Tag: ssh

Posted on

RHEL8系統加密原則(SSH)

在 Red Hat Enterprise Linux 8 以後導入了整合的加密原則管理，透過 update-crypto-policies 指令就可以很方便的去設定系統加密原則。

使用以下指令就可以看到使用哪個原則

update-crypto-policies --show

預設都是 DEFAULT

若需要設定為 FUTURE 可以用

update-crypto-policies --set FUTURE

Red Hat 有針對這部份撰寫一篇 KB: System-wide crypto policies in RHEL ，說明是如何運作的。在產品手冊裡也有提到這部份：Chapter 4. Using system-wide cryptographic policies。若有需要客製化，可以參考 Red Hat 的另外一篇 How to customize crypto policies in RHEL 8.2 來進行客製化。

接下來講一下 sshd 的部份，一般若要讓 sshd 使用指定的金鑰交換原則或是加密原則，會說要去修改 /etc/sysconfig/sshd ，把裡面的

# System-wide crypto policy:
# To opt-out, uncomment the following line
#CRYPTO_POLICY=

改為

# System-wide crypto policy:
# To opt-out, uncomment the following line
CRYPTO_POLICY=

然後再去修改 /etc/ssh/sshd_config 。

這個設定實際上會影響的地方是 sshd systemd service ，我們可以用 systemctl cat sshd 來看看

# /usr/lib/systemd/system/sshd.service
[Unit]
Description=OpenSSH server daemon
Documentation=man:sshd(8) man:sshd_config(5)
After=network.target sshd-keygen.target
Wants=sshd-keygen.target

[Service]
Type=notify
EnvironmentFile=-/etc/crypto-policies/back-ends/opensshserver.config
EnvironmentFile=-/etc/sysconfig/sshd
ExecStart=/usr/sbin/sshd -D $OPTIONS $CRYPTO_POLICY
ExecReload=/bin/kill -HUP $MAINPID
KillMode=process
Restart=on-failure
RestartSec=42s

[Install]
WantedBy=multi-user.target

從這邊可以看到有兩行 EnvironmentFile，第一行 EnvironmentFile 去含括 /etc/crypto-policies/back-ends/opensshserver.config ，這就是系統的 ssh 加密原則設定。第二行 EnvironmentFile 含括的檔案，就是前面提到的 /etc/sysconfig/sshd 。

那在 ExecStart 這行可以看到啟動 sshd 時，有放置 $CRYPTO_POLICY ，表示會使用這個環境變數的內容。也因此，若在 /etc/sysconfig/sshd 裡移除 CRYPTO_POLICY 的註解，在啟動 sshd 時，就不會帶入參數，而使用 /etc/ssh/sshd_config 裡的設定。

在查到這邊時，我才想起之前好像有找過，但之前沒有記錄，沒記錄就容易忘記，所以今天特別記下來。

Posted on

SSH跳板

在 Red Hat Enterprise Linux 8 的手冊裡看到 SSH 跳板，記錄一下。

首先在 ${HOME}/.ssh/config 裡新增跳板機的資訊

Host jump-server1
  HostName jump1.example.com

接著在要連過去的主機資訊裡，填入

ProxyJump <跳板機名稱>

例如

Host remote-server
  HostName remote1.example.com
  ProxyJump jump-server1

之後使用 ssh remote-server 時，會先連到 jump1.example.com 這台主機 ，再連接到 remote1.example.com 這台主機。

之前不知道這方法時，都是先連到 jump1.example.com，然後再輸入 ssh remote1.example.com 這樣，有點笨。

現在使用 ProxyJump ，會方便很多，少打不少字。

其他參考資料：https://www.redhat.com/sysadmin/ssh-proxy-bastion-proxyjump

Posted on

在Windows 2019 安裝 OpenSSH server

資料來源：微軟-安裝 OpenSSH

我找不到 GUI 怎麼裝，最後是開 PowerShell 終端機來安裝

檢查是否有安裝

Get-WindowsCapability -Online | Where-Object Name -like 'OpenSSH*'

安裝

預設就會安裝 OpenSSH client 了，執行這兩行會需要一點時間，我有遇到錯誤訊息，說安裝失敗，但再執行一次就可以了。

# Install the OpenSSH Client
Add-WindowsCapability -Online -Name OpenSSH.Client~~~~0.0.1.0

# Install the OpenSSH Server
Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0

啟動、設定與開防火牆

用 Start-Service 就可以啟動，用 Set-Service 設定為自動啟動，後面落落長的 if 是檢查，這段檢查，可以開設定裡的防火牆來看，不用執行也可以。

