MIT Kerberos 在向 OpenSSH 进行身份验证时不断要求输入密码

Question 1

Root 登录

从你提供的日志文件来看，我认为尝试 root 登录不是你的问题这里。请注意，所有以 root 身份进行的身份验证尝试都来自218.65.30.30，一个简单的whois命令告诉我们这是一个来自中国的 IP。成功参与此身份验证的其他 IP145.100.110.11{5,6}都来自同一个（大学管理的）网络块。我假设这些是你感兴趣的机器。我还强烈建议安装类似的东西fail2ban来阻止试图暴力破解你的 IP。

SSH

现在让我们开始解决您的 Kerberos 问题。我最近设置了一个 Kerberos 环境，这充满了困难，所以我理解您的痛苦！你的 SSH 配置看起来不错所以我们可以排除这种可能。不过从安全角度来看，您可能需要考虑， GSSAPIDelegateCredentials yes您的设置/etc/ssh/ssh_config是否真的需要？虽然方便，但此选项会将您的 TGT 暴露给任何您通过 SSH 进入的机器。

Keberos 注意事项

Kerberos 设置最敏感的两个主要问题是时间偏差和名称解析。我认为时间偏差不太可能是你的问题。不过，使用 kerberos 日志来确认这一点会更容易。大多数现代 GNU/Linux 发行版都已设置了网络时间。您可以使用类似来验证这一点timedatectl。您还应该确保正向和反向 DNS 设置正确对于您环境中的每个主机。

关于领域，虽然并非总是严格要求，但惯例是将领域保持大写。当您在混合 GNU/Linux 和 Windows 环境中工作时，这绝对是必须的，有时这会导致完全无法工作。如果您总体上坚持这一点，您的生活将变得更容易。

主机名是否与 DNS 名称和 keytab 名称匹配？

这里最让我印象深刻的是你拥有的空域（即来自 SPN ）的服务票host/service-0.metz.prac.os3.nl@。对我来说，这听起来像是你的网络设置出了问题。看起来你的default_realm设置正确，所以我认为主机端存在问题。为了调试这个问题，我建议在服务上启动一个带有额外日志记录的新 sshd 实例（sudo /usr/sbin/sshd -p 9001 -D -dd），然后尝试从客户端连接（）。这将从双方向您展示身份验证期间究竟发生了什么以及实际使用了哪些 SPN。ssh -p 9001 -vv [email protected]

我最近遇到了一个问题，身份验证失败，因为我连接的服务不知道自己的 FQDN（即服务尝试查找而host/service-0@REALM不是的keytab 条目host/service-0.rest.of.domain@REALM）。您可以使用进行检查hostname --fqdn，如果这没有返回系统的完整 DNS 名称，那么您可以编辑/etc/hosts。确保输出与hostname --fqdnDNS 中的内容匹配。

最后，确保每个主机都有一个具有正确 SPN 的 keytab 文件。这应该看起来像host/service-0.rest.of.domain@REALM。您可以使用检查密钥表文件的内容klist -k /path/to/keytab。祝您调试愉快！我知道 Kerberos 有多令人沮丧。

核选项

如果您仍处于设置阶段的早期阶段，那么用火烧毁您的设置并从头开始可能更容易 :)。牢记所有这些并遵循良好的指南可能会为您节省一些时间。

Answer

Root 登录

从你提供的日志文件来看，我认为尝试 root 登录不是你的问题这里。请注意，所有以 root 身份进行的身份验证尝试都来自218.65.30.30，一个简单的whois命令告诉我们这是一个来自中国的 IP。成功参与此身份验证的其他 IP145.100.110.11{5,6}都来自同一个（大学管理的）网络块。我假设这些是你感兴趣的机器。我还强烈建议安装类似的东西fail2ban来阻止试图暴力破解你的 IP。

SSH

现在让我们开始解决您的 Kerberos 问题。我最近设置了一个 Kerberos 环境，这充满了困难，所以我理解您的痛苦！你的 SSH 配置看起来不错所以我们可以排除这种可能。不过从安全角度来看，您可能需要考虑， GSSAPIDelegateCredentials yes您的设置/etc/ssh/ssh_config是否真的需要？虽然方便，但此选项会将您的 TGT 暴露给任何您通过 SSH 进入的机器。

