Jak edytować znane hosty, gdy kilka hostów ma ten sam adres IP i nazwę DNS?

Regularnie ssh do komputera, który jest komputerem z podwójnym bootowaniem OS X / Linux. Dwa wystąpienia systemu operacyjnego nie współużytkują tego samego klucza hosta, dlatego można je postrzegać jako dwa hosty współdzielące ten sam adres IP i DNS. Powiedzmy, że adres IP to 192.168.0.9, a nazwy to hostnameihostname.domainname

O ile rozumiem, rozwiązaniem umożliwiającym połączenie z dwoma hostami jest dodanie ich obu do ~/.ssh/know_hostspliku. Jednakże, jest łatwiej powiedzieć niż zrobić, ponieważ plik jest mieszany, a prawdopodobnie kilka wpisów na hosta ( 192.168.0.9, hostname, hostname.domainname). W rezultacie otrzymałem następujące ostrzeżenie

Warning: the ECDSA host key for 'hostname' differs from the key for the IP address '192.168.0.9'

Czy istnieje prosty sposób edycji known_hostspliku przy jednoczesnym zachowaniu skrótów? Na przykład, jak mogę znaleźć linie odpowiadające danemu hostowi? Jak wygenerować skróty dla niektórych znanych hostów?

Idealne rozwiązanie pozwoliłoby mi bezproblemowo połączyć się z tym komputerem za pomocą ssh, bez względu na to, czy go nazywam 192.168.0.9, hostnameczy hostname.domainnameteż używa on klucza hosta Linux lub OSX. Jednak nadal chcę otrzymywać ostrzeżenie, jeśli istnieje prawdziwy atak typu man-in-the-middle, tj. Jeśli użyty zostanie inny klucz niż te dwa.

Najprostszym rozwiązaniem jest użycie tych samych kluczy hosta w systemie Linux i OS X. Oznacza to, że wybierz jeden zestaw /etc/ssh/ssh_host_*_key*plików i skopiuj je do drugiego systemu operacyjnego. Następnie ten sam klucz hosta zostanie przedstawiony klientowi SSH bez względu na system operacyjny, z którego się uruchomiłeś, a klient SSH nie będzie mądrzejszy.

Jak @Izzy zasugerował w powyższym komentarzu, ssh mówi ci linię obrażającą, a poprzez usunięcie tej linii (zapisanie jej w innym miejscu), zaakceptowanie nowego klucza, a następnie skopiowanie usuniętej linii z powrotem, otrzymujesz dwa klucze dla tego samego host, a ssh zaakceptuje oba.

(Możesz także użyć ssh-keygen -H -F <hostname>do znalezienia wierszy w pliku znane_hosty, które pasują do tej nazwy hosta. Uruchomienie tego po skopiowaniu usuniętej linii powinno zawierać dwie pozycje).

Jeśli ktoś wie, jak zmusić PuTTY do zrobienia tego samego, byłbym bardzo zainteresowany.

Znalazłem to, co może ci pomóc w osiągnięciu tego, co chcesz osiągnąć.

Źródło: /programming/733753/how-to-handle-ssh-host-key-verification-with-2-different-hosts-on-the-same-but

Utwórz plik konfiguracyjny w swoim katalogu .ssh w następujący sposób:

Host server1
  Hostname x1.example.com
  HostKeyAlias server1
  CheckHostIP no
  Port 22001
  User karl

Host server2
  Hostname x2.example.com
  HostKeyAlias server2
  CheckHostIP no
  Port 22002
  User karl

Objaśnienie poniżej (od man ssh_config)

CheckHostIP

Jeśli ta flaga jest ustawiona na „tak”, ssh (1) dodatkowo sprawdzi adres IP hosta w pliku znanego_hosta. Pozwala to ssh wykryć, czy klucz hosta zmienił się z powodu fałszowania DNS. Jeśli opcja jest ustawiona na „nie”, kontrola nie zostanie wykonana. Domyślna wartość to „tak”.

HostKeyAlias

Określa alias, który powinien być używany zamiast rzeczywistej nazwy hosta podczas wyszukiwania lub zapisywania klucza hosta w plikach bazy danych kluczy hosta. Ta opcja jest przydatna do tunelowania połączeń SSH lub do wielu serwerów działających na jednym hoście.

Linia Nazwa użytkownika i Port pozwala uniknąć podawania tych opcji w wierszu polecenia, dzięki czemu możesz po prostu użyć:

% ssh server1
% ssh server2

Najłatwiejszym sposobem rozwiązania problemu jest nadanie każdemu hostowi własnego / odrębnego adresu IP. Z 253 adresami dostępnymi w twojej (prywatnej) sieci i IPv4, to nie powinno być nic wielkiego. Daj im stałe adresy IP (ponieważ serwer DHCP zidentyfikuje maszynę na podstawie adresu MAC karty sieciowej i oba otrzymają ten sam adres). Nie widzę żadnego innego rozwiązania, jeśli chcecie zachować środki bezpieczeństwa (których nie oddałbym również za ten mały „komfort”).

Nie napotykam tego problemu podczas łączenia się z różnymi skrzynkami VPS współdzielącymi ten sam adres IP, ponieważ każdy z nich ma inny port SSH (20022,30022 itp.), Więc są one zarejestrowane jako znane hosty z różnymi kluczami.

Czy to może być obejście problemu?

Kolejny artykuł , w którym opisano kilka sposobów rozwiązania problemu:

Druga metoda wykorzystuje dwa parametry openSSH: StrictHostKeyCheckini UserKnownHostsFile. Ta metoda naśladuje SSH, konfigurując go tak, aby używał pustego pliku znane_hosty, a NIE prosić o potwierdzenie klucza tożsamości zdalnego hosta.

Ponieważ chcesz zachować ścisłe sprawdzanie klucza hosta, kazałbym im używać różnych known_hostsplików. Aby to zrobić, skonfiguruj ~/.ssh/configplik (lub /etc/ssh/ssh_configplik, jeśli potrzebujesz go do pracy na wielu lokalnych kontach użytkowników) w następujący sposób:

Host myserver.osx
  UserKnownHostsFile ~/.ssh/known_hosts.dual.osx
  # default is ~/.ssh/known_hosts
  Hostname $REALHOSTNAME

Host myserver.linux
  UserKnownHostsFile ~/.ssh/known_hosts.dual.linux
  Hostname $REALHOSTNAME

, $REALHOSTNAMEoczywiście zastępując rzeczywistą nazwę hosta lub adres IP. (Nie ma znaczenia, który wybierzesz, tak długo, jak wybierzesz coś po „Nazwie hosta”, które przejdzie do adresu IP, ale użyłbym nazwy hosta zamiast adresu IP, tylko na ogólnych zasadach).

Wtedy ssh myserver.linuxi ssh myserver.osxmogą mieć różne klucze hosta, ale nadal otrzymujesz sprawdzanie. Jeśli to Linux działa i wpiszesz OS X (lub odwrotnie), dostaniesz ostrzeżenie (które moim zdaniem jest pożądanym skutkiem).

Gdybym miał ten problem, upewniłbym się, że w głównym known_hostspliku jest coś zupełnie nie tak , który nie pasuje do żadnego z nich, więc jeśli napiszesz $REALHOSTNAMEzamiast tego myserver.osx, otrzymasz ostrzeżenie. :-) Zrobiłbym to, umieszczając coś takiego

<ip-address-of-github.com> $REALHOSTNAME

w moim /etc/hosts, a następnie zrobienie ssh $REALHOSTNAMEi zaakceptowanie nowego klucza, a następnie wyjęcie tego wpisu.