The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Интерактивная система просмотра системных руководств (man-ов)

 ТемаНаборКатегория 
 
 [Cписок руководств | Печать]

ssh (2)
  • ssh (1) ( Solaris man: Команды и прикладные программы пользовательского уровня )
  • ssh (1) ( FreeBSD man: Команды и прикладные программы пользовательского уровня )
  • ssh (1) ( Русские man: Команды и прикладные программы пользовательского уровня )
  • ssh (1) ( Linux man: Команды и прикладные программы пользовательского уровня )
  • >> ssh (2) ( Русские man: Системные вызовы )
  • Ключ ssh обнаружен в базе ключевых слов.
  • 
    [-I pkcs11] [-i identity_file] [-J destination] [-L address] [-l login_name] [-m mac_spec] [-O ctl_cmd] [-o option] [-p port] [-Q query_option]
    [-R address] [-S ctl_path] [-W host:port] [-w local_tun[:remote_tun]] destination [command]
    
    DESCRIPTION
    ssh (SSH client) это программа для входа в удаленную машину и для выполнения команд на удаленном компьютере. Она предназначена для обеспечения
    защищенной зашифрованной связи между двумя ненадежными узлами по небезопасной сети. Соединения X11, произвольные TCP-порты и сокеты UNIX-домена
    также могут быть перенаправлены по защищенному каналу.
    ssh подключается и записывается в указанный адрес назначения, который может быть указан как [user@]hostname или же URI формы
    ssh:// [user@]hostname[:port].Пользователь должен подтвердить свою личность на удаленном компьютере, используя один из нескольких методов
    (см. Ниже). Если задана команда, она выполняется на удаленном хосте вместо оболочки входа.
    Возможные варианты::
    
    -4
        Заставляет ssh использовать только адреса IPv4.
    -6
        Заставляет ssh использовать только адреса IPv6.
    -A
        Включает пересылку соединения агента аутентификации. Это также можно указать для каждого узла в файле конфигурации.
        Переадресацию агента следует активировать с осторожностью. Пользователи с возможностью обойти права доступа к файлу на удаленном хосте (для
        сокета UNIX-домена агента) могут получить доступ к локальному агенту через перенаправленное соединение. Злоумышленник не может получить
        ключевой материал от агента, однако он может выполнять операции над ключами, которые позволяют им аутентифицироваться, используя
        идентификаторы, загруженные в агент.
    -a
        Отключает пересылку соединения агента аутентификации.
    -b bind_address
        Испольет bind_address на локальном компьютере в качестве исходного адреса соединения. Полезен только для систем с более чем одним адресом.
    -C
        Запросит сжатие всех данных (включая stdin, stdout, stderr и данные для переадресованных соединений X11, TCP и UNIX). Алгоритм сжатия тот же,
        что и в gzip (1). Сжатие желательно на модемных линиях и других медленных соединениях, но только замедляет работу в быстрых сетях. Значение по
        умолчанию может быть установлено на основе хоста по ходу в файлах конфигурации; см. параметр Сжатие.
    -c cipher_spec
        Выбирает спецификацию шифрования для шифрования сеанса. cipher_spec представляет собой список шифров, разделенных запятыми, перечисленных в
        порядке предпочтения. Для получения дополнительной информации см. Ключевое слово Ciphers в ssh_config (5).
    -D [bind_address:]port
        Задает локальную динамическую перенаправление портов на уровне приложения. Это работает путем выделения сокета для прослушивания порта на
        локальной стороне, необязательно связанного с указанным bind_address. Всякий раз, когда происходит соединение с этим портом, соединение
        пересылается по защищенному каналу, а затем протокол приложения используется для определения, где подключиться к удаленному компьютеру. В
        настоящее время поддерживаются протоколы SOCKS4 и SOCKS5, а ssh будет действовать как сервер SOCKS. Только root может перенаправлять
        привилегированные порты. Динамические переадресации портов также могут быть указаны в файле конфигурации.
        Адреса IPv6 могут быть указаны путем помещения адреса в квадратные скобки. Только суперпользователь может пересылать привилегированные порты.
        По умолчанию локальный порт привязан в соответствии с настройкой GatewayPorts. Однако для привязки соединения к определенному адресу может
        использоваться явный bind_address. Ссылка bind_address localhost указывает, что порт прослушивания должен быть привязан только для
        локального использования, а пустой адрес или * означает, что порт должен быть доступен со всех интерфейсов.
    -E log_file
        Добавить отладочные журналы в log_file вместо стандартной ошибки.
    -e escape_char
        Устанавливает escape-символ для сеансов с pty (по умолчанию: '~'). Эквивалентный символ распознается только в начале строки. Символ escape, за
        которым следует точка ('.'), Закрывает соединение; а затем control-Z приостанавливает соединение; и после этого сам отправляет escape-символ
        один раз. Установка символа в none отключает любые экраны и делает сеанс полностью прозрачным.
    -F configfile
        Указывает альтернативный файл конфигурации для каждого пользователя. Если в командной строке указан конфигурационный файл, системный файл
        конфигурации (/ etc / ssh / ssh_config) будет проигнорирован. По умолчанию для конфигурационного файла для каждого пользователя
    
