Benjaminfras: Die Seite wurde neu angelegt: „SSH mit Passwortauthentifizierung gilt als äußerst bedenklich, vor allem wenn dieses global aus dem Internet erreichbar ist. Der unterdessen nicht mehr ganz akt…“

2013-02-18T21:52:32Z

Die Seite wurde neu angelegt: „SSH mit Passwortauthentifizierung gilt als äußerst bedenklich, vor allem wenn dieses global aus dem Internet erreichbar ist. Der unterdessen nicht mehr ganz akt…“

Neue Seite

SSH mit Passwortauthentifizierung gilt als äußerst bedenklich, vor allem wenn dieses global aus dem Internet erreichbar ist. Der unterdessen nicht mehr ganz aktuelle ESXi 4.1 kann jedoch mit wenigen Handgriffen auch mit Keyfile konfiguriert werden. Wie das geht, erfahrt ihr hier in diesem Artikel.

= Vorbereitungen =

Ich gehe davon aus, dass ihr mit bereits einen SSH-Key erzeugt habt. Falls nicht, könnt ihr das unter Ubuntu mit folgendem Befehl nachholen:

$ ssh-keygen -t rsa

Anschließend könnt ihr den Key auf den entfernten Server übertragen:

$ ssh-copy-id -i ~/.ssh/id_rsa.pub ''root@xxx.xxx.xxx.xxx''

Die Anmeldung via Key-File könnt ihr so überprüfen:

$ ssh ''root@xxx.xxx.xxx.xxx'' -i ~/.ssh/id_rsa

= ESXi 4.1 =

Um einen Sicherheitsgewinn zu bekommen, müssen wir aber die Passwortauthentifizierung deaktivieren. Das muss direkt über SSH oder Console am Hypervisor vorgenommen werden.

== inetd.conf ==

Um die Passwortauthentifizierung zu deaktivieren müssen wir '''-s''' in der /etc/inetd.conf ergänzen, sodass die Zeile wie folgt aussieht:

<pre>
# Internet server configuration database

# Remote shell access

ssh stream tcp nowait root /sbin/dropbearmulti dropbear ++min=0,swap,group=shell -i -s -K60
</pre>

Damit die Änderung übernommen wird muss ''inetd'' gekillt und neugestartet werden:

<pre>
$ ps aux | grep inetd

16091017 16091017 busybox inetd

$ kill 16091017

$ inetd
</pre>

== bootbank ==

Damit das authorized_keys nicht nach dem Neustart verloren geht, muss ein kleines tar-Paket gebaut werden, welches nach dem Reboot wieder an der richtigen Stelle entpackt wird:

$ tar -C / -czf "/bootbank/home.tgz" /.ssh

Anschließend das File /bootbank/boot.cfg bearbeiten und "--- home.tgz" am Ende hinzufügen:

<pre>
cat /bootbank/boot.cfg
kernel=b.z
kernelopt=
modules=k.z --- s.z --- c.z --- oem.tgz --- license.tgz --- m.z --- state.tgz ---home.tgz
build=4.1.0-800380
updated=7
bootstate=0
</pre>

= Quellen =

http://plone.lucidsolutions.co.nz/linux/vmware/esxi/enabling-ssh-with-public-key-authentication-on-vmware-esxi-4

SSH Key Authentication only ESXi 4.1 - Versionsgeschichte

Benjaminfras: Die Seite wurde neu angelegt: „SSH mit Passwortauthentifizierung gilt als äußerst bedenklich, vor allem wenn dieses global aus dem Internet erreichbar ist. Der unterdessen nicht mehr ganz akt…“