Como o telnetd-ssl pode ser configurado em um servidor Ubuntu como backup para o SSH?

Question

Um erro que ocorre em /etc/ssh/sshd_config pode, potencialmente, bloquear usuários ou administradores de um servidor acessível somente via SSH. O Telnet SSL é uma maneira de backup de acessar o servidor em tal cenário. Como um servidor SSL Telnet pode ser configurado em um servidor Ubuntu?

O Telnet SSL é instalado da seguinte maneira:

sudo apt install telnetd-ssl

Quando instalado, cria o certificado /etc/telnetd-ssl/telnetd.pem . Quando o cliente Telnet SSL tenta se conectar ao servidor SSL do Telnet, ele não aceita o certificado, resultando na saída do cliente da seguinte forma:

$ telnet-ssl -z secure example.org 23
Trying 127.0.0.1...
Connected to example.org.
Escape character is '^]'.
[SSL - attempting to switch on SSL]
[SSL - handshake starting]
SSL: Server has a self-signed certificate
SSL: unknown issuer: /O=Internet Widgits Pty Ltd/OU=m93p telnetd/CN=example./emailAddress=root@example.
SSL: certificate verify failed
telnet: Unable to ssl_connect to remote host
Connection closed.

Como isso pode ser resolvido?

    

Answer 1

Telnet SSL server, it does not accept the certificate, resulting in client output like the following:

$ telnet-ssl -z secure example.org 23
...
SSL: Server has a self-signed certificate
SSL: unknown issuer: /O=Internet Widgits Pty Ltd/OU=m93p telnetd/CN=example./emailAddress=root@example.
SSL: certificate verify failed

De acordo com as telnet-ssl(1) man pages , parece que você precisa de uma opção -z cert=<cert file> .

-z cert=<cert file> é necessário porque o Emissor (Subject DN = /O=Internet Widgits Pty Ltd/OU=m93p telnetd/CN=example./emailAddress=root@example ) não é confiável para o sistema. Ou seja, o certificado não reside em /etc/ssl/certs/ .

Outra opção pode ser adicionar o certificado a /etc/ssl/certs/ . Para o Debian e Ubuntu você apenas copiou o novo certificado no formato PEM para o diretório /etc/ssl/certs/ . O novo certificado residirá lado a lado com os outros 450 certificados.

Para o Fedora, você precisa anexar o novo certificado ao arquivo /etc/ssl/certs/ca-bundle.crt . ca-bundle.crt é realmente um link para /etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem . tls-ca-bundle.pem é apenas uma concatenação dos arquivos PEM em um único arquivo.

O Fedora também tem um /etc/pki/ca-trust/extracted/openssl/ca-bundle.trust.crt , mas eu não acredito que você usaria porque ca-bundle.trust.crt é para CA's, e o certificado de entidade final auto-assinado deve não ter CA=TRUE em restrições básicas.

Vale a pena mencionar que nunca usei telnet-ssl , por isso não posso fornecer uma resposta completa com base na experiência. Você provavelmente encontrará problemas adicionais quando ultrapassar "confiar neste certificado SSL". Por exemplo, parece que o Telnet sobre TLS usa a porta 992, não 23.