Posso usar a verificação da chave do host ssh com um DNS round-robin?

Question

Estou entrando em um servidor baseado em um nome de host DNS round-robin - "login.example.com" poderia ir para qualquer um dos vários servidores. Idealmente, eu gostaria de poder atualizar meu arquivo known_hosts de tal forma que alcançar qualquer uma das máquinas seja possível sem um aviso / erro, embora eu ache que um fallback seria se houvesse alguma maneira de ter todos os servidores apresentando a mesma impressão digital. / chave do host. Eu vi posts como este mas "escolha um único ip estático para fazer o login "não é realmente uma opção. Eu gostaria de uma solução real , se houver uma.

    

Answer 1

Se você não precisa de uma maneira segura para diferenciar entre máquinas que estão no cluster round-robin, apenas copie a chave de um host para cada uma das máquinas no cluster.

Isso significa que a verificação da chave do host SSH informa com certeza que está no cluster, mas não informa com certeza qual máquina específica do cluster é. Você pode confiar no endereço IP estático (ou na saída de hostname ) como a maneira não segura de diferenciar entre máquinas no cluster.

    

Answer 2

Isso é o que eu achei que funciona ...

1. exclua todas as entradas existentes para o host em ~ / .ssh / known_hosts
2. Obtenha uma lista completa de endereços IP para os quais o host mapeia e, em seguida, digite o endereço IP ...

ssh-keyscan -H -t rsa 10.X.X.X >> ~/.ssh/known_hosts

então você não verá mais um problema ... se você usar o nome do host com

nome do host ssh.

G

    

Answer 3

Não há uma maneira realmente boa de fazer isso, pois o ssh é feito para garantir que não haja risco de spoofing de DNS. Dito isso, você pode usar essa solução alternativa:

ssh $(nslookup login.example.com | grep -v '#' | grep -m1 '^Address:' | cut -d \  -f 2)

Basicamente, isso irá procurar o ip e, em seguida, usar o endereço IP em vez do nome do host, isso deve eliminar os problemas, a menos que os servidores alterem os endereços IP também.