Início / server / Perguntas / 878622
Accepted
Itai Ganot
Asked: 2017-10-16 22:52:09 +0800 CST

Como excluir automaticamente a linha de chave de known_hosts quando uma sessão é fechada?

  • 772

Estou trabalhando na automação de um ambiente inteiro usando o AWS CloudFormation e durante o período de teste sou obrigado a matar e recriar os servidores com muita frequência.

Os servidores estão configurados para definir seus endereços IP de um pool dedicado, o que significa que na primeira vez que me conecto a eles, tenho que aceitar a verificação da chave do host (a pergunta sim/não) e, quando excluo o servidor e recrio isso, eu tenho que excluir a chave do servidor do arquivo known_hosts toda vez.

Minha pergunta é:

É possível excluir a chave de known_hosts automaticamente quando fecho a sessão? existe tal configuração que eu perdi?

linux

3 respostas

  1. Best Answer

    Você pode configurar o ssh para usar vários arquivos para os known_hosts e as novas entradas só são adicionadas ao primeiro, definindo isso para que /dev/nullelas não sejam salvas:

    UserKnownHostsFile /dev/null ~/.ssh/known_hosts

    Combine-o com o seu favorito pessoal de pedir ou aceitar automaticamente chaves desconhecidas:

    StrictHostKeyChecking no

    Você provavelmente deseja que essas opções sejam restritas apenas (hosts específicos em) seu ambiente DEV, em vez de padrões globais, pois elas removerão um pouco da verificação de chave de segurança fornecida em seu ~/.ssh/config:

    Host *.dev.example.com
    IdentityFile ~/.ssh/id_rsa.dev.example.com
    UseKeychain yes
    User hbruijn-adm
    StrictHostKeyChecking ask
    UserKnownHostsFile /dev/null ~/.ssh/known_hosts
    • 3

  2. Você poderia fazer:

    ssh -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null -l user host

    StrictHostKeyChecking=no é obviamente uma má ideia, pois aceitará automaticamente todas as chaves de hosts

    UserKnownHostsFile=/dev/null não salvará nada em seu arquivo known_hosts normal.

    • 1

  3. A maneira correta seria colocar o SSHFP(automaticamente) no DNS, assinar a zona via DNSSECe deixar SSHo resto, principalmente, se você precisar fazer isso com muita frequência e as chaves estiverem mudando constantemente.

    • 1

relate perguntas