Dotaz: SSH s klicema pres NAT

[Michal Švanda]

Po restrukturalizaci kolejni site (prechod na privatni adresy serie 10.x.x.x) mi prestaly chodit SSH klice. Nepomohlo ani generovani novych, ale uprimne moc nevim, jestli to pres NAT vubec muze fungovat. Jde to nejak obejit (nemam moznost sahnout do konfigurace toho NATu)? Duvodem je automaticky zalohovaci skript posilajici v noci zalohu na jiny pocitac pres scp, coz ted pochopitelne nechodi.

Odpovědi

[Cronin]

V otazke je prilis malo informacii na identifikovanie priciny, pre ktoru to "prestalo chodit". Musis uviest stav (topologiu) pred zmenou a po zmene.

[Michal Švanda]

Je to jednoduchý: předtím -- veřejná adresa, čili v síti cca 700 počítačí routovaných skrz jeden (FreeBSD) router ven. Nyní: privátní adresa (10.x.z.y), na routeru překlad adres N:1, čili všechny počítače jsou ven vidět jako jeden muž.

[Jiří Veselský]

Čili máte počítač A a počítač B, ten B má nyní adresu 10.x.y.z, dříve měl veřejnou. Z počítače A na počítač B se v takovém případě přímo přihlásit nejde. Ale pokud jste schopen se z počítače B přihlásit na počítač A, tak si můžete pomoct nějakým tunelem a následně se přihlásíte i z A do B.

[Michal Švanda]

Je to presne opacne. Mam pocitac A (10.x.y.z, mival verejnou), mam pocitac B s verejnou adresou. Snazim se prihlasit klicem z A na B.

[Jiří Veselský]

Klíče a NAT spolu nemají nic společného. Buď SSH přes ten NAT funguje (a pak funguje bez ohledu na použitou metodu autentizace), anebo přes NAT nefunguje (a klíče za to nemohou). Budete muset utrousit trochu víc informací...

[Michal Švanda]

SSH jede pro autentizaci přes heslo. Konfiguraci SSH jsem neměnil ani na jednom z počítačů (oproti předchozímu stavu). Prostě a jednoduše:

Na koleji: ssh-keygen -t rsa Zkopiruju id_rsa.pub do ~/.ssh/authorized_keys na druhem pocitaci (na ktery se mam prihlasovat). No a melo by to fungovat (prihlasovani bez hesla). A nefunguje. Pres heslo to normalne jde.

[Jiří Veselský]

Pak děláte něco blbě, i když nevím co. Pokud vám funguje přihlášení s heslem a nefunguje přihlášení přes klíče, nemá to nic společného s NATem a máte nějaký problém v těch klíčích...

[Cronin]

Nezmenili sa pristupove prava domovskeho adresara pouzivatela alebo podadresara .ssh na pocitacoch? Musia byt chranene proti zapisu grupy aj others, inac sa ignoruju.

[Michal Švanda]

Ha, vidim, ze jsi mne o chvili predbehl. Jo, bylo to presne ono.

[Michal Švanda]

Uz jsem na to prisel (ostatne preci jen neni mit obcas od veci zapnute logovani). Chyba v pravech v ~/.ssh/authorized_keys, bylo jich trochu moc ... Doslo k tomu pri nektere manipulaci s klici.

Kazdopadne diky vsem za pomoc.