    -i identity_file
        Выбирает файл, из которого считывается идентификатор (закрытый ключ) для проверки подлинности с открытым ключом. По умолчанию используется
        ~ / .ssh / id_dsa, ~ / .ssh / id_ecdsa, ~ / .ssh / id_ed25519 и ~ / .ssh / id_rsa. Файлы идентификаторов также могут быть указаны для каждого
        узла в файле конфигурации. Возможно иметь несколько опций -i (и несколько идентификаторов, указанных в файлах конфигурации). Если сертификаты
        явно не указаны директивой CertificateFile, ssh также попытается загрузить информацию сертификата из файла, полученного путем добавления
        -cert.pub к идентификационным файлам имен.
    -J destination
        Подключитесь к целевому хосту, сначала сделав ssh-соединение с узлом перехода, описанным в пункте назначения, и затем установите TCP-пересылку
        в конечный пункт назначения оттуда. Можно указать несколько прыжковых прыжков, разделенных запятыми. Это ярлык для указания директивы
        конфигурации ProxyJump.
    -K
        Включает проверку подлинности GSSAPI и пересылку (делегирование) учетных данных GSSAPI на сервер.
    -k
        Отключает отправку (делегирование) учетных данных GSSAPI на сервер.
    -L [bind_address:]port:host:hostport
         
    -L [bind_address:]port:remote_socket
         
    -L local_socket:host:hostport
         
    -L local_socket:remote_socket
        Указывает, что соединения с данным портом TCP или Unix на локальном (клиентском) хосте должны быть перенаправлены на данный хост и порт или на
        Unix-сокет на удаленную сторону. Это работает путем выделения сокета для прослушивания TCP-порта на локальной стороне, необязательно связанного
        с указанным bind_address или с Unix-сокетом. Всякий раз, когда происходит соединение с локальным портом или сокетом, соединение пересылается по
        защищенному каналу, и соединение выполняется с хостом порта хоста или с разъемом Unix remote_socket с удаленной машины.
        Перенаправления портов также могут быть указаны в файле конфигурации. Только суперпользователь может пересылать привилегированные порты. Адреса
        IPv6 могут быть указаны путем помещения адреса в квадратные скобки.
        По умолчанию локальный порт привязан в соответствии с настройкой GatewayPorts. Однако для привязки соединения к определенному адресу может
        использоваться явный bind_address. Ссылка bind_address localhost указывает, что порт прослушивания должен быть привязан только для локального
        использования, а пустой адрес или * означает, что порт должен быть доступен со всех интерфейсов.
    -l login_name
        Задает пользователя для входа в систему, как на удаленном компьютере. Это также может быть указано для каждого узла в файле конфигурации.
    -M
        Помещает клиент ssh в режим мастер для совместного использования соединений. Множественные опции -M помещают ssh в главный режим с
        подтверждением, которое требуется, прежде чем подчиненные соединения будут приняты. Подробнее см. Описание ControlMaster в ssh_config (5).
    -m mac_spec
        Список разделенных запятыми алгоритмов MAC (код аутентификации сообщений), указанных в порядке предпочтения. Для получения дополнительной
        информации см. Ключевое слово MAC.
    -N
        Не выполняйте удаленную команду. Это полезно только для пересылки портов.
    -n
        Переадресовывает stdin из / dev / null (фактически, предотвращает чтение из stdin). Это необходимо использовать, когда ssh запускается в
        фоновом режиме. Общим трюком является использование этого для запуска программ X11 на удаленной машине. Например, ssh -n shadows.cs.hut.fi
        emacs & запустит emacs на shadows.cs.hut.fi, а соединение X11 будет автоматически перенаправлено по зашифрованному каналу. Программа ssh будет
        помещена в фоновом режиме. (Это не работает, если ssh необходимо запросить пароль или кодовую фразу, см. Также опцию -f.)
    -O ctl_cmd
        Управление основным процессом мультиплексирования соединения. Когда задана опция -O, аргумент ctl_cmd интерпретируется и передается
        мастер-процессу. Допустимые команды: проверить (проверьте, что мастер-процесс запущен), переслать (запросить пересылку без выполнения
        команды), отменить (отменить пересылку), выйти (попросить мастера выйти) и остановить "(Попросите мастера перестать принимать дальнейшие
        запросы мультиплексирования).
    -o option
        Может использоваться для предоставления опций в формате, используемом в файле конфигурации. Это полезно для указания параметров, для которых
        CanonicalizeHostname
             
