Início / unix / Perguntas / 417206
Accepted
mschilli
Asked: 2018-01-16 01:28:06 +0800 CST

compartilhar sessão/chave ssh com usuário remoto

  • 772

Suponha a seguinte configuração:

  1. O usuário bobestá trabalhando localmente em sua estação de trabalho foo.
  2. O usuário aliceestá trabalhando localmente em sua estação de trabalho bar.
  3. O usuário bobtem acesso ssh ao servidor baz:22por meio de uma chave armazenada em bob@foo:.ssh/id_rsa.
  4. O usuário alicetem acesso ssh à bobestação de trabalho, foo:22mas não ao servidor baz.

Existe uma maneira de bobssh bazcompartilhar sua sessão (via encaminhamento de porta?) Ou chave (via encaminhamento ssh-agent?) De modo que alicepossa acessar bazviabarfoo (assumindo boba identidade de on foo) ?

Termo aditivo:

Há mais alguns pensamentos que eu deveria ter esclarecido:

  1. bobnão quer alicesaber a senha dele
  2. bobnão quer alicepoder continuar rm -rf /home/bob( foono bazentanto, isso seria bom, obviamente).

Conforme sugerido por @mukesh-sai-kumar , pode-se fazer o alicelogin foo(como bob?) E sshcom a chave compartilhada de lá.

A melhor abordagem que posso ver até agora seria criar um novo par de chaves para aliceon bar, permitir a chave pública fooe executar automaticamente o ssh bob@bazpor meio da command="ssh [...]"opção no authorized_keysarquivo.

Isso permitiria configurar ssh bazo uso bardo ssh bob@foonovo par de chaves via alice@bar:.ssh/configcom o encaminhamento de bob@foologins usando essa chave específica para bob@bazvia bob@foo:.ssh/authorized_keys(autorizando alicea chave de mas restringindo commanda ssh bazchamada).

Dessa forma, as duas novas restrições seriam atendidas e alicenem veriam nada, como mostra esta hipotética sessão interativa:

[alice@foo:~] (1) $ hostname
foo    
[alice@foo:~] (2) $ whoami
alice
[alice@foo:~] (3) $ ssh baz
[bob@baz:~] (1) $ hostname
baz    
[bob@baz:~] (2) $ whoami
bob
[bob@baz:~] (3) $ exit
[alice@foo:~] (4) $ hostname
foo    
[alice@foo:~] (5) $ whoami
alice
[alice@foo:~] (6) $

O único problema restante é que boba chave ssh fooprecisa ser compartilhada com bob a sessão iniciada por sshfrom alice(via ssh-agent? ) .

ssh ssh-tunneling

2 respostas

  1. Solução: Sessão SSH aninhada.

    alice pode fazer login na estação de trabalho de bob (foo:22) via SSH com a identidade de bob e, em seguida, fazer login em baz via SSH com a identidade de bob (e sua chave, pois ambos agora estão acessíveis a alice).

    Uma representação baseada em comando disso:

    alice@bar:~$ ssh bob@foo
bob@foo's password:
---snip----
bob@foo:~$ ssh -i /home/bob/.ssh/id_rsa (your-user)@baz
----RSA ID based authentication----
your-user@baz:~$

    Representação esquemática:

    alice@bar -> Log into foo as user bob -> use bob's stored key to log into baz -> Achieved!
    • 1
  2. Best Answer

    Alice pode dar a Bob sua chave pública, e Bob pode adicionar uma linha ao seu próprio .ssh/authorized_keysarquivo que permitirá a Alice iniciar uma sessão ssh (como Bob) na estação de trabalho de Bob foo. Usando a command=opção, Bob pode restringir a chave de Alice para não conceder um shell interativo, mas uma conexão ssh aninhada bazcomo Bob e usar uma chave acessível localmente para Bob em bar.

    command="ssh -I .ssh/id_rsa bob@baz:22" ssh-rsa AAA...== alice@whatever

    Opcionalmente, você pode incluir outras opções de restrição ( no-port-forwarding, from=, etc. - consulte sshda seção da página man em AUTHORIZED_KEYS FILE FORMAT).

    Quando Alice executar ssh bob@bare autenticar com sua chave privada, ela será conectada bara uma sessão ssh em baz, sem ter nenhum controle sobre a sessão intermediária na estação de trabalho de Bob.

    Observe que, do ponto de vista de baz(logging, auditoria de segurança), não há distinção entre essa conexão encapsulada iniciada por Alice e uma conexão "normal" feita por Bob a partir de sua própria estação de trabalho. Isso pode ser o que você pediu, mas não o que você quer.

    Para tornar a chave protegida disponível para Alice para sua sessão, você pode definir explicitamente a variável de ambiente SSH_AUTH_SOCKpara ser o caminho que Bob usa para sua sessão (mude a authorized_keysentrada para command="SSH_AUTH_SOCK=/path/to/bobs/agent_socket ssh bob@baz:22" ssh-rsa AAA...) Para evitar ter que atualizar o caminho quando ele muda (logoff/login normalmente ), Bob pode executar um agente dedicado em nome de Alice com um caminho explícito especificado ( ssh-agent -a ~/.ssh/agent_for_alicee adicionar apenas a chave específica com SSH_AUTH_SOCK=~/.ssh/agent_for_alice ssh-add ~/.ssh/id_rsae inserir a frase secreta.

    • 1

relate perguntas