Зупинити ssh клієнт пропонувати всі відкриті ключі, які він може знайти?

Як і більшість сисадмінів, які я постійно використовую. У мене є близько десятка ключів ssh, мені подобається мати різний ключ ssh для кожного хоста. Однак це спричиняє проблеми, коли я вперше підключаюся до хоста, і все, що у мене є, це пароль. Я хочу просто підключитися до хоста за допомогою пароля, в цьому випадку немає ключа ssh. Однак клієнт ssh запропонує всі відкриті ключі в моєму ~/.ssh/(я це знаю, дивлячись на вихід ssh -v). Оскільки у мене стільки, я відключуся за занадто багато збоїв аутентифікації.

Чи є спосіб сказати моєму ssh-клієнту, щоб він не пропонував усі ключі ssh?

Це очікувана поведінка відповідно до сторінки людини ssh_config:

 IdentityFile
         Specifies a file from which the user's DSA, ECDSA or DSA authentica‐
         tion identity is read.  The default is ~/.ssh/identity for protocol
         version 1, and ~/.ssh/id_dsa, ~/.ssh/id_ecdsa and ~/.ssh/id_rsa for
         protocol version 2.  Additionally, any identities represented by the
         authentication agent will be used for authentication.  

         [...]

         It is possible to have multiple identity files specified in configu‐
         ration files; all these identities will be tried in sequence.  Mul‐
         tiple IdentityFile directives will add to the list of identities
         tried (this behaviour differs from that of other configuration
         directives).

В основному, вказуючи IdentityFiles просто додає ключі до поточного списку, агент SSH, вже представлений клієнтові.

Спробуйте змінити таку поведінку таким чином у нижній частині .ssh/configфайлу:

Host *
  IdentitiesOnly yes

Ви також можете змінити цей параметр на рівні хосту, наприклад:

Host foo
  User bar
  IdentityFile /path/to/key
  IdentitiesOnly yes

Хоча інші натякають на це за допомогою рішень на основі конфігурації, напевно, варто зазначити, що ви можете легко зробити це одноразово в командному рядку за допомогою:

ssh -o 'PubkeyAuthentication no' myhostname.mydomain

Виконуючи рішення Джеймса Снерінгера, ви можете просто встановити ssh_config за рядками:

Host *.mycompany.com
  IdentityFile .ssh/id_dsa_mycompany_main

Host *.mycustomer.com
  IdentityFile .ssh/id_dsa_mycustomer

Host *
  RSAAuthentication no #this should be up top, avoid ssh1 at all costs
  PubkeyAuthentication no

Якщо ви підключаєтеся певним ключем до багатьох машин, які не є загальним доменом, подумайте про надання їм усіх CNAME у власному DNS. Я роблю це з усіма системами клієнтів.

Подібно до рішення user23413, ви можете повністю відключити аутентифікацію відкритих ключів для певного хоста (або шаблону підстановки):

Host *.example.org
RSAAuthentication no        # SSHv1
PubkeyAuthentication no     # SSHv2

Якщо ви вкажете на певний файл ключа з ssh -i / path / to / key, він використовуватиме лише той, навіть якщо інші завантажені в агент, і вам не буде запропоновано ввести пароль. Ви також можете редагувати ~ / .ssh / config та рекламувати щось подібне ...

Хост foo.example.com
IdentityFile .ssh / id_rsa_foo.example.com

Ви також можете зробити ...

Хост * .example.org
IdentityFile .ssh / id_rsa_example.org