# sshd i klucze

## msch

Zachcialo mi sie utworzyc sobie klucze do swojego serwera, zrobilem to wg tego: http://jakilinux.org/aplikacje/sztuczki-z-ssh/

jednak przy ssh'owaniu sie na serwer dalej chce ode mnie haslo :/

plik sshd_config wyglada tak:

```

#Port 22

Protocol 2

#AddressFamily any

#ListenAddress 0.0.0.0

#ListenAddress ::

# HostKey for protocol version 1

HostKey /etc/ssh/ssh_host_key

# HostKeys for protocol version 2

HostKey /etc/ssh/ssh_host_rsa_key

HostKey /etc/ssh/ssh_host_dsa_key

# Lifetime and size of ephemeral version 1 server key

#KeyRegenerationInterval 1h

#ServerKeyBits 768

# Logging

# obsoletes QuietMode and FascistLogging

#SyslogFacility AUTH

#LogLevel INFO

# Authentication:

#LoginGraceTime 2m

PermitRootLogin no

#StrictModes yes

#MaxAuthTries 6

RSAAuthentication yes

PubkeyAuthentication yes

AuthorizedKeysFile      .ssh/authorized_keys

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts

#RhostsRSAAuthentication no

# similar for protocol version 2

#HostbasedAuthentication no

# Change to yes if you don't trust ~/.ssh/known_hosts for

# RhostsRSAAuthentication and HostbasedAuthentication

#IgnoreUserKnownHosts no

# Don't read the user's ~/.rhosts and ~/.shosts files

#IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!

PasswordAuthentication no

#PermitEmptyPasswords no

# Change to no to disable s/key passwords

#ChallengeResponseAuthentication yes

# Kerberos options

#KerberosAuthentication no

#KerberosOrLocalPasswd yes

#KerberosTicketCleanup yes

#KerberosGetAFSToken no

# GSSAPI options

#GSSAPIAuthentication no

#GSSAPICleanupCredentials yes

# Set this to 'yes' to enable PAM authentication, account processing,

# and session processing. If this is enabled, PAM authentication will

# be allowed through the ChallengeResponseAuthentication and

# PasswordAuthentication.  Depending on your PAM configuration,

# PAM authentication via ChallengeResponseAuthentication may bypass

# the setting of "PermitRootLogin without-password".

# If you just want the PAM account and session checks to run without

# PAM authentication, then enable this but set PasswordAuthentication

# and ChallengeResponseAuthentication to 'no'.

UsePAM yes

#AllowTcpForwarding yes

#GatewayPorts no

#X11Forwarding no

#X11DisplayOffset 10

#X11UseLocalhost yes

#PrintMotd yes

#PrintLastLog yes

#TCPKeepAlive yes

#UseLogin no

#UsePrivilegeSeparation yes

#PermitUserEnvironment no

#Compression delayed

#ClientAliveInterval 0

#ClientAliveCountMax 3

#UseDNS yes

#PidFile /var/run/sshd.pid

#MaxStartups 10

#PermitTunnel no

# no default banner path

#Banner /some/path

# override default of no subsystems

Subsystem       sftp    /usr/lib/misc/sftp-server

# Example of overriding settings on a per-user basis

#Match User anoncvs

#       X11Forwarding no

#       AllowTcpForwarding no

#       ForceCommand cvs server

```

oprocz rozwiazania problemu bardzo bym prosil o jakies uwagi dotyczace konfiguracji tego daemona.

----------

## lsdudi

config wygląda w porządku 

sprawdź czy się nie walnąłeś podczas tworzenia ~/.ssh/authorized_keys

(btw) RSAAuthentication yes #to odnosi się do ssh v1

ogólnie polecam poczytać man sshd_config 

i jeszcze jedno warto jest zmienic port 22 na inny (boty dosyć intensywnie go sprawdzają)

Edit by Poe

ort 

----------

## kicior

Ja polecam programik ssh-installkeys - odpada możliwość pomylenia się przy zabawie z kluczami.

----------

## msch

raczej sie nie walnalem, bo na innym serwerze (nie mam dostepu do konfiguracji sshd, nawet -r mam  :Sad:  ) zrobilem identyczne kroki i dziala

edit

a moze ma znaczenie, ze home mam niestandardowy? tzn nie /home/user tylko /var/www/costam?

edit2

ssh-install zrobil co trzeba  :Wink:  prawdopodobnie cos w rwx sie pomylilem... no dobra, to co - ma ktos jeszcze jakies uwagi co do konfigu? portu celowo nie zmienialem - dla wygody.

----------

## psycepa

swojej czy atakujacego ?  :Twisted Evil: 

----------

## msch

 *psycepa wrote:*   

> swojej czy atakujacego ? 

 

e?

----------

## psycepa

czyjej wygody? swojej czy atakującego?

----------

## kicior

Mój konfig jest poniżej - wszystko działa tak jak trzeba:

```
Port 774

Protocol 2

SyslogFacility AUTH

LogLevel INFO

PermitRootLogin no

StrictModes yes

LoginGraceTime 30

MaxAuthTries 5

MaxStartups 3:80:5

IgnoreRhosts yes

PasswordAuthentication yes

UsePAM yes

AllowTcpForwarding yes

X11Forwarding yes

PrintMotd yes

PrintLastLog yes

TCPKeepAlive yes

Subsystem       sftp    /usr/lib64/misc/sftp-server

AllowUsers leszeks

Ciphers aes256-cbc,aes256-ctr
```

----------

## quosek

co od portu 22, to mialem pare tysiecy polaczen dziennie - prawie, ze caly czas ktos probowal slownikowo dobic sie do kompa

jednak dla wygody (mojej) zostawilem port 22, ale :

- ograniczylem dostep do ssh tylko dla kompow z domeny .pl

- dodalem na sztywno pare adresow IP, z ktorych zawsze moge sie wbijac (nawet jak reverse dns nie dziala)

ogolnie dziala super, nie mam praktycznie zadnych prob wbic (1-2 miesiecznie). fakt - jakbym gdzies wyjechal za granice (ew. byl w sieci bez skonifgurowanego poprawnie reverse dns) to bym nie mogl sie wbic ...

----------

## ender74

 *quosek wrote:*   

> co od portu 22, to mialem pare tysiecy polaczen dziennie - prawie, ze caly czas ktos probowal slownikowo dobic sie do kompa
> 
> jednak dla wygody (mojej) zostawilem port 22, ale :
> 
> - ograniczylem dostep do ssh tylko dla kompow z domeny .pl

 

Nie lepiej było wykorzystać moduł ipt_recent?

----------

## _stach_

 *msch wrote:*   

> 
> 
> jednak przy ssh'owaniu sie na serwer dalej chce ode mnie haslo :/
> 
> 

 

Mało kto o tym pamięta http://www.openssh.org/faq.html#3.14

 *Quote:*   

> 3.14 - I copied my public key to authorized_keys but public-key authentication still doesn't work.
> 
> Typically this is caused by the file permissions on $HOME, $HOME/.ssh or $HOME/.ssh/authorized_keys being more permissive than sshd allows by default.
> 
> In this case, it can be solved by executing the following on the server.
> ...

 

----------

## Piecia

Poza tym opcja UsePAM yes nadpisuje ustawienia z kluczami. Musisz ją zahaszować.

----------

