Як відкриті ключі "надсилаються" серверам і як приватні ключі "використовуються" для SSH?

Є дві машини Linux, скрипти А і В. працює на необхідність , щоб мати можливість SSH в B. Таким чином, генерує відкритий ключ (ймовірно ssh-keygen-порождённих id_rsa.pub), а потім використовує відповідний закритий ключ (знову ж , можливо id_rsa) , щоб зробити це з'єднання SSH.

Якщо щось, про що я говорив вище, невірно або введено в оману, почніть, виправляючи мене!

Якщо припустити, що я більш-менш мішень:

• Як A "дає" B свій відкритий ключ ( id_rsa.pub)? Це має бути ручним процесом, чи його можна автоматизувати? Якщо вручну, який процес? Якщо автоматизована, яка команда? Коли B "отримує" цей відкритий ключ, куди він переходить або зберігається?
• Коли ініціює з'єднання SSH з B, як A "використовує" його приватний ключ ( id_rsa) як частину цього з'єднання?

ssh-keygenгенерує як відкриті, так і приватні ключі, які спочатку розташовуються лише локально. Надання відкритого ключа іншому хосту - це те, що користувачеві потрібно буде зробити вручну, або надіславши його кому-небудь, відповідальному за сервер B, або якщо у вас є обліковий запис із паролем, ви можете увійти та ввести його там. Для того, щоб дозволити вхід без пароля на сервер B, вам потрібно буде додати ваш відкритий ключ у файл ~ / .ssh / санкціонований_кейс на сервері B (один відкритий ключ на рядок, у цьому файлі може бути будь-яка кількість ключів). Існує команда linux, ssh-copy-idяка скопіює для вас ідентифікатор і помістить його у файл.

За замовчуванням ssh використовуватиме файл ~ / .ssh / id_XXX як приватний ключ. XXX може бути rsa, dsa або будь-який протокол, для якого був створений ключ. IIRC, dsa старий і його не слід використовувати. Якщо ви хочете використовувати інший приватний ключ, ви можете вказати його у своїй команді ssh, використовуючи -i. Поки приватний ключ, який використовується, відповідає загальнодоступному ключу на віддаленій машині (у файлі санкціонованих ключів для облікового запису користувача, до якого ви входите), вам не потрібно буде вводити пароль.

Є дві машини Linux, A і B. Сценарії, що працюють на A, повинні мати змогу SSH в B. Отже, A генерує відкритий ключ (ймовірно, ssh-keygen-породжений id_rsa.pub), а потім використовує відповідний приватний ключ ( знову, ймовірно, id_rsa) для встановлення цього SSH-з'єднання.

Якщо щось, про що я говорив вище, невірно або введено в оману, почніть, виправляючи мене!

Якщо припустити, що я більш-менш мішень:

так

але B потрібний відкритий ключ A, щоб він був вказаний у файлі B-дозволених ключів, щоб A мав змогу підключитися до B

також ви можете видалити id_rsa.pub і ssh до B, і він все одно буде працювати, оскільки відкритий ключ генерується свіжим при кожному ssh-з'єднанні і не зберігається в жодному id_rsa.pub

Як "надає" Б свій відкритий ключ (id_rsa.pub)? Це має бути ручним процесом, чи його можна автоматизувати? Якщо вручну, який процес? Якщо автоматизована, яка команда?

посібник - щось подібне

від A-

cat ~/.ssh/id_rsa.pub | ssh USER@HOST "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

або навіть більше вручну, щоб зруйнувати команду

A $ cat id_rsa.pub | ssh user@host 'cat>~/a.a'

тоді на B переконайтесь, що ~ / .ssh існує, то зробіть cat a.a >> ~/.ssh/authorized_keys

і ви можете котувати дозволені_ ключі B до і після, щоб переконатися, що ключ вказаний.

Або ви можете надіслати електронною поштою id_rsa.pub до облікового запису електронної пошти, тоді з B, B можна перевірити електронну пошту та додати вміст id_rsa.pub у його файл дозволених ключів

автоматично

Команда ssh-copy-id

Потрібно мати можливість ввімкнути ssh, тому вам потрібен доступ до пароля

Замість того, щоб робити ssh user @ host, ви робите ssh-copy-id user @ host, і вам буде запропоновано пароль, ви вводите його, ви знаходитесь, він скопіює відкритий ключ. І наступного разу, коли ви зробите ssh user @ host, він використовуватиме ключ.

Коли B "отримує" цей відкритий ключ, куди він переходить або зберігається?

B's ~ / .ssh / санкціоновані_кейси

Коли ініціює з'єднання SSH з B, як A "використовує" його приватний ключ (id_rsa) як частину цього з'єднання?

ну, я не знаю багато про це, зверху голови, але все, що зашифровано одним ключем, можна розшифрувати іншим ключем, а ідентифікація себе дещо відрізняється від надсилання даних .. і може бути щось про тимчасовий ключ теж.