        CanonicalizeMaxDots
             
        CanonicalizePermittedCNAMEs
             
        CertificateFile
             
        ChallengeResponseAuthentication
             
        CheckHostIP
             
        Ciphers
             
        ClearAllForwardings
             
        Compression
             
        ConnectionAttempts
             
        ConnectTimeout
             
        ControlMaster
             
        ControlPath
             
        ControlPersist
             
        DynamicForward
             
        EscapeChar
             
        ExitOnForwardFailure
             
        FingerprintHash
             
        ForwardAgent
             
        ForwardX11
             
        ForwardX11Timeout
             
        ForwardX11Trusted
             
        GatewayPorts
             
        GlobalKnownHostsFile
             
        GSSAPIAuthentication
             
        GSSAPIDelegateCredentials
             
        IdentitiesOnly
             
        IdentityAgent
             
        IdentityFile
             
        Include
             
        IPQoS
             
        KbdInteractiveAuthentication
             
        KbdInteractiveDevices
             
        KexAlgorithms
             
        LocalCommand
             
        LocalForward
             
        LogLevel
             
        MACs
             
        Match
             
        NoHostAuthenticationForLocalhost
             
        NumberOfPasswordPrompts
             
        PasswordAuthentication
             
        PermitLocalCommand
             
        PKCS11Provider
             
        Port
             
        PreferredAuthentications
             
        ProxyCommand
             
        ProxyJump
             
        ProxyUseFdpass
             
        PubkeyAcceptedKeyTypes
             
        PubkeyAuthentication
             
        RekeyLimit
             
        StreamLocalBindUnlink
             
        StrictHostKeyChecking
             
        TCPKeepAlive
             
        Tunnel
             
        TunnelDevice
             
        UpdateHostKeys
             
        UsePrivilegedPort
             
        User
             
        UserKnownHostsFile
             
        VerifyHostKeyDNS
             
        VisualHostKey
             
        XAuthLocation
             
    
    -p port
        Порт для подключения к удаленному хосту. Это можно указать для каждого узла в файле конфигурации.
    -Q query_option
        Запросы ssh для алгоритмов, поддерживаемых для указанной версии 2. Доступными функциями являются: шифр (поддерживаемые симметричные шифры),
        шифр-auth (поддерживаемые симметричные шифры, которые поддерживают аутентифицированное шифрование), mac (поддерживаемые коды целостности
        сообщений), kex (алгоритмы обмена ключами ), ключ (типы ключей), ключ-cert (типы ключей сертификатов), key-plain (типы ключей без сертификата)
        и версия протокола (поддерживаемые версии протокола SSH).
    -q
        Тихий режим. Вызывает подавление большинства предупреждающих и диагностических сообщений.
    -R [bind_address:]port:host:hostport
         
