Skripting, klyngeregning og sikkerhet er eksempler. Det antas i denne sammenheng at ssh-tjenesten kjører u…

Ny side

Det finnes mange grunner til å gjøre passordløse oppkoblinger mot ssh-tjenere. Skripting, klyngeregning og sikkerhet er eksempler. Det antas i denne sammenheng at ssh-tjenesten kjører under Linux, men dette er også mulig mot andre OS. Klientsiden kan være både Linux og Windows og vi vil her gi noen eksempler på slik bruk.

På UiB finnes det to metoder for passordløs oppkobling mot ssh-tjenere; Kerberos og SSH-nøkler. Vi vil forklare dem hver for seg.

==SSH med Kerberosautentisering==
Alle UiBs Linuxklienter er satt opp til å fungere med kerberosautentisering, men dette krever også innstillinger på klientsiden som ikke alltid kan tilfredsstilles. Av denne grunn vil dette kun fungere fra Linux eller fra selvdriftet maskin, det vil også kun fungere når klienten står på UiBs [[UiB-nett|129.177/16-nett]]. Man kan også endre oppsettet på serversiden per bruker (i filen $HOME/.ssh/config), men de globale reglene er definert i /etc/ssh/sshd_config og /etc/ssh/ssh_config. Her er et utdrag fra disse
<pre>
# Utdrag fra /etc/ssh/sshd_config
# Kerberos options
KerberosAuthentication yes
#KerberosOrLocalPasswd yes
KerberosTicketCleanup yes
#KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication yes
GSSAPICleanupCredentials yes
</pre>
<pre>
# Utdrag fra /etc/ssh/ssh_config
# Rekkefolgen er vesentlig
# First FQDNs at UiB
Host 129.177.* *.uib.no
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes
GSSAPIKeyExchange yes
GSSAPITrustDNS yes
SendEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
SendEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
SendEnv LC_IDENTIFICATION LC_ALL LANGUAGE
SendEnv XMODIFIERS
ForwardX11Trusted yes

# Then FQDNs not at UiB
Host *.*
GSSAPIAuthentication yes
# If this option is set to yes then remote X11 clients will have full access
# to the original X11 display. As virtually no X11 client supports the untrusted
# mode correctly we set this to yes.
ForwardX11Trusted yes
# Send locale-related environment variables
SendEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
SendEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
SendEnv LC_IDENTIFICATION LC_ALL LANGUAGE
SendEnv XMODIFIERS

# And at last short names (non-FQDNs)
Host *
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes
GSSAPIKeyExchange yes
GSSAPITrustDNS yes
SendEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
SendEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
SendEnv LC_IDENTIFICATION LC_ALL LANGUAGE
SendEnv XMODIFIERS
ForwardX11Trusted yes
</pre>

Man kan lese mer om disse filene i deres manualsider: man ssh_config og man sshd_config. Man overstyrer /etc/ssh_config i $HOME/.ssh/config ved at rekkefølgen er relevant og brukerens fil leses først.

For at kerberosautentisering skal virke må man:
# Ha støtte for dette på server og klient skrudd på
# Ha en gyldig [[Kerberos|kerberosticket]]
# Være på UiBs [[UiB-nett|129.177/16-nett]].

==SSH med nøkkelautentisering==
tba

[[Kategori:Linux]]
[[Kategori:SSH]]