# Start the sshd service
Start-Service sshd

# OPTIONAL but recommended:
Set-Service -Name sshd -StartupType 'Automatic'

# Confirm the Firewall rule is configured. It should be created automatically by setup. Run the following to verify
if (!(Get-NetFirewallRule -Name "OpenSSH-Server-In-TCP" -ErrorAction SilentlyContinue | Select-Object Name, Enabled)) {
    Write-Output "Firewall Rule 'OpenSSH-Server-In-TCP' does not exist, creating it..."
    New-NetFirewallRule -Name 'OpenSSH-Server-In-TCP' -DisplayName 'OpenSSH Server (sshd)' -Enabled True -Direction Inbound -Protocol TCP -Action Allow -LocalPort 22
} else {
    Write-Output "Firewall rule 'OpenSSH-Server-In-TCP' has been created and exists."
}

ssh 與 scp

若要連進來，用 ssh 即可，這邊要注意，當 ssh 進去以後，打的指令不是 linux 指令喔，是 windows 指令。

ssh <user>@<windows-2019>

因為 Windows 路徑跟 Linux 不一樣，所以不能用之前 linux 的方式來複製，得這樣用

scp my_file "john@<windows-2019>:C:\\Users\\John\\"

結語

有了 OpenSSH server ，要遠端管理或複製檔案變得方便許多，以後安裝完 Windows 要順手裝上。

參考資料

Posted on

直接用 SSH 登入 vagrant 虛擬機失敗

試著直接使用 SSH 登入 vagrant 開出來的 Ubuntu 虛擬機，會出現錯誤訊息：

SSH Login Failed : Permission denied (publickey,gssapi-keyex,gssapi-with-mic)

可是用 vagrant ssh 卻可以登入，用 vagrant ssh 登入進去查，SSH daemon 有啟動，所以 SSH 服務是沒問題的。後來透過錯誤訊息才查到，是 SSH Daemon 裡的 PasswordAuthentication 被設定為 no 了。所以修改 /etc/ssh/sshd_config ，將 PasswordAuthentication 設定為 yes 後，就可以用 ssh 登入了。

vagrant ssh 之所以可以登入，是因為在初始化虛擬機時，預先產生好 SSH Key，並且把 SSH public key 放到虛擬機裡了。另外一種解決方法，就是使用產生好的 SSH private key 來登入。

ssh -i .vagrant/machines/<your_machine_name>/virtualbox/private_key ubuntu@<your_machine_ip>

參考資料：

Posted on

Serveo.net

網址：https://serveo.net/
找 ngrok alternative 時，找到這個用 ssh 指令就可以破牆，挺方便的。

例子1

Port forwarding

在 A 電腦裡輸入

ssh -R 80:localhost:3000 serveo.net

按下 yes，會拿到一個類似 https://talis.serveo.net 的網址，當從另外一台電腦連到此網址時，會連接到 A 電腦的 port 3000

P.S. 

  1. 要拿到不一樣的網址，就帶 username，例如：ssh -R 80:localhost:8888 foo@serveo.net
  2. localhost 可以替換為其他電腦，例如 192.168.1.1

例子2

ssh port forwarding

在 A 電腦裡有 SSH server，然後輸入

ssh -R myalias:22:localhost:22 serveo.net

接著在其他電腦有 ssh client 的電腦裡輸入

ssh -o ProxyCommand="ssh -W myalias:22 serveo.net" user@myalias

就可以連接到 A 電腦的 SSH server

P.S.

  1. OpenSSH client 7.3 以後可以用 -J 參數：ssh -J serveo.net user@myalias

用 autossh 自動重連

事前預備

  1. sudo adduser –system –group –disabled-password autossh
  2. sudo chsh –shell /bin/false autossh
  3. 預先使用 autossh ，執行過一次 autossh 指令

autossh + upstart

# /etc/init/autossh.conf
# http://logan.tw/posts/2014/12/15/autossh-and-ubuntu-upstart-daemon/
description "autossh daemon for ssh tunnel"
start on net-device-up IFACE=br0  # 此處需因應網路裝置來調整為 eth0, eth1 ...
stop on runlevel [01S6]

setuid autossh
respawn
respawn limit 5 60
script
#export AUTOSSH_FIRST_POLL=30
#export AUTOSSH_GATETIME=0
#export AUTOSSH_POLL=60
autossh -M 0 -R pokemon22:22:localhost:22 serveo.net
end script

autossh + systemd

# /etc/systemd/system/autossh.service
# https://gist.github.com/thomasfr/9707568
[Unit]Description=Keeps a tunnel to 'serveo.net' open
After=network-online.target