    -R [bind_address:]port:local_socket
         
    -R remote_socket:host:hostport
         
    -R remote_socket:local_socket
         
    -R [bind_address:]port
        Указывает, что соединения с данным TCP-портом или сокет Unix на удаленном (серверном) хосте должны быть перенаправлены на локальную сторону.
        Это работает, выделяя сокет для прослушивания либо TCP-порта, либо разъема Unix на удаленной стороне. Всякий раз, когда происходит соединение
        с этим портом или сокет Unix, соединение пересылается по защищенному каналу, а соединение выполняется с локального компьютера на явный адрес
        назначения, указанный хостом порта хоста, или local_socket или, если нет явного адресата был указан, ssh будет выступать в качестве
        прокси-сервера SOCKS 4/5 и перенаправлять соединения к получателям, запрошенным удаленным клиентом SOCKS.
        Перенаправления портов также могут быть указаны в файле конфигурации. Привилегированные порты могут быть перенаправлены только при входе в
        систему с правами администратора на удаленном компьютере. Адреса IPv6 могут быть указаны путем помещения адреса в квадратные скобки.
        По умолчанию прослушивающие сокеты TCP на сервере будут привязаны только к интерфейсу loopback. Это можно переопределить, указав bind_address.
        Пустой адрес bind_address или адрес '*' указывает, что удаленный сокет должен прослушивать все интерфейсы. Указание удаленного
        локального tty.
    -V
        Отобразите номер версии и выйдите из нее.
    -v
        Подробный режим. Заставляет ssh печатать отладочные сообщения о его прогрессе. Это полезно при отладке проблем подключения, проверки
        подлинности и конфигурации. Множественные -v опции увеличивают многословие. Максимум равен 3.
    -W host:port
        Просит, чтобы стандартный ввод и вывод на клиенте отправлялся на хост на порту по защищенному каналу. Имплицирует -N, -T, ExitOnForwardFailure
        и ClearAllForwardings, хотя они могут быть переопределены в файле конфигурации или с использованием параметров командной строки -o.
    -w local_tun[:remote_tun]
        Запросы переадресации туннельного устройства с указанными туннельными (4) устройствами между клиентом (local_tun) и сервером (remote_tun).
        Устройства могут быть указаны с помощью числового идентификатора или ключевого слова любое, которое использует следующее доступное туннельное
        устройство. Если remote_tun не указан, по умолчанию используется значение any. См. Также директивы Tunnel и TunnelDevice в ssh_config (5).
        Если директива Tunnel не установлена, устанавливается режим туннеля по умолчанию, который является точка-точка.
    -X
        Включает переадресацию X11. Это также можно указать для каждого узла в файле конфигурации. Пересылку X11 следует активировать с осторожностью.
        Пользователи, имеющие возможность обойти права доступа к файлам на удаленном хосте (для базы данных разрешения X пользователя), могут
        обращаться к локальному дисплею X11 через перенаправленное соединение. Затем злоумышленник может выполнять такие действия, как мониторинг
        нажатия клавиш. По этой причине пересылка X11 по умолчанию ограничена расширением X11 SECURITY. Для получения дополнительной информации см.
        Опцию ssh -Y и директиву ForwardX11Trusted в ssh_config (5).
    -x
        Отключает пересылку X11.
    -Y
        Включает надежную пересылку X11. Надежные пересылки X11 не подвергаются элементам управления расширения X11 SECURITY.
    -y
        Отправляйте данные журнала с помощью системного модуля syslog (3). По умолчанию эта информация отправляется в stderr.
    
    ssh может дополнительно получать данные конфигурации из конфигурационного файла для каждого пользователя и общесистемного файла конфигурации.
    Формат файла и параметры конфигурации описаны в ssh_config (5).
    
