SSH AgentForward funktioniert nicht

[Valdez]

hallo,

Ich habe ein Netzwerk zu betreuen und habe mir zu diesem Zweck meinen SSH Public Key auf den Rechnern in Netz in das "authorized Keys" File eingefügt.

Das Problem ist, wenn ich mich von meinem Rechner "zuhause" auf eines der Geräte connecten will funktionierts, aber wenn ich von dem Rechner weiter zu einem anderen Rechner connecten will kommt immer eine Passwort Abfrage.
Ich muss die connection jedesmal schließen und von meinem Rechner Zuhause neu connecten.

Sprich, ich will von A (Rechner zuhaus) nach B und weiter nach C (B, C, D, usw. Rechner in dem zu betreuenden Netzwerk).
Ich würde gerne von A nach B und weiter nach C und D usw. Aber es geht immer nur von A ... wenn ich zu dem Rechner nach C bzw D will muss ich von A connecten ...

In der ssh Config ist AgentForward aktiviert.

Weiß jemand Rat ?

DAnke

[dirk11]

Du musst natürlich in C in der authorized_keys den Key von B eintragen, nicht den von A.

[peschmae]

Hast du sowohl ForwardAgent = yes in der ssh_config, als auch AllowAgentForwarding nicht auf no in der sshd_config? Das kann man nämlich an zwei Stellen deaktivieren - sowohl aufm Client (da ists per Default verboten) als auch auf Serverseite (da ists per default erlaubt)...

Ausserdem schreibst du AgentForward, die Option heisst aber ForwardAgent

@dirk11: Genau dafür ist das agent forwarding ja da, damit man eben keine Keys auf B haben muss, sondern auch auf B die von A benutzen kann...

MfG Peschmä

[dirk11]

@dirk11: Genau dafür ist das agent forwarding ja da, damit man eben keine Keys auf B haben muss, sondern auch auf B die von A benutzen kann...

Ah ok. Kannte ich noch nicht, habe ich noch nie benutzt, weil meine Rechner bei mir sich sowieso untereinander alle kennen.

[Valdez]

Hatte mich verschrieben, ja habe ich

also in der ssh_config -> ForwardAgent yes

und in der sshd_config stand nichts von
AllowAgentForwarding

habs aber eingefügt und ssh restartet.




immer noch dasselbe Problem, von A komme ich auf B, C, D usw aber ich komme nicht von B auf C und D usw.


ist mir ein rätsel

[peschmae]

Explizit anschalten aufm Server musst du im Prinzip nicht, ist ja per Default an. Nur halt nicht ausschalten. Die sshd-config sieht erst mal ganz ok aus, ist ja per default etwa so. Wie sieht die ssh-config auf Host A aus?

Versuchs mal mit ssh -vvv wenn du von B nach C connecten willst, eventuell versucht ers ja auch aus irgend einem Grund gar nicht erst mit den Keys oder so...

MfG Peschmä

[Valdez]

die Lösung war

Code: Alles auswählen

ssh-add /root/.ssh/id_rsa

Danke für die Hilfe

lG

[peschmae]

Eigentlich egal, aber das verstehe ich jetzt nicht ganz. Wie hat denn der erste Login funktioniert, wenn der ssh-agent den key noch nicht hatte?

MfG Peschmä

[Valdez]

Eine gute Frage, die Rechner B, C, D, usw waren von A (home Rechner) immer erreichbar ... Ohne Passwortabfrage ... aber eben immer nur von A
von B auf C kam immer eine Passwortabfrage.

lG

[peschmae]

Das hängt dann wohl vom ssh-agent ab, was für einen benutzt du denn normalerweise? Das wird dann wohl nicht der Kommandozeilen ssh-agent sein, oder? Irgend so ein Gnome-Ding (Seahorse?) oder KDE-Ding (KWallet?) - eventuell kann man das Agent-Forwarding auch jeweils da desaktivieren oder sowas...

MfG Peschmä

[Cae]

Soweit ich weiss, braucht es den ssh-agent eigentlich nicht; in diesem Fall liest ssh einfach immer die lokale .ssh/id_* neu ein (und fragt ggf. nach der Passphrase).

Gruss Cae

[peschmae]

Achso, klar, du meinst @Valdez hat passwortlose Keys, die funktionieren auch passwortlos für einen direkten login, aber das Agent-Forwarding geht nicht weil ja sowieso kein Agent läuft. Macht Sinn.

MfG Peschmä

[dufty2]

Kleiner Tipp am Rande:

* Sowohl Source- also auch Destination-IP sind aus Deinen Angaben ablesbar
* Beide sind per SSH erreichbar => keine ACLs
* Du erlaubst Root-Login per ssh

nicht gut

[peschmae]

Ich erlaube ja jeweils auch root-login per ssh. Ist bequemer. Der Sicherheitsgewinn durch desaktivieren desselbigen ist doch primär imaginär

[Valdez]

danke für eure hilfe

bin froh dass ich mich nicht immer ausloggen und neu einloggen muss =)

lG

[Cae]

bin froh dass ich mich nicht immer ausloggen und neu einloggen muss =)

Pro-Tipp: Man kann mehrere Shells parallel aufmachen, zur Not in 'nem Terminal-Multiplexer wie screen oder dvtm.

Gruss Cae