Dotaz: Pri spatnem case nejde ssh

[Zarovka]

Dobry vecer, stalo se mi u jednoho RPi s Rasbianem 8, ze se nezesynchronizoval cas po restartu (at zije ntp.nic.cz). Nasledne se neslo na RPi nalogovat pres ssh. Hledal jsem na netu jakou to ma souvislost, ale bohuzel nikde jsem nic nenasel. Nevite nekdo proc to neslo? Rad bych problem eliminoval aby se uz neopakoval. Jinak v logach nic vsechno normalni.

Odpovědi

[PetebLazar]

Tipnul bych si, že pokud rPi beží v neaktuálním čase asi nemusí mít radost z neplatnosti certifikátů(s obdobím platnosti mimo rPi čas), se kterými má tu čest. Možná, že již DNS by mohlo být první na ráně.

[lertimir]

Asi nejdříve zkusil připojení ve verbose modu

ssh -vv cíl

(Čím víc v tím více verbosity.

[Pavel 'TIGER' Růžička]

Nebylo by nejjednodušší nastavit více ntp serverů?

[Petr Šobáň]

Jak bylo zmíněno tak to asi skončí na neplatnosti certifikátu když je čas hodně mimo.

Jinak RPI mám a je tam služba která při vypnutí uloží čas a při zapnutí ho obnoví takže i když jdou hodiny blbě tak čas nejde dozadu.

Viz: https://packages.debian.org/sid/main/fake-hwclock

Takže si doinstaluj balíček fake-hwclock a pak by se nemělo stát že budeš v roku 1970 když nebude fungovat ntp.

Jinak to taky chce nastavit víc ntp serverů, já používám Czech Republic — cz.pool.ntp.org

[Jendа]

Že jsem tak smělý, ony SSH veřejné klíče mají nějakou platnost? (podpora pro PKI v SSH je, ale docela nově a málokdo to používá)

[PetebLazar]

Já měl na mysli scénář případného selhání DNS resolvingu (na základě časové neplatnosti cert). Například IP adresa k poslechu konfigurovaná názvem, pokud by resolving sehal a hosts to nepokrýval (sshd by nevědel kde poslouchat).

Možná je příčinou pouze odlišný čas mezi serverem a clientem s tím, že něco není spokojeno s výrazně odlišnýmí timestampy (výsledkem je timeout)́.

[karel]

No nejlepší by bylo se podívat do logu. Nešlo se nalogovat přes ssh znamená co, connection refused? no route to host? nebralo to přihlašovací údaje?
To, že se neaktualizoval čas, jste poznal jak - máte k tomu RPi připojený monitor? Jinak RPi normálně naběhlo?
Je potřeba víc informací.

[Filip Jirsák]

Přihlásil jste se pak rovnou (bez restartu) přímo přes terminál a všechny služby běžely? Pokud nemáte nějakou super moderní konfiguraci SSH s použitím PKI, nemyslím si, že by problém byl přímo v SSH. Napadá mne například, že se nedařilo ověřovat DNSSEC a máte zapnuté, že se při přihlášení k SSH používá i DNS název klienta.

Jinak u NTP také záleží na konfiguraci, referenční implementace ntpd odmítne čas sesynchronizovat, pokud se interní hodiny liší od referenčního času o víc, než je nějaká povolená hodnota – ntpd usoudí, že je něco hodně špatně a posunutí času by mohlo situaci ještě zhoršit, tak raději nedělá nic. Takže pokud očekáváte, že při startu může mít zařízení čas úplně špatně, je potřeba hodiny nejprve natvrdo sesynchronizovat pomocí ntpdate, a teprve pak zapnout ntpd.

[Peter Golis]

Nebolo by efektívnejšie zapojiť hodinky do toho RPi keď už to má byť server? Človek sa vyhne aj iným zaujímavým vedľajším efektom pri štarte. RTC pre RPi sa dí kúpiť už od jedného dolára.

Ja som si s niečim takým užil také ako by srandy, keď mi v notebooku skončila baterka. last mount of FS was in future a podobne ...

[karel]

Tazatel nikde nezmiňuje, že se jedná o server a nevidím důvod opatřovat každé RPi zálohou HW hodin jen kvůli softwarovému problému.

[Peter Golis]

Pokiaľ mu tam beží serverová služba, tak je to server. A to aj keby človek používal single user desktop so zdieľaním vzdialenej plochy.

Ak je tá bežiaca služba citlivá na stratu presného času kvôli časovému obmedzeniu platnosti certifikátov, tak je potrebné mať ten presný čas zabezpečený pred naštartovaním tej služby.

Možností je viac, ale najrozumnejšia sa mi zdá investovať ten necelý dolár do RTC. Alternatívy môžu pomôcť, ale pri nich človek narazí na limitácie skôr ako sa vybije baterka v RTC.

Napr:

1. typu ukladať si čas na disk (vyžaduje RW zápis, čo nie je pri SD karte rozumné)
2. nastaviť závislosti aby sa ssh štartovalo až po úspešnom štarte ntp (vyžaduje dostupn7 NTP server, obvykle cez internet)
3. ...