    АУТЕНТИФИКАЦИЯ
    
    Клиент SSSS OpenSSH поддерживает протокол SSH 2.
    Доступными для аутентификации методами являются: аутентификация на основе GSSAPI, аутентификация на основе хоста, аутентификация с открытым ключом,
    аутентификация с запросом и ответ и аутентификация пароля. Методы проверки подлинности проверяются в порядке, указанном выше, хотя
    PreferredAuthentications могут использоваться для изменения порядка по умолчанию.
    Аутентификация на основе хоста работает следующим образом: если машина, с которой пользователь входит в систему, указан в /etc/hosts.equiv или
    /etc/shosts.equiv на удаленном компьютере, а имена пользователей одинаковы с обеих сторон, или если файлы ~ / .rhosts или ~ / .shosts существуют в
    домашнем каталоге пользователя на удаленном компьютере и содержат строку, содержащую имя клиентской машины и имя пользователя на этом компьютере,
    пользователь считается для входа в систему. Кроме того, сервер должен иметь возможность проверить ключ хоста клиента (см. Описание
    / etc / ssh / ssh_known_hosts и ~ / .ssh / known_hosts, ниже), чтобы логин был разрешен. Этот метод проверки подлинности закрывает дыры
    безопасности из-за IP-спуфинга, подмены DNS и спуфинга маршрутизации. [Примечание для администратора: /etc/hosts.equiv, ~ / .rhosts и
    протокол rlogin / rsh в целом, по своей сути небезопасны и должны быть отключены, если требуется безопасность.]
    Аутентификация открытого ключа работает следующим образом: схема основана на криптографии с открытым ключом, используя криптосистемы, где
    шифрование и дешифрование выполняются с использованием отдельных ключей, и невозможно извлечь ключ дешифрования из ключа шифрования. Идея состоит
    в том, что каждый пользователь создает пару открытых / закрытых ключей для целей аутентификации. Сервер знает открытый ключ, и только пользователь
    знает закрытый ключ. ssh автоматически использует протокол аутентификации открытого ключа, используя один из алгоритмов DSA, ECDSA, Ed25519 или
    RSA. Раздел ИСТОРИЯ ssl (8) содержит краткое описание алгоритмов DSA и RSA.
    В файле ~ / .ssh / authorized_keys перечислены открытые ключи, которые разрешены для входа в систему. Когда пользователь входит в систему,
    программа ssh сообщает серверу, какую пару ключей он хотел бы использовать для аутентификации. Клиент доказывает, что у него есть доступ к
    закрытому ключу, и сервер проверяет, разрешен ли соответствующий открытый ключ для учетной записи.
    Сервер может информировать клиента об ошибках, которые препятствовали успешной проверке подлинности открытого ключа после завершения проверки
    Наконец, если другие методы проверки не работают, ssh запрашивает у пользователя пароль. Пароль отправляется на удаленный хост для проверки;
    однако, поскольку все сообщения зашифрованы, пароль не может быть замечен кем-то, кто прослушивает сеть.
    ssh автоматически поддерживает и проверяет базу данных, содержащую идентификацию для всех хостов, с которыми она когда-либо использовалась. Ключи
    хоста хранятся в ~ / .ssh / known_hosts в домашнем каталоге пользователя. Кроме того, файл / etc / ssh / ssh_known_hosts автоматически проверяется
    на наличие известных хостов. Любые новые хосты автоматически добавляются в файл пользователя. Если идентификация хоста изменяется, ssh
    предупреждает об этом и отключает аутентификацию паролей, чтобы предотвратить спуфинг сервера или атаки типа человек-в-середине, которые в
    противном случае могли бы использоваться для обхода шифрования. Параметр StrictHostKeyChecking может использоваться для управления входами в
    машины, чей ключ хоста неизвестен или изменился.
    Когда идентификатор пользователя был принят сервером, сервер либо выполняет указанную команду в неинтерактивном сеансе, либо, если команда не
    указана, регистрируется на компьютере и предоставляет пользователю обычную оболочку в качестве интерактивного сеанса. Вся связь с удаленной
    командой или оболочкой будет автоматически зашифрована.
    Если запрашивается интерактивный сеанс, ssh по умолчанию запрашивает только псевдотерминал (pty) для интерактивных сеансов, когда клиент имеет его.
    Флаги -T и -t могут использоваться для переопределения этого поведения.
    Если псевдотерминал был выделен, пользователь может использовать escape-символы, указанные ниже.
    Если псевдо-терминал не был выделен, сеанс является прозрачным и может использоваться для надежной передачи двоичных данных. В большинстве систем
    установка escape-символа в none также сделает сеанс прозрачным, даже если используется tty.
    Сеанс завершается, когда команда или оболочка удаленной машины завершается, и все соединения X11 и TCP были закрыты.
    
    ESCAPE CHARACTERS
    Когда запрашивается псевдотерминал, ssh поддерживает ряд функций с помощью escape-символа.
    Один символ тильды может быть отправлен как ~~ или, следуя тильде символом, отличным от описанных ниже. Эвакуационный символ всегда должен
    следовать за новой строкой, которая будет интерпретироваться как специальная. Эквивалентный символ может быть изменен в файлах конфигурации с
    помощью директивы конфигурации EscapeChar или в командной строке с параметром -e.
    Поддерживаемые escape-последовательности (в предположении по умолчанию ~):
    
     
         
    ~.
        Отключить.
     
         
    ~^Z
        Фон ssh.
     
         
    ~#
        Перечислите перенаправленные соединения.
     
         
    ~&
        Фон ssh при выходе из системы при ожидании переадресованного соединения / сеансов X11 для завершения.
     
         
    ~?
        Отобразить список escape-символов.
     
         
    ~B
        Отправьте BREAK на удаленную систему (полезно только в том случае, если партнер поддерживает ее).
     
         
    ~C
    ~v
        Увеличьте количество слов (LogLevel), когда ошибки записываются в stderr.
    
