SSH unter Linux: Deaktivieren der Host-Schlüsselprüfung für Hosts im lokalen Subnetz (known_hosts)

Question

Ich arbeite in einem Netzwerk, in dem sich die Systeme bei einer IP-Adresse häufig ändern. Sie werden auf und von der Workbench verschoben und DHCP bestimmt die IP, die sie erhalten.

Es scheint nicht direkt, wie Host Caching/Prüfung zu deaktivieren, so dass ich ~/.ssh/known_hosts nicht jedes Mal, wenn ich eine Verbindung zu einem System verbinden muss.

Ich interessiere mich nicht für die Host-Authentizität, sie sind alle auf dem 10.x.x.x Netzwerk-Segment und ich bin relativ sicher, dass niemand MITM'ing mich ist.

Gibt es einen "richtigen" Weg, dies zu tun? Es ist mir egal, ob es mich warnt, aber es ist nervig, mich anzuhalten und mich dazu zu bringen, meinen known_hosts-Eintrag für diese IP zu löschen, und in diesem Szenario gibt es keine Sicherheit, weil ich selten mehr als ein- oder zweimal mit den Systemen verbunden bin und dann wird die IP einem anderen System gegeben.

Ich schaute in der ssh_config-Datei und sah, dass ich Gruppen einrichten kann, so dass die Sicherheit der Verbindung zu externen Maschinen beibehalten werden konnte und ich konnte nur auf lokale Adressen überprüfen ignorieren. Dies wäre optimal.

Aus der Suche habe ich einige sehr starke Meinungen zu der Sache gefunden, von "Mach dich nicht damit, es ist für die Sicherheit, nur damit umgehen" zu "Dies ist die dümmste Sache, die ich jemals zu tun hatte mit, ich will es einfach ausschalten "... ich bin irgendwo in der Mitte. Ich möchte nur meine Arbeit machen können, ohne alle paar Minuten eine Adresse aus der Datei löschen zu müssen.

Danke.

Answer 1

Sie verwenden OpenSSH Angenommen, ich glaube, Sie

CheckHostIP no 

Option kann Host-IPs von einer Prüfung in known_hosts zu verhindern. Aus der Manpage:

CheckHostIP

Wenn dieser Flag gesetzt ist 'Ja', ssh (1) wird die Host-IP-Adresse in der Datei known_hosts zusätzlich überprüfen. Mit dieser kann ssh erkennen, ob sich ein Hostschlüssel aufgrund von DNS-Spoofing geändert hat. Wenn die Option auf 'Nein' gesetzt ist, wird die Prüfung nicht ausgeführt. Der Standardwert ist "Ja".

Answer 2

Dies ist die Konfiguration, die ich für unsere sich ständig verändernden EC2-Hosts verwenden:

maxim@maxim-desktop:~$ cat ~/.ssh/config 
Host *amazonaws.com 
     IdentityFile ~/.ssh/keypair1-openssh 
     IdentityFile ~/.ssh/keypair2-openssh 
     User ubuntu 
     StrictHostKeyChecking no 
     UserKnownHostsFile /dev/null 

Diese Host-Bestätigung StrictHostKeyChecking no und verwendet auch aus dem Speichern der Host identifizieren zu einer persistenten Datei einen schönen Hack zu verhindern ssh deaktiviert UserKnownHostsFile /dev/null Beachten Sie, dass ich als zusätzlichen Wert den Standardbenutzer hinzugefügt habe, mit dem eine Verbindung zum Host hergestellt werden kann, und die Option, mehrere verschiedene private Schlüssel zu identifizieren.

Answer 3

Dies dauerte eine Weile zu finden. Der häufigste Anwendungsfall, den ich gesehen habe, ist, wenn Sie SSH-Tunnel zu entfernten Netzwerken haben. Alle Lösungen haben hier Warnungen erzeugt, die meine Nagios-Skripte zerstört haben.

Die Option, die ich brauchte, war:

NoHostAuthenticationForLocalhost yes 

die, wie der Name auch nur schlägt auf localhost gilt.

Answer 4

Wenn Sie diese vorübergehend deaktivieren möchten oder ohne dass Ihre SSH-Konfigurationsdateien ändern, können Sie verwenden:

ssh -o UserKnownHostsFile=/dev/null username@hostname