Wie bearbeite ich known_hosts, wenn mehrere Hosts denselben IP- und DNS-Namen haben?

Ich ssh regelmäßig in einen Computer, der ein Dual-Boot-OS X / Linux-Computer ist. Die beiden Betriebssysteminstanzen verwenden nicht denselben Hostschlüssel, sodass sie als zwei Hosts angesehen werden können, die dieselbe IP und denselben DNS verwenden. Nehmen wir an, die IP ist 192.168.0.9und die Namen sind hostnameundhostname.domainname

Soweit ich verstanden habe, besteht die Lösung, um eine Verbindung zu den beiden Hosts herzustellen, darin, beide zur ~/.ssh/know_hostsDatei hinzuzufügen . Allerdings ist es leichter gesagt als getan, da die Datei gehasht wird, und hat wahrscheinlich mehrere Einträge pro Host ( 192.168.0.9, hostname, hostname.domainname). Als Konsequenz habe ich folgende Warnung

Warning: the ECDSA host key for 'hostname' differs from the key for the IP address '192.168.0.9'

Gibt es eine einfache Möglichkeit, die known_hostsDatei unter Beibehaltung der Hashes zu bearbeiten ? Wie kann ich zum Beispiel die Zeilen finden, die einem bestimmten Hostnamen entsprechen? Wie kann ich die Hashes für einige bekannte Hosts generieren?

Die ideale Lösung würde mir erlauben , nahtlos an diesen Computer mit ssh zu verbinden, egal ob ich es nennen 192.168.0.9, hostnameoder hostname.domainname, noch wenn es verwendet , um seine Linux hostkey oder seine OSX hostkey. Ich möchte jedoch weiterhin eine Warnung erhalten, wenn es sich um einen echten Man-in-the-Middle-Angriff handelt, dh wenn ein anderer Schlüssel als diese beiden verwendet wird.

Die einfachste Lösung besteht darin, für Linux und OS X nur dieselben Host-Schlüssel zu verwenden. Wählen Sie also einen Satz von /etc/ssh/ssh_host_*_key*Dateien aus und kopieren Sie sie auf das andere Betriebssystem. Dann wird einem SSH-Client derselbe Host-Schlüssel angezeigt, unabhängig davon, unter welchem ​​Betriebssystem Sie gebootet haben, und der SSH-Client ist auch nicht klüger.

Wie @Izzy in einem obigen Kommentar angedeutet hat, teilt ssh Ihnen die fehlerhafte Zeile mit. Wenn Sie diese Zeile entfernen (an einer anderen Stelle speichern), den neuen Schlüssel akzeptieren und die entfernte Zeile dann zurückkopieren, erhalten Sie zwei Schlüssel für dieselbe Zeile Host, und ssh wird entweder akzeptieren.

(Sie können auch ssh-keygen -H -F <hostname>Zeilen in Ihrer Datei known_hosts suchen, die mit diesem Hostnamen übereinstimmen. Wenn Sie dies nach dem Zurückkopieren der entfernten Zeile ausführen, sollten zwei Einträge aufgelistet werden.)

Wenn jemand weiß, wie man PuTTY dazu bringt, dasselbe zu tun, wäre ich sehr interessiert, davon zu hören.

Ich habe dies gefunden, das dir dabei helfen kann, was du erreichen willst.

Quelle: /programming/733753/how-to-handle-ssh-host-key-verification-with-2-different-hosts-on-the- same- but

Erstellen Sie eine Konfigurationsdatei in Ihrem .ssh-Verzeichnis wie folgt:

Host server1
  Hostname x1.example.com
  HostKeyAlias server1
  CheckHostIP no
  Port 22001
  User karl

Host server2
  Hostname x2.example.com
  HostKeyAlias server2
  CheckHostIP no
  Port 22002
  User karl

Erklärung unten (von man ssh_config)

CheckHostIP

Wenn dieses Flag auf "yes" gesetzt ist, überprüft ssh (1) zusätzlich die Host-IP-Adresse in der Datei known_hosts. Dadurch kann ssh erkennen, ob sich ein Hostschlüssel aufgrund von DNS-Spoofing geändert hat. Wenn die Option auf "nein" gesetzt ist, wird die Prüfung nicht ausgeführt. Der Standardwert ist "Ja".

