ভিআইপি ব্যবহার করে এসএসএইচ হোস্টের কী যাচাইকরণের সমস্যা

Question

ভিআইপিতে আমাদের কাছে দুটি প্রোডাকশন সার্ভার রয়েছে, একটি সময়ে কেবল একটিই ব্যবহৃত হয়, উদাহরণস্বরূপ:

myservice.mycompany.uk সাধারণত সার্ভার 1 এ নির্দেশ করে, যদি সার্ভার 1 ব্যর্থ হয় সে ক্ষেত্রে এটি সার্ভার 2 এ পয়েন্টে পরিবর্তন হয়।

কিছু অন্যান্য সার্ভার রয়েছে যা এসএফটিপি এর মাধ্যমে myservice.mycompany.uk এ ফাইলগুলি প্রেরণ করা দরকার এবং আমরা সার্ভার 2 এ ব্যর্থ হলে এটি তাদের কাছে সম্পূর্ণ স্বচ্ছ হওয়া উচিত।

সমস্যাটি হ'ল কীগুলি সার্ভার 1 এবং সার্ভার 2 উভয়ই ইনস্টল করার সময় অন্যান্য সার্ভারগুলির হোস্ট কী যাচাইকরণ সংক্রান্ত সমস্যা থাকবে কারণ সার্ভার 2-এর হোস্ট কী সার্ভার 1-এর হোস্ট কী থেকে পৃথক। এটি একটি সুরক্ষা ত্রুটির কারণ (যেহেতু কঠোর চেকিং চলছে), এবং এটি কার্যকর করার জন্য পরিচিত_হোস্টগুলি থেকে একটি লাইন অপসারণ করতে হবে।

আমাদের আইটি লোক পরামর্শ দিয়েছে যে আমরা পরিচিত_হোস্টগুলিতে 2 টি এন্ট্রি তৈরি করতে পারি, একটি সার্ভার 1 এর কী এবং একটি সার্ভার 2 সহ, হোস্ট মাইসারওয়াইস.মাইকম্পানি.উক উভয় দিয়ে।

এটা কি কাজ করার সম্ভাবনা আছে? উইন্ডোতে পুটি / পিএসএফপি দিয়ে এটি কীভাবে করা যায়? যেহেতু হোস্ট কীটি রেজিস্ট্রিতে সঞ্চিত আছে এবং সদৃশ নামগুলি অনুমোদিত নয়। এর চেয়ে আরও ভাল উপায় আছে কি আমরা উদাহরণস্বরূপ সার্ভারগুলিকে একই হোস্ট কী রাখতে বাধ্য করতে পারি?

Answer 1

ক্লায়েন্টদের পক্ষে এটি আরও সহজ করার জন্য, আমি কেবল দুটি মেশিনে একই হোস্ট কী ব্যবহার করব। কীগুলির মধ্যে একটি (বর্তমানে ব্যবহৃত সার্ভারগুলির মধ্যে একটি) দ্বিতীয় মেশিনে অনুলিপি করুন। তারা কী আছে /etc/ssh/ssh_host_*।

অন্য বিকল্প হ'ল ক্লায়েন্টগুলিতে হোস্ট কী চেকিং নিষ্ক্রিয় করা। এটি ssh_configব্যবহারের জন্য টিউন করে এটি করা যেতে পারে :

Host myservice.mycompany.uk
    StrictHostKeyChecking

Comments

হোস্ট কী চেকিং বন্ধ করে দেওয়া এই ফাইলগুলি স্থানান্তর করতে এসএসএইচ ব্যবহারের বিন্দুটিকে ক্ষুন্ন করে, হোস্ট কীটিকে নকল করা সম্ভবত সেরা সমাধান।

— জেমস ইয়েল

হোস্ট কী চেকিং বন্ধ করার অর্থ এই নয় যে যোগাযোগটি সঠিকভাবে এনক্রিপ্ট করা হয়নি, যা এসএসএইচের মূল বিষয়। যা বলেছিল, যেমনটি আমি বলেছি, আমি নিজেই প্রথম সমাধানটির পক্ষে।

— hফিংক

সমাধানের ক্লায়েন্ট-সংস্করণে (বিভিন্ন সার্ভার কী সহ) আপনাকেও যুক্ত করতে হবে UserKnownHostsFile=/dev/nullঅন্যথায় প্রথম কীটি পরিচিত-হোস্টগুলিতে যাবে এবং দ্বিতীয়টি "মাঝখানে মানুষ" সতর্কতার দিকে পরিচালিত করবে।

— নীল

@ নীল এটি প্রয়োজনীয় নয়; সেটিংটি StrictHostKeyChecking yesব্যবহারকারী জ্ঞাতহোস্টগুলি ফাইলটিকে সিস্টেম ज्ञিত হোস্ট ফাইলের পক্ষে উপেক্ষা করবে। সুতরাং যে কোনও কিছু যা ব্যবহারকারী জ্ঞাতহোস্টগুলিকে সংশোধন করে তা অর্থহীন।

— মাইকেল লোম্যান

ঠিক আছে - আমাকে আরও স্পষ্ট করে বলতে হবে: আমি যেখানে আপনার দুটি পৃথক সার্ভার-কী আছে সেই ক্ষেত্রেটি সম্পর্কে আমি কথা বলি। সেখানে আপনাকে নির্দিষ্ট করতে হবে StrictHostKeyChecking noএবং অতিরিক্তভাবে UserKnownHostsFile/ dev / নালকে সেট করতে হবে। সেক্ষেত্রে সমস্ত হোস্ট কী গ্রহণ করা হবে (অবশ্যই এই সুরক্ষা স্তরের অকেজো রেন্ডারিং)।

— নীল

Answer 2

আমি এটি এইভাবে সংরক্ষণাগারভুক্ত করেছি, ব্যবহারকারী রুট ২৩:৩০ মিনিটে একটি স্ক্রিপ্ট চালান যা লিনাক্স ক্লাস্টারের লজিক্যাল আইপি ঠিকানার সাথে সংযুক্ত হয়, সুতরাং আইপি ঠিকানার ব্যর্থতার ক্ষেত্রে আমার এসএসএস ফিঙ্গারপ্রিন্ট পরিবর্তন হয়

echo "StrictHostKeyChecking no" >> /root/.ssh/config 
echo "UserKnownHostsFile /dev/null" >> /root/.ssh/config

এইভাবে, সেটিংসটি কেবলমাত্র মূলের জন্য