SSH Single-Login-Point

[MoBaB]

hallo,

ich wollte wissen ob mir jemand sagen kann wie ich es einrichten kann, dass ich mich auf eine UNIX-kiste einlogge und von dort aus dann auf jede andere mit ssh springen kann ohne mich einloggen zu müssen bzw. das kennwort eingeben zu müssen?

ich habe viel im internet und auch 1-2 topics hier im forum gefunden. aber ich komm damit einfach nicht weiter.

also ich melde mich von einer maschine an alle anderen an.

dadurch steht in der "home/user/.ssh/known_hosts" jede maschine mit ihrem key.

wie mache ich jetzt von da aus weiter?

bin total verwirrt mit den ganzen ssh-keysign,ssh-agent,ssh-keygen ....

wäre nett wenn jemand was kurzes bzw. einfaches dazu hätte.

vielen dank im voraus.

mfg

mobab

[dom_pommes]

du erstellst mit

ssh-keygen -t dsa

auf dem verbindenden Rechner einen key, kopierst den öffentlichen Teil auf dem Zielhost in die ~/.ssh/authorized_keys

das sollte schon alles sein

danach kannst du dann ohne Passwort connecten

"ssh user@host" - fertig

von anderen Rechnern musst du ab da aber ein

" ssh -o PasswordAuthentication=yes user@host"

machen

[Schlaubi]

kopierst den öffentlichen Teil auf dem Zielhost in die ~/.ssh/authorized_keys

Und das geht so:

cat .ssh/identity.pub | ssh user@remotehost "cd .ssh/ && cat - >> authorized_keys"

gibst dein Passwort ein und beim nächsten Login brauchst du keines mehr.

PS: der öffentliche Schlüssel ist unterschiedlich, je nachdem, ob du rsa/rsa1/dsa benutzt.

[MoBaB]

hi,

danke erst einmal.

klappt echt super.

jetzt kann ich mich von rechner a nach rechner b connecten ohne kennwort einzugeben.

aber was ist wenn ich jetzt noch auf die rechner vom restlichen alphabet will und wild hin und her springen will?

dann müsste ich ja auf jedem rechner nen private-key erzeugen oder?

muss ich dann auch noch den public-key jeder maschine auf jede kopieren? (also mit in die authorized_keys?)

und was hat es dann mit der known_hosts auf sich?

denn da stehen bei mir z.b. alle hosts drin auf die ich schon einmal mit ssh connected war und sie permanent zu meiner liste hinzugefügt habe.

hab irgendwie gelesen, dass man diese datei nehmen kann und daraus die schlüssel generieren lassen kann und dann nur noch zwei dateien auf alle hosts kopieren muss. dann soll man von host zu host springen können.

ich frag nur deshalb weil es für 50 maschinen einen großen aufwand bedeutet überall keys zu erzeugen und dann den public-key auf alle restlichen 49 zu kopieren

danke schon einmal.

mfg

mobab (der sich gerade in unix einarbeitet)

[Terran Marine]

aber was ist wenn ich jetzt noch auf die rechner vom restlichen alphabet will und wild hin und her springen will?

dann müsste ich ja auf jedem rechner nen private-key erzeugen oder?

muss ich dann auch noch den public-key jeder maschine auf jede kopieren? (also mit in die authorized_keys?)

und was hat es dann mit der known_hosts auf sich?

denn da stehen bei mir z.b. alle hosts drin auf die ich schon einmal mit ssh connected war und sie permanent zu meiner liste hinzugefügt habe.

Der eine public-Key muss in jede authorized_keys Datei (also 50 mal).

Einen privat-Key musst du nur einmal erstellen.

in der known_hosts stehen alle Server drin, zu denen du dich per ssh schonmal connected hast, inkl. Publickey des Servers.

Hat den Sinn, das er bei Public-Key Änderungen eine Warnung ausgibt, bzw. sogar das Login verhindert. Als Schutzfunktion, das du merkst, wenn der Server getauscht, angegriffen etc. worden ist.

Gruß

Terran

[MoBaB]

hi,

stimmt soweit habe ich das verstanden (hoffe ich).

den public-key bekomme ich ja von jeder maschine nach dem "ssh-keygen -t rsa". d.h. ja, dass ich das zumindest auf jeder maschine einmal machen muss richtig?

und dann kann ich auf einer maschine mit eine authorized_keys Datei bauen in der alle public-keys aller maschinen stehen.

und diese kann ich dann auf jedes andere system verteilen/kopieren.

und dann kann ich von maschine x auf maschine y und dann weiter auf maschine z springen ohne kennwörter oder?

ich frag nur so viel und genau nach weil ich relativ neu in der unix-administration bin und auch einiges mit scripte über mehrere maschinen machen will.

aber ihr seid echt eine riesige hilfe.

danke!

mfg

mobab

[MoBaB]

hallo nochmal,

also ich danke euch recht herzlich.

ich habe es hinbekommen.

ich muss allerdings überall so wie oben beschrieben, einen key generieren und dann den public-key auf alle anderen systeme verteilen. d.h. ich hab mir jetzt an einem system eine authorized_keys-datei gebaut mit allen systemen drin und die dann per scp auf alle verteilt. geht wunderbar.

ist halt weng arbeit am anfang.

wenn jemand noch eine elegantere lösung hat bin ich jederzeit offen dafür.

andere frage: kennt sich jemand mit der "dsh" aus?

hab bis jetzt nur einen topic hier im forum gefunden.

wenn ja würde ich auch nen eigenen topic dafür aufmachen da es ja hier nicht unbedingt rein gehört.

also vielen dank noch einmal.

mfg

mobab