Keberos 注意事项

Kerberos 设置最敏感的两个主要问题是时间偏差和名称解析。我认为时间偏差不太可能是你的问题。不过，使用 kerberos 日志来确认这一点会更容易。大多数现代 GNU/Linux 发行版都已设置了网络时间。您可以使用类似来验证这一点timedatectl。您还应该确保正向和反向 DNS 设置正确对于您环境中的每个主机。

关于领域，虽然并非总是严格要求，但惯例是将领域保持大写。当您在混合 GNU/Linux 和 Windows 环境中工作时，这绝对是必须的，有时这会导致完全无法工作。如果您总体上坚持这一点，您的生活将变得更容易。

主机名是否与 DNS 名称和 keytab 名称匹配？

这里最让我印象深刻的是你拥有的空域（即来自 SPN ）的服务票host/service-0.metz.prac.os3.nl@。对我来说，这听起来像是你的网络设置出了问题。看起来你的default_realm设置正确，所以我认为主机端存在问题。为了调试这个问题，我建议在服务上启动一个带有额外日志记录的新 sshd 实例（sudo /usr/sbin/sshd -p 9001 -D -dd），然后尝试从客户端连接（）。这将从双方向您展示身份验证期间究竟发生了什么以及实际使用了哪些 SPN。ssh -p 9001 -vv [email protected]

我最近遇到了一个问题，身份验证失败，因为我连接的服务不知道自己的 FQDN（即服务尝试查找而host/service-0@REALM不是的keytab 条目host/service-0.rest.of.domain@REALM）。您可以使用进行检查hostname --fqdn，如果这没有返回系统的完整 DNS 名称，那么您可以编辑/etc/hosts。确保输出与hostname --fqdnDNS 中的内容匹配。

最后，确保每个主机都有一个具有正确 SPN 的 keytab 文件。这应该看起来像host/service-0.rest.of.domain@REALM。您可以使用检查密钥表文件的内容klist -k /path/to/keytab。祝您调试愉快！我知道 Kerberos 有多令人沮丧。

核选项

如果您仍处于设置阶段的早期阶段，那么用火烧毁您的设置并从头开始可能更容易 :)。牢记所有这些并遵循良好的指南可能会为您节省一些时间。

Question 2

有几件事需要考虑：

1. 您可以在客户端机器上获取服务票吗？

验证您是否可以获取要使用的服务的票证。对于 SSH，这通常是 host/@REALM 或您的情况下的 host/[电子邮件保护]。如果您在客户端机器上运行（您也在其中运行 ssh），它应该会告诉您一个密钥版本号，并且票证应该显示在您的.kvno host/[email protected]klist

2. 您的时间同步正确吗？

确保两台机器具有相同的时间和时区（否则时间可能相同，但时区不同）。在所有执行 kerberos 的机器上设置 NTP 可能是最简单的方法

3. 您是否将主机的主体添加到 /etc/krb5.keytab？

在您要连接的机器上，您必须具有主机主体 (host/@REALM) 的条目以及正确的密钥版本号（您在步骤 1 中确定的密钥版本号）。该文件还必须可由 sshd 读取

4. 您是否正确掌握了基本的网络知识？

Kerberos 确实喜欢正向 DNS和反向 DNS。事实上，到目前为止，我必须调试的 Kerberos 最奇怪的问题都与 DNS 解析中断、反向 DNS 未指向主机 FQDN、主机名配置错误等有关。

确保所有主机都可以解析所有其他主机和反向。还要确保主机名配置正确（和在所有机器上启用 DNS 映射。命令hostname、hostname -f和hostname -s应hostname -i返回合理的结果。

说了这么多：请考虑重命名您的领域。kerberos 领域的事实上的标准是 ALL.CAPS。因此，当您重建实验室或开始使用生产环境时，它应该是 ALL.IN.UPPER.CASE，所以是“METZ.PRAC.OS3.NL”。这只是一个惯例，但也许有人依赖它。此外，您现在只需查看它即可区分您的 DNS 域和您的领域 :)

Answer

有几件事需要考虑：

1. 您可以在客户端机器上获取服务票吗？

验证您是否可以获取要使用的服务的票证。对于 SSH，这通常是 host/@REALM 或您的情况下的 host/[电子邮件保护]。如果您在客户端机器上运行（您也在其中运行 ssh），它应该会告诉您一个密钥版本号，并且票证应该显示在您的.kvno host/[email protected]klist