    TCP FORWARDING
    
    Пересылка произвольных TCP-соединений по защищенному каналу может быть указана либо в командной строке, либо в файле конфигурации. Одним из
    возможных применений переадресации TCP является безопасное соединение с почтовым сервером; другой идет через брандмауэры.
    В приведенном ниже примере мы рассмотрим шифрование связи между клиентом и сервером IRC, хотя IRC-сервер не поддерживает прямую поддержку
    зашифрованных сообщений. Это работает следующим образом: пользователь подключается к удаленному хосту с помощью ssh, указывая порт, который будет
    использоваться для переадресации соединений на удаленный сервер. После этого можно запустить службу, которая должна быть зашифрована на клиентской
    машине, подключившись к одному и тому же локальному порту, а ssh зашифрует и переадресует соединение.
    Следующий пример туннелирует сеанс IRC с клиентского компьютера 127.0.0.1 (localhost) на удаленный сервер server.example.com:
    
    $ ssh -f -L 1234:localhost:6667 server.example.com sleep 10 
    $ irc -c '#users' -p 1234 pinky 127.0.0.1
    
    Это туннелирует соединение с IRC-сервером server.example.com, соединяющим канал #users, псевдоним pinky, используя порт 1234. Неважно, какой
    порт используется, если он больше 1023 (помните , только root может открывать сокеты в привилегированных портах) и не конфликтует с портами,
    которые уже используются. Соединение перенаправляется на порт 6667 на удаленном сервере, поскольку это стандартный порт для IRC-сервисов.
    Параметры фона -f ssh и удаленная команда sleep 10 указаны для разрешения времени (10 секунд, в примере) для запуска службы, которая должна быть
    туннелирована. Если в течение указанного времени соединения не выполняются, ssh выйдет.
    
    X11 FORWARDING
    Если для переменной ForwardX11 установлено значение да (или см. Описание опций -X, -x и -Y выше), и пользователь использует X11 (задана
    переменная среды DISPLAY), соединение с дисплеем X11 автоматически пересылается на удаленную сторону таким образом, что любые программы X11,
    запущенные из оболочки (или команды), будут проходить через зашифрованный канал, а соединение с реальным X-сервером будет производиться с локальной
    машины. Пользователь не должен вручную устанавливать DISPLAY. Пересылка соединений X11 может быть настроена в командной строке или в файлах
    конфигурации.
    Значение DISPLAY, заданное ssh, будет указывать на серверный компьютер, но с номером дисплея больше нуля. Это нормально и происходит потому, что
    ssh создает на сервере сервер прокси X для пересылки соединений по зашифрованному каналу.
    ssh также автоматически настроит данные Xauthority на сервере. Для этого он будет генерировать произвольный файл cookie авторизации, сохранить его
    в Xauthority на сервере и убедиться, что любые пересылаемые соединения несут этот файл cookie и заменяют его реальным файлом cookie при открытии
    соединения. Настоящий cookie-аутентификатор никогда не отправляется на серверную машину (и никакие файлы cookie не отправляются на равнине).
    Если для параметра ForwardAgent установлено значение да (или см. Описание опций -A и -a выше), и пользователь использует агент проверки
    подлинности, соединение с агентом автоматически перенаправляется на удаленную сторону.
    
    VERIFYING HOST KEYS
    При первом подключении к серверу пользователю предоставляется отпечаток открытого ключа сервера (если параметр StrictHostKeyChecking не отключен).
    Отпечатки пальцев можно определить с помощью ssh-keygen (1):
    
    $ ssh-keygen -l -f /etc/ssh/ssh_host_rsa_key
    
    Если отпечаток уже известен, его можно сопоставить, и ключ можно принять или отклонить. Если доступны только устаревшие (MD5) отпечатки пальцев
    для сервера, опция ssh-keygen (1) -E может использоваться для понижения алгоритма отпечатка пальца для соответствия.
    Из-за трудности сравнения ключей хоста, просто глядя на строки отпечатков пальцев, существует также возможность визуально сравнивать ключи хоста,
    используя случайное искусство. Установив параметр VisualHostKey на да, маленький малый ASCII-рисунок будет отображаться при каждом подключении к
    серверу, независимо от того, является ли сам сеанс интерактивным или нет. Изучая шаблон, созданный известным сервером, пользователь может легко
    узнать, что ключ хоста изменился при отображении совершенно другого шаблона. Однако, поскольку эти шаблоны не однозначны, шаблон, который похож на
    запомненный шаблон, дает хорошую вероятность, что ключ хоста является одним и тем же, а не гарантированным доказательством.
    Чтобы получить список отпечатков пальцев вместе со своим случайным искусством для всех известных хостов, можно использовать следующую командную
    строку:
    
    $ ssh -o "VerifyHostKeyDNS ask" host.example.com 
    [...] 
    Matching host key fingerprint found in DNS. 
    Are you sure you want to continue connecting (yes/no)?
    
