staging.inyokaproject.org

Hallo,

Ich wollte meinen Zugang zu einem Rechner im Netzwerk von Passwortauthentifizierung auf public/private keys umstellen. Bisher bin ich per ssh 192.123.456.78 -p123 reingegangen. Damit funktionieren Backups per anacron aber nicht.

Also gemäß https://wiki.ubuntuusers.de/SSH/#Authentifizierung-ueber-Public-Keys vorgegangen:

1. Keys generiert,
2. Public key per ssh-copy-id -i übertragen
→ es kommt.ssh/authorized_keys ist ein Verzeichnis (Frau Werwolf sagt: Das gehört so!)
Also habe ich den per sftp manuell an den Zielrechner übertragen.
Der public key liegt auf dem Zielrechner nun im Verzeichnis home/user/.ssh/authorized_keys
Der private Key liegt im Ausgangsrechner unter home/user/.ssh
Beide keys haben Rechte auf -rw——— gesetzt.

In der etc/sshd_config habe ich PAM authentication und PasswordAuthentication beide = NO gesetzt.
Beim Remote-Login Versuch kommt: Permission denied (publickey).

Wo könnte es da haken?

Gruß
Stephan

Probier den SSH Aufruf mal mit -v oder -vv Option. DA bekommst Du vielleicht einen Hinweis. Ansonsten schau auf dem Zielrechner mal ins Authlog, Syslog oder wo auch immer die Logs vom SSH-Daemon landen.

Und eine Sache ist mir bei deiner Beschreibung nicht klar: Du schreibst, dass Du den key per ssh-copy-id übertragen hättest und direkt danach, dass Du den Key per sftp kopiert hast.

Und ich glaube PAM, solltest Du in der sshd_config nicht auskommentieren, bin mir da aber nicht sicher, habe ich zumindest bisher nie gemacht.

Stephan_H schrieb:

2. Public key per ssh-copy-id -i übertragen
→ es kommt.ssh/authorized_keys ist ein Verzeichnis

Ist das eine Fehlermeldung?

(Frau Werwolf sagt: Das gehört so!)

Wer ist Frau Werwolf und wo sagt sie das? Denn die Manpage sagt was anderes.

sebix schrieb:

Stephan_H schrieb:

2. Public key per ssh-copy-id -i übertragen
→ es kommt.ssh/authorized_keys ist ein Verzeichnis

Ist das eine Fehlermeldung?

(Frau Werwolf sagt: Das gehört so!)

Wer ist Frau Werwolf und wo sagt sie das? Denn die Manpage sagt was anderes.

Das mit dem Verzeichnis habe ich als Fehlermeldung so interpretiert, denn es wurde nix übertragen, als ich nachgeschaut habe.
Da kommt Frau Werwolf ins Spiel: Das war ein Radiocomik bei SWR3 in den 2000ern. Sollte im Grunde nix anderes heißen, als daß das ein Verzeichnis ist, stimmt also, sollte kein Fehler sein (wie auch die Wiki Seite zeigt, denn da sieht die Antwort anders aus).

PAM: Das hatte ich mal so der Wikiseite entnommen. Ich teste es mal anders aus.

Ich geh jetzt mal die Logdateien durch.

Stephan_H schrieb:

sebix schrieb:

Stephan_H schrieb:

2. Public key per ssh-copy-id -i übertragen
→ es kommt.ssh/authorized_keys ist ein Verzeichnis

Ist das eine Fehlermeldung?

(Frau Werwolf sagt: Das gehört so!)

Wer ist Frau Werwolf und wo sagt sie das? Denn die Manpage sagt was anderes.

Das mit dem Verzeichnis habe ich als Fehlermeldung so interpretiert, denn es wurde nix übertragen, als ich nachgeschaut habe.
Da kommt Frau Werwolf ins Spiel: Das war ein Radiocomik bei SWR3 in den 2000ern. Sollte im Grunde nix anderes heißen, als daß das ein Verzeichnis ist, stimmt also, sollte kein Fehler sein (wie auch die Wiki Seite zeigt, denn da sieht die Antwort anders aus).

Wenn also ssh-copy-id nicht erfolgreich war, warum willst du nun in den Logs nachsehen? Loesch mal den Ordner .ssh/authorized_keys auf dem Server (wo auch immer der herkommt) und fuehre ssh-copy-id nochmals aus.

Hm, es sollte aber kein Verzeichnis .ssh/authorized_keys geben. Wenn man Verzeichnisse mit SSH-Schlüsseln verwendet, dann sollte das authorized_keys.d heißen.

Stephan_H schrieb:

Ich geh jetzt mal die Logdateien durch.

Die tools wie im Wiki beschrieben haben bei mir auch noch nie funktioniert. Was geht, ist den pubkey per copy&paste in die richtige Datei zu übertragen/kopieren und gut ist.

Hm, also bei mir funktioniert ssh-copy-id normalerweise super, wenn man nicht gerade mit Solaris-Servern oder so zu tun hat.

Nur noch ein Hinweis zum Testen: Erst einfach ssh-copy-id ausführen, dann prüfen, ob das Login per SSH-Schlüssel funktioniert. Danach kann man dann die sshd_config bearbeiten, um Einschränkungen bzgl. des Logins vorzunehmen.

Doc_Symbiosis schrieb:

Hm, es sollte aber kein Verzeichnis .ssh/authorized_keys geben. Wenn man Verzeichnisse mit SSH-Schlüsseln verwendet, dann sollte das authorized_keys.d heißen.

authorized_keys kommt also in das Verzeichnis home/user/ssh auf dem Zielrechner?

Mir ist zudem aufgefallen, das diverse in der Manpage von SSH erwähnte Dateien fehlen.

Es gibt z.B. kein:
./ssh/config
./ssh/id_ed25519 sondern nur ed25519.pub (weil ich es jetzt dorthin verschoben habe).

Ich habe var/log/.log angesehen. Es fühl auf:
„failed publickey for user from 192.168.123.456 port 54346 ssh2: ED25519“ (dann kommt der komplette Fingerabdruck.
Da forsche ich morgen nochmal weiter. Ich vermute, da liegt ggf. der Hund begraben...

Also, die authorized_keys Datei wird vom ssh-copy-id Kommando angelegt/editiert und sie liegt unter ~benutzer/.ssh, wobei ~benutzer für das Homeverzeichnis des betreffenden Benutzers steht.

Du brauchst Dich da aber eigentlich gar nicht drum kümmern, wenn Du das ssh-copy-id Kommando verwendest.

Stephan_H schrieb:

Es gibt z.B. kein:
./ssh/config
./ssh/id_ed25519 sondern nur ed25519.pub (weil ich es jetzt dorthin verschoben habe).

Auf dem Server brauchst Du kein "./ssh/config" und auch keine "./ssh/id_ed25519.pub"-Datei. Du brauchst nur den Inhalt der "id_ed25519.pub"-Datei in der "~benutzer/.ssh/authorized_keys"-Datei. Und wenn es diese Datei noch nicht gibt, kannst Du diese manuell anlegen und mit den erforderlichen Rechten ausstatten.