[Service]
User=autossh
# -p [PORT]
# -l [user]
# -M 0 --> no monitoring
# -N Just open the connection and do nothing (not interactive)
# LOCALPORT:IP_ON_EXAMPLE_COM:PORT_ON_EXAMPLE_COM
# ExecStart=/usr/bin/autossh -M 0 -N -q -o "ServerAliveInterval 60" -o "ServerAliveCountMax 3" -p 22 -l autossh remote.example.com -L 7474:127.0.0.1:7474 -i /home/autossh/.ssh/id_rsa
ExecStart=/usr/bin/autossh -M 0 -R pokemon22:22:localhost:22 serveo.net

[Install]
WantedBy=multi-user.target
Posted on

Ansible提速

參考資料

上面的文章幾乎都是說要調整 ansible.cfg，Speeding up Ansible Playbook runs 這篇仔細說明每個參數加了之後有提速多少，很有參考價值。accelerate mode 則是加在 playbook 裡。

ansible.cfg 主要關鍵設定：

  1. pipeline = True
  2. control_path = /tmp/ansible-ssh-%%h-%%p-%%r
  3. ssh_args = -o ControlMaster=auto -o ControlPersist=60s
  4. poll_interval = 5
  5. forks = 25
  6. fact_caching = jsonfile
  7. fact_caching_connection = /tmp/.ansible_fact_cache

補充 ssh_args 的說明，這兩個設定主要是在會一直頻繁使用時，可以重複使用連線並避免太快斷線。

也可以加上 UseDNS = no，避免使用 DNS 反查。

Posted on

加速 SSH X11 forward 的速度

今天用 SSH 連回家裡電腦，開 thunderbird ，發現慢的要命，心裡想，照理來說，不傳圖片應該會比較快，難道是傳輸的內文太多嗎? 就利用 Google 找了一下，結果說是加密速度問題，改用較快的加密協定就可以了。

文章裡說改用 arcfour,blowfish-cbc ，但因為安全性的關係，新的 OpenSSH server 都沒有啟用，所以退而求其次，改用 aes128-ctr, aes192-ctr ，的確速度快了很多。

ssh -YC4c aes128-ctr,aes192-ctr user@server

 

另外附上測試 SSH 加密速度的腳本網址：https://gist.github.com/graysky2/0e265604bfd4856a2596

 

參考資料：

Posted on

用指定的 SSH key 來操作 git

一般來說，都是直接使用 $HOME/.ssh 下這把預設產生的 id_rsa/id_rsa.pub 。那如果要使用另外的 SSH key 該怎麼辦呢?

這時候可以使用 GIT_SSH 這個環境變數搭配自訂的腳本來做：

  1. 先新增一個 custom_ssh.sh： 
    #!/bin/sh
exec /usr/bin/ssh -o StrictHostKeyChecking=no -i /home/me/my_private_key "$@"
  2. 在使用 git 的時候，提供 GIT_SSH 環境變數 
    GIT_SSH="custom_ssh.sh" git clone your_repository

    ，這樣就可以了。

在什麼情況會用到額外的 SSH key 呢? 最常見的例子就是佈署：在 gitlab/github 裡可以有所謂的 deploy key，這樣在佈署的時候，就可以不提供自己的 SSH key 來做佈署，只透過這把 deploy key 來取得原始碼，增加安全性。

誰有用到 GIT_SSH ?

  1. Jenkins 裡可以新增 SSH key ，讓你在存取 repository 時，使用這把 SSH key。實際上 Jenkins 內部也是利用 GIT_SSH 的方法在運作，但並不是全部。
  2. Ansible 的 git module 也使用了 GIT_SSH 這個技巧 (應該是)。

也可以使用 ssh-add 搭配 ssh-agent 來替代 GIT_SSH 的作法，這樣就可以不需要額外新增一個自訂的腳本了。

產生獨立 SSH Key 的方法：

ssh-keygen -C your_comment -b 4096 -m pem -f key_filename -q -P "" -N ""

執行上面的指令後，會產生兩個檔案，一個是公鑰，一個是私鑰。在要複製到別的地方使用時，要注意 permission 必須是 0600，僅允許擁有者存取才行。

參考自：Git clone with custom SSH using GIT_SSH error – Stack Overflow