SSH

SSH est un protocole permettant d'obtenir un accès Shell sur une machine distante en toute sécurité. Il permet, via SCP, de transférer des fichiers entre diverses machines.

Nous allons voir ici quelques options intéressantes.

Clé publique

Il est possible de se connecter en SSH à une machine sans avoir à taper son mot de passe !

C'est parfois la seule manière, par exemple dans le cas des machines visibles à l'extérieur, depuis l'extérieur de l'X.

Création de la clé

En local, sur une machine où l'on est le seul administrateur (machine perso) :

ssh-keygen

Laisser la valeur par défaut pour le nom du fichier (~/.ssh/id_rsa) et taper une passphrase (longue et complexe). Ceci va générer en local un couple clé privée / clé publique, chiffrée en RSA. Au BR, on te conseille d'utiliser une clef RSA 4096 bits, tu peux aussi y ajouter un commentaire :

ssh-keygen -t rsa -b 4096 -C "<comment>"

Export vers les autres machines

Il faut ensuite envoyer le fichier contenant la clé publique (~/.ssh/id_rsa.pub) sur les machines auxquelles on veut se connecter :

Avec ssh-copy-id

ssh-copy-id login_distant@machine_distante

Manuellement

Sur les mac, par exemple, ssh-copy-id n'est pas disponible. Il faut donc rajouter manuellement la clé publique à liste des clés autorisées sur la machine distante en copiant le contenu de ~/.ssh/id_rsa.pub (en local) dans .ssh/authorized_keys (sur la machine distante) :

• sur la machine locale :

scp ~/.ssh/id_rsa.pub login_distant@machine_distante:~

• sur la machine distante :

cat ~/id_rsa.pub >> ~/.ssh/authorized_keys

ssh-agent

Il s'agit d'un programme qui vient faciliter l'utilisation des clés privées : en le lançant au début de ta session graphique, il suffit de taper dans un shell

ssh-add

pour qu'il demande la passphrase de la clé privée, puis la charger en mémoire : plus besoin de taper cette passphrase lors d'un SSH ! Tu peux indiquer par l'option -A dans ton ssh que tu souhaites forwarder l'agent : si tu as exporté ta clé publique sur les machines hostA et hostB, alors en faisant

ssh -A hostA

puis, sur hostA

ssh hostB

le second ssh utilisera le ssh-agent qui tourne localement sur ton ordinateur pour récupérer la clé privée et s'authentifier auprès de hostB. Il devient alors intéressant d'utiliser l'option ForwardAgent (cf plus bas) pour pouvoir se balader librement entre les différentes machines.

Connection

Pour se connecter, on tape

ssh login_distant@machine_distante

Si on a lancé le ssh-agent avant (ssh-add), le client ssh va demander la passphrase de la clé, puis établir la connexion.

Fonctionnement

Lors d'un SSH par clé privée / clé publique

1. le serveur ssh va indiquer au client "j'accepte les clés publiques suivantes" en lisant le fichier authorized_keys
2. mon client va voir qu'il a la clé privée correspondant
3. mon client me demander ma passphrase
4. si la passphrase est bonn, mon client va établir le ssh sans me demander mon mot de passe user

Mémorisation de configuration SSH

Il est possible de configurer SSH pour ne pas avoir à préciser le login ou le nom complet de la machine.

Il faut éditer le fichier .ssh/config :

Host alias
  Hostname nom.complet.de.la.machine
  User login_distant

Proxy

On peut également y rajouter les options relatives au Proxy :

ProxyCommand socat - PROXY:kuzh.polytechnique.fr:%h:%p,proxyport=8080

ou

ProxyCommand connect -H kuzh.polytechnique.fr:8080 %h %p

ou celles relatives au transfert d'agent ssh :

ForwardAgent yes

Ainsi,

ssh alias

sera traduit automatiquement en

ssh -A -o ProxyCommand="socat - PROXY:kuzh.polytechnique.fr:%h:%p,proxyport=8080" login_distant@nom.complet.de.la.machine

ou

ssh -A -o ProxyCommand="connect -H kuzh.polytechnique.fr:8080 %h %p" login_distant@nom.complet.de.la.machine

Passer par un hôte intermédiaire

On a parfois besoin de se logger en SSH de A sur B pour ensuite se logger de B sur C. Pour automatiser ça, il suffit de mettre ces lignes dans ~/.ssh/config

Host C
    ProxyCommand ssh login@B -W %h:%p