2. 您的时间同步正确吗？

确保两台机器具有相同的时间和时区（否则时间可能相同，但时区不同）。在所有执行 kerberos 的机器上设置 NTP 可能是最简单的方法

3. 您是否将主机的主体添加到 /etc/krb5.keytab？

在您要连接的机器上，您必须具有主机主体 (host/@REALM) 的条目以及正确的密钥版本号（您在步骤 1 中确定的密钥版本号）。该文件还必须可由 sshd 读取

4. 您是否正确掌握了基本的网络知识？

Kerberos 确实喜欢正向 DNS和反向 DNS。事实上，到目前为止，我必须调试的 Kerberos 最奇怪的问题都与 DNS 解析中断、反向 DNS 未指向主机 FQDN、主机名配置错误等有关。

确保所有主机都可以解析所有其他主机和反向。还要确保主机名配置正确（和在所有机器上启用 DNS 映射。命令hostname、hostname -f和hostname -s应hostname -i返回合理的结果。

说了这么多：请考虑重命名您的领域。kerberos 领域的事实上的标准是 ALL.CAPS。因此，当您重建实验室或开始使用生产环境时，它应该是 ALL.IN.UPPER.CASE，所以是“METZ.PRAC.OS3.NL”。这只是一个惯例，但也许有人依赖它。此外，您现在只需查看它即可区分您的 DNS 域和您的领域 :)

Question 3

您是否已将客户端计算机名称添加到主体？
我们可以使用此命令listprincs或list_principals列出这些信息，如下所示：

我们还应该将用户帐户添加krbuser到 KDC、客户端 1 和客户端 2，这样，我们就可以使用客户端 1 通过 kerberos 连接 ssh 客户端 2。

这是我的实验室：
服务器：kerberos.example.com
客户端：client.example.com
客户端 2：client2.example.com

KDC 服务器：
/etc/krb5.conf

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 default_realm = EXAMPLE.COM
 default_ccache_name = KEYRING:persistent:%{uid}

[realms]
 EXAMPLE.COM = {
  kdc = kerberos.example.com
  admin_server = kerberos.example.com
 }

[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM

/var/kerberos/krb5kdc/kdc.conf

[kdcdefaults]
 kdc_ports = 88
 kdc_tcp_ports = 88

[realms]
 EXAMPLE.COM = {
  master_key_type = aes256-cts
  default_principal_flags = +preauth  
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
 }

ssh 配置文件

# Kerberos options
#KerberosAuthentication yes
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosGetAFSToken no
#KerberosUseKuserok yes

# GSSAPI options
GSSAPIAuthentication yes
GSSAPICleanupCredentials yes
#GSSAPIStrictAcceptorCheck yes
#GSSAPIKeyExchange no
#GSSAPIEnablek5users no

客户：

/etc/krb5.conf 相同的作为服务器，或者您可以将服务器的 krb5.conf 复制到此客户端。
/etc/ssh/sshd_conf 相同的作为服务器。

客户端2：

/etc/krb5.conf 相同的作为服务器，或者您可以将服务器的 krb5.conf 复制到此客户端。
/etc/ssh/sshd_conf 相同的作为服务器。

结果：

我们应该将用户帐户添加到服务器，客户端和客户端2，在我的测试中，我添加user01到服务器、客户端和客户端2。

服务器：

[user01@kerberos ~]$ klist
Ticket cache: KEYRING:persistent:1001:1001
Default principal: [email protected]

Valid starting       Expires              Service principal
06/16/2017 07:18:18  06/17/2017 07:18:18  krbtgt/[email protected]

客户

[root@client ~]# su - user01
Last login: Fri Jun 16 08:16:28 UTC 2017 from client2.example.com on pts/1
[user01@client ~]$ klist
Ticket cache: KEYRING:persistent:1001:1001
Default principal: [email protected]

Valid starting       Expires              Service principal
06/16/2017 08:16:27  06/17/2017 08:16:27  krbtgt/[email protected]

客户端2

[root@client2 jason]# su - user01
Last login: Fri Jun 16 08:18:51 UTC 2017 on pts/0
[user01@client2 ~]$ klist
Ticket cache: KEYRING:persistent:1003:1003
Default principal: [email protected]

Valid starting       Expires              Service principal
06/16/2017 08:18:58  06/17/2017 08:18:54  krbtgt/[email protected]

