Accès SSH + échange de clefs

Dans une connexion SSH (Secure SHell), il y a un serveur SSH (la machine sur laquelle on se connecte) et un client SSH (la machine depuis laquelle on se connecte). Le fichier de configuration du serveur SSH est le fichier sshd_config dans /etc/ssh. Le fichier de configuration du client SSH est le fichier ssh_config qui est aussi dans /etc/ssh.

Les clefs sont stockées dans le répertoire /home/pi/.ssh, la clef privée est dans le fichier id_rsa et la clef publique dans id_rsa.pub. Le fichier authorized_keys contient les clefs publiques des machines autorisées à se connecter sur la machine par échange de clef.

Après toute manipulation sur l’environnement SSH, il faut le relancer avec la commande sudo service ssh reload pour prendre en compte les modifications.

Pour créer une paire de clefs (publique/privée) il faut lancer la commande : ssh-keygen -t rsa

on obtient cette réponse, en répondant simplement « Enter » aux 3 questions posées :

Lua

Generating public/private rsa key pair. Enter file in which to save the key (/home/pi/.ssh/id_rsa): Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /home/pi/.ssh/id_rsa. Your public key has been saved in /home/pi/.ssh/id_rsa.pub. The key fingerprint is: SHA256:37THsdFGhDQiFMewN2x3YZOS60M2Pdf1qYzGl322IUo pi@Modele The key's randomart image is: +---[RSA 2048]----+ | .=+o.+=o| | =.+o++| | . = = B| | o B B+| | S . B B =| | . E @ Bo| | + = *.+| | . . . | | | +----[SHA256]-----+

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

Generating public/private rsa key pair.
Enter file in which to save the key (/home/pi/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/pi/.ssh/id_rsa.
Your public key has been saved in /home/pi/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:37THsdFGhDQiFMewN2x3YZOS60M2Pdf1qYzGl322IUo pi@Modele
The key's randomart image is:
+---[RSA 2048]----+
| .=+o.+=o|
| =.+o++|
| . = = B|
| o B B+|
| S . B B =|
| . E @ Bo|
| + = *.+|
| . . . |
| |
+----[SHA256]-----+

Ensuite, il faut copier la clef publique sur le serveur sur lequel on souhaite se connecter avec la commande :

ssh-copy-id -p 39278 -i id_rsa.pub pi@Intermediaire

où -p 39278 indique le port à utiliser pour le protocole SSH (si l’on n’utilise pas le port 22)

et pi@Intermediaire indique l’utilisateur et la machine sur laquelle la clef publique doit être installée.

En cas d’erreur et en fonction de l’erreur, il peut être utile de rajouter -f pour forcer la copie de la clef.

Voilà la réponse que l’on obtient si tout est OK (il faut répondre yes puis entrer le mot de passe de l’utilisateur pi) :

Lua

/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "id_rsa.pub" The authenticity of host '[intermediaire]:39278 ([192.168.1.199]:39278)' can't be established. ECDSA key fingerprint is SHA256:5VCv35FrqQtjQUG2NaOCkwgmhj19EKIdJdYmIcPHZmQ. Are you sure you want to continue connecting (yes/no)? yes /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed /usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys pi@intermediaire's password: Number of key(s) added: 1 Now try logging into the machine, with: "ssh -p '39278' 'pi@Intermediaire'" and check to make sure that only the key(s) you wanted were added.

1
2
3
4
5
6
7
8
9
10
11
12

/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "id_rsa.pub"
The authenticity of host '[intermediaire]:39278 ([192.168.1.199]:39278)' can't be established.
ECDSA key fingerprint is SHA256:5VCv35FrqQtjQUG2NaOCkwgmhj19EKIdJdYmIcPHZmQ.
Are you sure you want to continue connecting (yes/no)? yes
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
pi@intermediaire's password:

Number of key(s) added: 1

Now try logging into the machine, with: "ssh -p '39278' 'pi@Intermediaire'"
and check to make sure that only the key(s) you wanted were added.

Paramètres du fichier sshd_config pour une connexion avec mot de passe :

Lua

PubkeyAuthentication no ChallengeResponseAuthentication yes PasswordAuthentication yes UsePAM yes

1
2
3
4

PubkeyAuthentication no
ChallengeResponseAuthentication yes
PasswordAuthentication yes
UsePAM yes

Paramètres du fichier ssh_config pour une connexion avec mot de passe :

Lua

# PreferredAuthentications publickey PasswordAuthentication yes

1
2

# PreferredAuthentications publickey
PasswordAuthentication yes

Modifications à apporter sur le fichier sshd_config pour une connexion avec clefs :

Lua

AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2 PubkeyAuthentication yes

1
2

AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2
PubkeyAuthentication yes

Pour créer un tunnel ssh, il faut ajouter le fichier ci-dessous dans /etc/systemd/system/ :

[Unit]
Description=Ouverture d'un tunnel ssh sur le port 22
After=network.target
 
[Service]
User=pi
ExecStart=/usr/bin/autossh -o ServerAliveInterval=60 -NR 2222:localhost:22 user@dnsdistant.com -p 3333
Restart=on-failure
 
[Install]
WantedBy=multi-user.target

[Unit]

Description=Ouverture d'un tunnel ssh sur le port 22

After=network.target

[Service]

User=pi

ExecStart=/usr/bin/autossh -o ServerAliveInterval=60 -NR 2222:localhost:22 user@dnsdistant.com -p 3333

Restart=on-failure

[Install]

WantedBy=multi-user.target

et ajouter ce service au démarrage du système : sudo systemctl --now enable autossh.service

Pour un tunnel ssh utilisé pour un flux https, il faut ajouter le fichier ci-dessous dans /etc/systemd/system/ :

[Unit]
Description=Ouverture d'un tunnel https sur le port 443
After=network.target
 
[Service]
User=pi
ExecStart=/usr/bin/autossh -o ServerAliveInterval=60 -NR 2443:localhost:443 user@dnsdistant.com -p 3333
Restart=on-failure
 
[Install]
WantedBy=multi-user.target

[Unit]

Description=Ouverture d'un tunnel https sur le port 443

After=network.target

[Service]

User=pi

ExecStart=/usr/bin/autossh -o ServerAliveInterval=60 -NR 2443:localhost:443 user@dnsdistant.com -p 3333

Restart=on-failure

[Install]

WantedBy=multi-user.target

et ajouter ce service au démarrage du système : sudo systemctl --now enable autossh_https.service

Pour lancer une connexion ssh vers une machine distante : ssh user@dnsdistant.com -p 3333

-p 3333 indique le port de la machine distante

Infos sur les connexions SSH pour des explications plus détaillées (merci à Cyprien Pouzenc 🙂 )

PiBlog

Accès SSH + échange de clefs

Articles similaires

Laisser un commentaire Annuler la réponse