Dotaz: ssh-agent a příliš mnoho klíčů

[Bilbo]

Pro připojování na vzdálené SSH servery používám ssh-agent.

Jednou po přihlášení natáhnu všechny klíče (kterých je 7) přes ssh-add do ssh-agenta a pak už se připojuji. Problém ovšem nastal v tom, že nedávno jsem získal přístup na další server a tudíž mám další klíč. A nyní se nemůžu připojit na některé servery.

Zjistil jsem, že je příčina v tom, že ssh (pomocí agenta) zkouší jeden klíč za druhým, ale než se dostane k tomu správnému (případně k zadání hesla, pokud na daném serveru ještě autorizaci přes klíče nemám), tak to server přestane bavit, ohlásí něco na způsob "Too many authentication failures for bilbo" a skončí spojení. Dokud těch klíčů bylo méně (5) tak to fungovalo.

Netuší někdo jak lze v ssh-agentovi nebo ssh nastavit aby některé klíče nabízel jen některým strojům?

---

---

Odpovědi

[Michal Kubeček]

Problém ovšem nastal v tom, že nedávno jsem získal přístup na další server a tudíž mám další klíč.

Tomu nerozumím. Proč by měl být kvůli přístupu na další server potřeba další klíč?

Netuší někdo jak lze v ssh-agentovi nebo ssh nastavit aby některé klíče nabízel jen některým strojům?

Použít u ssh přepínač -i.

[Bilbo]

Proč by měl být kvůli přístupu na další server potřeba další klíč?

Bezpečnost.

Např. jeden z klíčů je na cluster asi 40 serverů, kde ten klíč musí být uložen i na těch vzdálených serverech, aby se tam moje procesy mohly automaticky sshčkovat v rámci clusteru. Proto tam nechci nechávat můj "domácí" klíč. Další je k uživateli, který je sdílen více lidmi. Proto nejde použít ani domácí klíč, ani klíč od toho clusteru.

V rámci možností klíče "recykluju", ale i tak se mi jich už nahromadilo asi 7.

Použít u ssh přepínač -i.

Díky, zkusím.

[Michal Kubeček]

Další je k uživateli, který je sdílen více lidmi.

Jeden uživatel může mít v authorized_keys víc veřejných klíčů, proto je v názvu toho souboru množné číslo.

[iji]

Jak jiz padlo, volba -i je resenim.
Osobne se mi vyskytl tento problem ve spojeni Seahorse a NX klienta, kdy jedinym resenim po laborovani, ktere pomohlo, bylo zvednuti poctu pokusu o prihlaseni.

[rastos]

Nemám to vyskúšané, ale malo by byť možné v ~/.ssh/ssh_config povedať:

Host menostroja
IdentityFile ~/.ssh/privatnykluc_pre_menostroja

[Bilbo]

Zdá se, že to funguje jak má (až na to, že teda konfigurák SSH je v je ~/.ssh/config, nikoliv ~/.ssh/ssh_config), když nastavím konkrétní klíč pro konkrétní stroj, tak ho to nabízí jako první (a když selže, tak pak stejně zkouší ty ostatní jedne po druhém...), takže jsem si to nakonfiguroval a není už třeba používat -i :)