☰

尝试从两个不同的网络 ssh 到一台服务器会产生两个不同的 RSA 指纹

tag-icon • tag-icon ssh ssh-keys rsa hijack session-hijacking
尝试从两个不同的网络 ssh 到一台服务器会产生两个不同的 RSA 指纹

尝试从我公司的网络通过 ssh 连接到远程服务器，effingham.dreamhost.com结果 ssh 给出有关 RSA 指纹不匹配的错误，因此我进行调查并发现，如果我通过移动运营商网络连接到服务器，一切都会顺利进行。

以下是effingham.dreamhost.comDreamhost 报告的正确的 RSA 指纹。

Dreamhost 报告的正确埃芬汉姆指纹

确实，使用我的移动运营商网络连接到服务器后，密钥匹配。

# ssh -o FingerprintHash=md5 effingham.dreamhost.com
The authenticity of host 'effingham.dreamhost.com (208.113.186.1)' can't be established.
RSA key fingerprint is MD5:90:8e:91:ac:f5:8c:9b:31:0c:5e:5e:8c:9c:b7:12:72.
Are you sure you want to continue connecting (yes/no)?

但是，如果我切换到公司的网络，即使 IP 地址与前面的示例相同，密钥也不匹配。

# ssh -o FingerprintHash=md5 effingham.dreamhost.com
The authenticity of host 'effingham.dreamhost.com (208.113.186.1)' can't be established.
RSA key fingerprint is MD5:fb:58:8d:e7:47:b6:b4:32:79:b9:da:12:87:23:33:cc.
Are you sure you want to continue connecting (yes/no)?

我不知道这里可能发生了什么。据我所知，这不可能是 DNS 劫持，因为它要求 IP 地址不同。对吗？如果是这样，这种行为可能是什么原因造成的，我是否应该担心有人可能在窃听连接，或者类似的事情？

答案1

我怀疑贵公司正在将传出的 22 端口 TCP 连接重定向到虚拟 SSH 服务器。它可能会记录建立连接的 IP，以便 IT 部门知道是谁尝试发出请求。

当流量通过网关或防火墙设备时，连接可能会被阻止或重定向。

您可以尝试重新配置您的服务器以在更高编号的端口（例如 22222）上运行，因为该端口可能不会被阻止，但最好只是让您的 IT 允许您使用 SSH。

相关内容