之后，我们可以使用user01ssh 从 client2 连接到客户端：

[root@client2 jason]# ssh [email protected]
Password: 
Last login: Fri Jun 16 08:17:59 2017
[user01@client ~]$

笔记：

使用 kerberos 我们应该使用相同的时间，我们应该设置网络时间协议 (NTP)对于它们，在我的实验室中，我在 Azure 中创建它们，它们具有相同的时间。

我们也应该将客户端计算机名称添加到主体。

Answer

您是否已将客户端计算机名称添加到主体？
我们可以使用此命令listprincs或list_principals列出这些信息，如下所示：

我们还应该将用户帐户添加krbuser到 KDC、客户端 1 和客户端 2，这样，我们就可以使用客户端 1 通过 kerberos 连接 ssh 客户端 2。

这是我的实验室：
服务器：kerberos.example.com
客户端：client.example.com
客户端 2：client2.example.com

KDC 服务器：
/etc/krb5.conf

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 default_realm = EXAMPLE.COM
 default_ccache_name = KEYRING:persistent:%{uid}

[realms]
 EXAMPLE.COM = {
  kdc = kerberos.example.com
  admin_server = kerberos.example.com
 }

[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM

/var/kerberos/krb5kdc/kdc.conf

[kdcdefaults]
 kdc_ports = 88
 kdc_tcp_ports = 88

[realms]
 EXAMPLE.COM = {
  master_key_type = aes256-cts
  default_principal_flags = +preauth  
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
 }

ssh 配置文件

# Kerberos options
#KerberosAuthentication yes
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosGetAFSToken no
#KerberosUseKuserok yes

# GSSAPI options
GSSAPIAuthentication yes
GSSAPICleanupCredentials yes
#GSSAPIStrictAcceptorCheck yes
#GSSAPIKeyExchange no
#GSSAPIEnablek5users no

客户：

/etc/krb5.conf 相同的作为服务器，或者您可以将服务器的 krb5.conf 复制到此客户端。
/etc/ssh/sshd_conf 相同的作为服务器。

客户端2：

/etc/krb5.conf 相同的作为服务器，或者您可以将服务器的 krb5.conf 复制到此客户端。
/etc/ssh/sshd_conf 相同的作为服务器。

结果：

我们应该将用户帐户添加到服务器，客户端和客户端2，在我的测试中，我添加user01到服务器、客户端和客户端2。

服务器：

[user01@kerberos ~]$ klist
Ticket cache: KEYRING:persistent:1001:1001
Default principal: [email protected]

Valid starting       Expires              Service principal
06/16/2017 07:18:18  06/17/2017 07:18:18  krbtgt/[email protected]

客户

[root@client ~]# su - user01
Last login: Fri Jun 16 08:16:28 UTC 2017 from client2.example.com on pts/1
[user01@client ~]$ klist
Ticket cache: KEYRING:persistent:1001:1001
Default principal: [email protected]

Valid starting       Expires              Service principal
06/16/2017 08:16:27  06/17/2017 08:16:27  krbtgt/[email protected]

客户端2

[root@client2 jason]# su - user01
Last login: Fri Jun 16 08:18:51 UTC 2017 on pts/0
[user01@client2 ~]$ klist
Ticket cache: KEYRING:persistent:1003:1003
Default principal: [email protected]

Valid starting       Expires              Service principal
06/16/2017 08:18:58  06/17/2017 08:18:54  krbtgt/[email protected]

之后，我们可以使用user01ssh 从 client2 连接到客户端：

[root@client2 jason]# ssh [email protected]
Password: 
Last login: Fri Jun 16 08:17:59 2017
[user01@client ~]$

笔记：

使用 kerberos 我们应该使用相同的时间，我们应该设置网络时间协议 (NTP)对于它们，在我的实验室中，我在 Azure 中创建它们，它们具有相同的时间。

我们也应该将客户端计算机名称添加到主体。

MIT Kerberos 在向 OpenSSH 进行身份验证时不断要求输入密码

答案1

Root 登录

SSH

Keberos 注意事项

主机名是否与 DNS 名称和 keytab 名称匹配？

核选项

答案2

1. 您可以在客户端机器上获取服务票吗？

2. 您的时间同步正确吗？

3. 您是否将主机的主体添加到 /etc/krb5.keytab？

4. 您是否正确掌握了基本的网络知识？

答案3

相关内容