Qual método de autenticação SSH você está usando? Você está digitando sua senha ou tentando usar a autenticação baseada em tíquete Kerberos (gssapi-com-mic ou gssapi-keyex)?
A mensagem "decodificar a verificação de integridade falhou" pode vir de duas fontes. Se você der a senha errada (sua senha não corresponde às chaves do seu principal no KDC), você conseguirá isso. Você também pode obtê-lo se a sua senha estiver correta, mas a tecla no servidor está desatualizada; isso aconteceria com autenticação de ticket e senha (porque com uma senha, o servidor obtém um ticket para seu próprio host depois de fazer kinit, para autenticar o KDC).
Sounds like removing the ’/etc/krb5.keytab’ file from SRV and CLT and then recreating them will solve the problem.
O keytab no cliente é irrelevante; não faz parte desse cenário. O provável problema aqui é que o keytab no servidor está fora de sincronia com o KDC (o servidor de autenticação Kerberos, ou "Key Distribution Center", que faz parte do FreeIPA). Com o Kerberos, todas as identidades (ou "principais") do sistema possuem chaves que compartilham com o KDC. As chaves de um usuário são geradas a partir de sua senha. As chaves para um serviço de software como o sshd são geradas aleatoriamente e armazenadas em um arquivo chamado keytab (para "tabela de chaves") para que o serviço possa acessá-las. Parece que as chaves do principal SSH foram alteradas no KDC, mas o keytab não foi atualizado para corresponder. Seu nome principal é do formato user @ REALM. O nome principal para o serviço SSH é do host de formulário / hostname @REALM. Experimente:
$ ipa-getkeytab -s <FreeIPA server> -p host/<hostname>@REALM -k <keytab file>.
... para extrair as chaves atuais para o principal de serviço SSH em um novo keytab. Você pode usar klist -ek <keytab> para visualizar o conteúdo dos antigos e novos keytabs. Se você tiver uma incompatibilidade de chave, ela deve aparecer como as chaves para o mesmo principal com números de versão de chave diferentes (ou “kvno”). Você pode ver algo como:
# look at the system keytab
$ sudo klist -ek
KVNO Principal
---- --------------------------------------------------------------------------
1 host/[email protected] (AES-256 CTS mode with 96-bit SHA-1 HMAC)
# look at the new keytab
$ klist -ek <new keytab>
KVNO Principal
---- --------------------------------------------------------------------------
2 host/[email protected] (AES-256 CTS mode with 96-bit SHA-1 HMAC)