    Дополнительную информацию см. В параметре VerifyHostKeyDNS в ssh_config (5).
    
    SSH-BASED VIRTUAL PRIVATE NETWORKS
    ssh содержит поддержку туннелирования виртуальной частной сети (VPN) с использованием псевдо-устройства сети tun (4), позволяющее надежно
    подключать две сети. Параметр конфигурации sshd_config (5) PermitTunnel определяет, поддерживает ли сервер этот и на каком уровне (трафик уровня
    2 или 3).
    В следующем примере будет подключаться клиентская сеть 10.0.50.0/24 с удаленной сетью 10.0.99.0/24 с использованием двухточечного соединения от
    10.1.1.1 до 10.1.1.2 при условии, что сервер SSH, работающий на шлюзе, в удаленную сеть , в 192.168.1.15, позволяет это.
    На клиенте:
    
    # ssh -f -w 0:1 192.168.1.15 true 
    # ifconfig tun0 10.1.1.1 10.1.1.2 netmask 255.255.255.252 
    # route add 10.0.99.0/24 10.1.1.2
    
    На сервере:
    
    # ifconfig tun1 10.1.1.2 10.1.1.1 netmask 255.255.255.252 
    # route add 10.0.50.0/24 10.1.1.1
    
    Клиентский доступ может быть более точно настроен через файл /root/.ssh/authorized_keys (см. Ниже) и параметр PermitRootLogin server. Следующая
    запись разрешает соединения на устройстве tun (4) 1 от пользователя jane и на устройстве 2 от пользователя john, если PermitRootLogin
    установлен на 'forced-commands-only':
    
    tunnel="1",command="sh /etc/netstart tun1" ssh-rsa ... jane 
    tunnel="2",command="sh /etc/netstart tun2" ssh-rsa ... john
    
    Поскольку установка на основе SSH влечет за собой достаточное количество накладных расходов, она может быть более подходящей для временных
    настроек, например для беспроводных VPN. Более постоянные VPN лучше обеспечивают такие инструменты, как ipsecctl (8) и isakmpd (8).
    
    ENVIRONMENT
    Обычно ssh задает следующие переменные среды:
    
     
         
    DISPLAY
        Переменная DISPLAY указывает местоположение сервера X11. Он автоматически устанавливает ssh, чтобы указать значение формы hostname: n, где
        имя хоста указывает хост, где работает оболочка, а n - целое число ≥ 1. ssh использует это специальное значение для пересылки X11
        соединения по защищенному каналу. Пользователь должен нормально не устанавливать DISPLAY явно, так как это приведет к тому, что соединение X11
        небезопасно (и потребуется, чтобы пользователь вручную скопировал все необходимые файлы cookie авторизации).
         
    HOME
        Установите путь к домашнему каталогу пользователя.
     
         
    LOGNAME
        Синоним USER; для совместимости с системами, использующими эту переменную.
     
     
         
    SSH_AUTH_SOCK
        Определяет путь к сокету UNIX-домена, используемому для связи с агентом.
     
         
    SSH_CONNECTION
        Определяет клиентский и серверный концы соединения. Переменная содержит четыре значения, разделенные пробелами: IP-адрес клиента, номер порта
        клиента, IP-адрес сервера и номер порта сервера.
     
         
    SSH_ORIGINAL_COMMAND
        Эта переменная содержит исходную командную строку, если выполняется принудительная команда. Его можно использовать для извлечения исходных
        аргументов.
     
         
    SSH_TTY
        Устанавливается имя tty (путь к устройству), связанный с текущей оболочкой или командой. Если текущий сеанс не имеет tty, эта переменная не
        задана.
     
         
    SSH_TUNNEL
        Необязательно устанавливается sshd (8), чтобы содержать имена интерфейсов, назначенные, если клиентский запрос был запрошен туннельной
        пересылкой.
     
         
    SSH_USER_AUTH
        При желании с помощью sshd (8) эта переменная может содержать путь к файлу, в котором перечислены методы проверки подлинности, успешно
        используемые при установлении сеанса, включая любые открытые ключи, которые были использованы.
     
         
    TZ
        Эта переменная установлена для указания текущего часового пояса, если она была установлена при запуске демона (т. Е. Демон передает значение
        на новые соединения).
     
         
    USER
        Задайте имя входа пользователя в систему.
    
    Кроме того, ssh читает ~ / .ssh / environment и добавляет строки формата VARNAME = значение в среду, если файл существует, и пользователям
    разрешено изменять их среду. Для получения дополнительной информации см. Параметр PermitUserEnvironment в sshd_config (5).
    
