ssh warning: nenhum comando hostip for proxy

Question

Estou tentando enviar ssh para um host remoto:

ssh host.example.com

Eu recebo o seguinte:

The authenticity of host 'host.example.com (<no hostip for proxy command>)' can't be established.
RSA key fingerprint is 62:db:31:0b:ce:e3:7b:a1:c7:0f:46:d1:7d:e5:48:10.
Are you sure you want to continue connecting (yes/no)? no 
Host key verification failed.

Estou usando uma configuração ssh em ~/.ssh/config :

Host host.example.com
User deployuser
HostName host.example.com
IdentityFile ~/.ssh/deployuser_key

O host está listado em /etc/ssh/ssh_known_hosts e as correspondências da impressão digital. Não há entrada em ~/.ssh/known_hosts .

Se eu aceitar a chave, ela será adicionada a ~/.ssh/known_hosts . Não tenho certeza do que o no hostip for proxy command indica e gostaria de entender o que está causando o problema.

Quando executo o comando ssh com -vvv , vejo que o ssh está verificando /var/lib/sss/pubconf/known_hosts e não /etc/ssh/ssh_known_hosts - o que, acredito, explica o comportamento inesperado (se não a mensagem de aviso). Depois de adicionar a chave do host a /var/lib/sss/pubconf/known_hosts (via FreeIPA), a conexão prosseguiu sem avisos ou prompts.

    

Answer 1

I am not sure what the no hostip for proxy command indicates and I would like to understand what is causing the problem.

Quando você se conecta a um servidor SSH sem um proxy, o endereço IP do servidor é salvo e armazenado em seu arquivo de hosts conhecidos. Quando você está usando um proxy, o cliente nunca obtém o IP remoto. A versão não hashada da entrada known_hosts pode ser assim para um cliente que não usa um proxy.

srv-01,10.99.4.29 ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIOMOZnp2wcVBSp8ddLuXFrpD8YJGOQ8MzPihHr09qkGS

Não é um "erro" e quase não é um aviso útil. Você pode com segurança apenas ignorá-lo.

Acredito que você pode suprimir o 'aviso' definindo a opção CheckHostIP no além de ProxyCommand . Esta opção basicamente diz ao ssh para pular o armazenamento / verificação do IP do controle remoto.

De que me disseram que essa opção realmente não tem nenhum impacto na segurança.

    

Answer 2

Adicionar essas opções ao ProxyCommand me ajudou: -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null