HostKeyAlias

Gibt einen Alias ​​an, der anstelle des tatsächlichen Hostnamens verwendet werden soll, wenn der Hostschlüssel in den Hostschlüsseldatenbankdateien gesucht oder gespeichert wird. Diese Option ist nützlich für das Tunneln von SSH-Verbindungen oder für mehrere Server, die auf einem einzelnen Host ausgeführt werden.

In der Benutzernamen- und Port-Zeile müssen Sie diese Optionen nicht auch in der Befehlszeile angeben, sodass Sie nur Folgendes verwenden können:

% ssh server1
% ssh server2

Der einfachste Weg, um Ihr Problem zu lösen, besteht darin, jedem Host eine eigene IP-Adresse zuzuweisen. Mit 253 verfügbaren Adressen in Ihrem (privaten) Netz und IPv4 sollte das keine große Sache sein. Geben Sie ihnen feste IP-Adressen (da ein DHCP-Server den Computer anhand der MAC-Adresse der Netzwerkkarte identifiziert und beide dieselbe Adresse erhalten würden). Ich sehe keine andere Lösung, wenn Sie die Sicherheitsmaßnahmen einhalten möchten (die ich auch wegen dieses kleinen "Trostes" nicht fallen lassen würde).

Dieses Problem tritt nicht auf, wenn ich eine Verbindung zu verschiedenen VPS-Boxen herstelle, die dieselbe IP-Adresse verwenden, da jede über einen anderen SSH-Port verfügt (20022.30022 usw.), sodass sie als bekannte Hosts mit unterschiedlichen Schlüsseln registriert sind.

Könnte das ein Workaround für Sie sein?

Ein weiterer Artikel , der verschiedene Möglichkeiten zur Behandlung Ihres Problems beschreibt:

Die zweite Methode verwendet zwei openSSH-Parameter: StrictHostKeyCheckinund UserKnownHostsFile. Bei dieser Methode wird SSH so konfiguriert, dass eine leere Datei known_hosts verwendet wird und Sie NICHT aufgefordert werden, den Identitätsschlüssel des Remote-Hosts zu bestätigen.

Da Sie die strikte Überprüfung des Hostschlüssels beibehalten möchten, müssten sie unterschiedliche known_hostsDateien verwenden. Richten Sie dazu Ihre ~/.ssh/configDatei (oder die /etc/ssh/ssh_configDatei, wenn Sie dies für mehrere lokale Benutzerkonten benötigen) folgendermaßen ein:

Host myserver.osx
  UserKnownHostsFile ~/.ssh/known_hosts.dual.osx
  # default is ~/.ssh/known_hosts
  Hostname $REALHOSTNAME

Host myserver.linux
  UserKnownHostsFile ~/.ssh/known_hosts.dual.linux
  Hostname $REALHOSTNAME

und $REALHOSTNAMEnatürlich durch den tatsächlichen Hostnamen oder die tatsächliche IP-Adresse ersetzen . (Es spielt keine Rolle, für welche Sie sich entscheiden, solange Sie etwas nach "Hostname" auswählen, das sich in die IP-Adresse auflösen würde, aber ich würde den Hostnamen einer IP-Adresse vorziehen, nur nach allgemeinen Grundsätzen.)

Dann ssh myserver.linuxund ssh myserver.osxsomit kann man verschiedene Hostschlüssel haben, aber man bekommt trotzdem die Prüfung. Wenn Linux installiert ist und Sie OS X eingeben (oder umgekehrt), erhalten Sie die Warnung (die meines Erachtens der gewünschte Effekt ist).

Wenn ich dieses Problem hätte, würde ich sicherstellen, dass in der Hauptdatei etwas völlig falsch ist known_hosts, das mit keinem der beiden Dateien übereinstimmt. Wenn Sie also etwas eingeben, $REALHOSTNAMEanstatt myserver.osxeine Warnung zu erhalten. :-) Ich würde das tun, indem ich so etwas setze

<ip-address-of-github.com> $REALHOSTNAME

in my /etc/hosts, dann mache ich einen ssh $REALHOSTNAMEund akzeptiere den neuen Schlüssel, dann nehme ich diesen Eintrag heraus.