    FILES
    
    ~/.rhosts
        Этот файл используется для аутентификации на основе хоста (см. Выше). На некоторых машинах этот файл может потребоваться для чтения в мире,
        если домашний каталог пользователя находится в разделе NFS, потому что sshd (8) читает его как root. Кроме того, этот файл должен принадлежать
        пользователю и не должен иметь права на запись для кого-либо еще. Рекомендуемое разрешение для большинства машин - чтение / запись для
        пользователя и недоступное для других.
    ~/.shosts
        Этот файл используется точно так же, как и .rhosts, но позволяет аутентификацию на основе хоста без разрешения входа в rlogin / rsh.
    ~/.ssh/
    ~/.ssh/id_ecdsa
         
    ~/.ssh/id_ed25519
         
    ~/.ssh/id_rsa
        Содержит закрытый ключ для аутентификации. Эти файлы содержат конфиденциальные данные и должны читаться пользователем, но недоступны другим
        (чтение / запись / выполнение). ssh просто игнорирует файл закрытого ключа, если он доступен другим. При генерации ключа, который будет
        использоваться для шифрования чувствительной части этого файла с помощью AES-128, можно указать кодовую фразу.
    ~/.ssh/id_dsa.pub
         
    ~/.ssh/id_ecdsa.pub
         
    ~/.ssh/id_ed25519.pub
         
    ~/.ssh/id_rsa.pub
        Содержит открытый ключ для аутентификации. Эти файлы не чувствительны и могут (но не обязательно) быть удобочитаемыми кем угодно.
    ~/.ssh/known_hosts
        Содержит список ключей хоста для всех хостов, к которым пользователь вошел в систему, которые еще не включены в общий список известных ключей
        хоста. См. Sshd (8) для получения дополнительной информации о формате этого файла.
    ~/.ssh/rc
        Команды в этом файле выполняются ssh, когда пользователь входит в систему, непосредственно перед запуском оболочки (или команды) пользователя.
        Дополнительную информацию см. На странице руководства sshd (8).
    /etc/hosts.equiv
        Этот файл предназначен для аутентификации на основе хоста (см. Выше). Его следует записывать только с помощью root.
    /etc/shosts.equiv
        Этот файл используется точно так же, как и hosts.equiv, но позволяет аутентификацию на основе хоста без разрешения входа в rlogin / rsh.
    /etc/ssh/ssh_config
        Системный файл конфигурации. Формат файла и параметры конфигурации описаны в ssh_config (5).
    /etc/ssh/ssh_host_key
         
    /etc/ssh/ssh_host_dsa_key
         
    /etc/ssh/ssh_host_ecdsa_key
         
    /etc/ssh/ssh_host_ed25519_key
         
    /etc/ssh/ssh_host_rsa_key
        Эти файлы содержат частные части ключей хоста и используются для аутентификации на основе хоста.
    /etc/ssh/ssh_known_hosts
        Системный список известных ключей хоста. Этот файл должен быть подготовлен системным администратором для хранения общедоступных ключей хоста
        всех компьютеров в организации. Он должен быть читаемым в мире. См. Sshd (8) для получения дополнительной информации о формате этого файла.
    /etc/ssh/sshrc
        Команды в этом файле выполняются ssh, когда пользователь входит в систему, непосредственно перед запуском оболочки (или команды) пользователя.
        Дополнительную информацию см. На странице руководства sshd (8).
    
    EXIT STATUS
    ssh выходы с статусом выхода удаленной команды или 255, если произошла ошибка.
    SEE ALSO
    scp(1), sftp(1), ssh-add(1), ssh-agent(1), ssh-keygen(1), ssh-keyscan(1), tun(4), ssh_config(5), ssh-keysign(8), sshd(8)
    STANDARDS
    S. Lehtinen and C. Lonvick, The Secure Shell (SSH) Protocol Assigned Numbers, RFC 4250, January 2006.
    T. Ylonen and C. Lonvick, The Secure Shell (SSH) Protocol Architecture, RFC 4251, January 2006.
    OpenSSH is a derivative of the original and free ssh 1.2.12 release by Tatu Ylonen. Aaron Campbell, Bob Beck, Markus Friedl, Niels Provos, Theo de Raadt and Dug Song removed many bugs, re-added newer features and created OpenSSH. Markus Friedl contributed the support for SSH protocol versions 1.5 and 2.0.
    


    Поиск по тексту MAN-ов: 




    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2020 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру