====== Сервис SSH ======

  * [[http://ru.wikipedia.org/wiki/SSH|SSH (wikipedia)]]
  * [[https://habr.com/ru/articles/747080/|SSH с высоты птичьего полёта, или разгребаем кучи ключей]]
  * [[https://www.serfish.com/console/|Web-based access to any SSH server]]
  * [[http://linux.bolden.ru/ssh-tunnels/|Подробный анализ теории и практики использования SSH-туннелей]]
  * [[https://m.habr.com/post/435546/|Практические советы, примеры и туннели SSH]]

===== Установка =====

==== Windows ====

=== PuTTY ===
  * [[http://www.putty.org/|PuTTY]]
  * [[https://the.earth.li/~sgtatham/putty/latest/w64/]]
  * [[http://val.bmstu.ru/unix/SSH/putty-64bit-0.76-installer.msi]]

<code>
Terminal->Features->Disable application keypad mode

HKEY_CURRENT_USER\Software\SimonTatham\PuTTY\SshHostKeys
</code>

=== MobaXterm ===

  * [[https://mobaxterm.mobatek.net/|MobaXterm]]
  * [[https://bbs.archlinux.org/viewtopic.php?id=174595|Weird characters while pasting in terminal]]
<code>
printf "\e[?2004l"
</code>

=== WinSCP ===

  * [[https://winscp.net/eng/docs/lang:ru|WinSCP]]
  * [[http://val.bmstu.ru/unix/SSH/WinSCP-5.19.2-Setup.exe]]
==== Ubuntu/Debian ====
<code>
# apt install ssh
</code>

===== Настройка ssh сервера =====
<code>
gate# cat /etc/ssh/sshd_config.d/my.conf
</code><code>
Port 2222

DenyUsers "user*"

PermitRootLogin yes

#KexAlgorithms +diffie-hellman-group1-sha1,diffie-hellman-group-exchange-sha1
#HostkeyAlgorithms +ssh-dss,ssh-rsa
</code>

Проверка конфигурации
<code>
# /usr/sbin/sshd -t
</code>

Печать fingerprint публичного ключа
<code>
gate# ssh-keygen -l -f /etc/ssh/ssh_host_dsa_key.pub
</code>

===== Настройка ssh клиента =====

  * [[Утилита corkscrew]]

<code>
$ sftp -P 2222 -o UserKnownHostsFile=/dev/null -o StrictHostKeyChecking=no user3@localhost

$ mkdir .ssh/

$ cat ~/.ssh/config
</code><code>
Host *
  ServerAliveInterval 10

#Host gitlab* 
#        Port 2222
##        User root

#Host switch* 192.168.X.5*
#        KexAlgorithms +diffie-hellman-group1-sha1
#        Ciphers +aes128-cbc
#        UserKnownHostsFile=/dev/null
#        StrictHostKeyChecking=no
#        LogLevel ERROR

###    HostKeyAlgorithms +ssh-rsa
###    PubkeyAcceptedKeyTypes +ssh-rsa
</code>

===== Варианты использования =====

==== SSH вместо Telnet ====
<code>
# ssh -l user1 gate

# ssh user1@gate
</code>

==== SSH вместо RSH ====
<code>
student@hostX$ ssh -l user1 gate "uname -a"

student@hostX$ cat /etc/hosts | ssh -l user1 gate "cat > hosts.bak"

student@hostX$ cd /; sudo tar -cf - etc/ | ssh -l user1 gate "cat > etc.tar"

server# ssh switch1 "show cdp neighbors"
</code>

==== SSH вместо RCP (SCP) ====
==== SCP ====
<code>
$ scp -P 2222 val@radio.specialist.ru:/usr/local/www/apache22/data/unix/virus.zip .

server# scp switchN:running-config /srv/tftp/switchN-running-config
deb12_ub24# scp -O switchN:running-config /srv/tftp/switchN-running-config

server# sshpass -p cisco scp switchN:running-config /srv/tftp/switchN-running-config

server# scp -3 192.168.X.101:/etc/docker/daemon.json gate:/etc/docker/daemon.json
</code>

==== Использование SSH Chroot ====

=== SSH вместо FTP (SFTP) ===

<code>
# cat /etc/ssh/sshd_config
</code><code>
...
# Subsystem       sftp    /usr/libexec/sftp-server
Subsystem sftp internal-sftp
...
Match group user1
#Match group group1
       ChrootDirectory %h
       ForceCommand internal-sftp
</code><code>
# chown root ~user1/

# mkdir ~user1/public_html && chown user1:user1 ~user1/public_html/

# mkdir ~user1/mail && chown user1:user1 ~user1/mail/
</code>

=== Chroot shell через SSH ===
<code>

</code>

==== SSH вместо XDM ====
<code>
gate# cat /etc/ssh/sshd_config
</code><code>
...
X11Forwarding yes
...
</code>

==== SSH вместо VPN (привязка к порту клиента) ====
<code>
windows desktop
Putty
Session
  HostNameIP 192.168.X.10
Connection->SSH->Tunnels
  Source port 3101
  Destination 192.168.100+X.101:3389

linux desktop$ ssh -L 3101:192.168.100+X.101:3389 192.168.X.10

Remote Desktop Connection->127.0.0.1:3101
</code>

==== SSH вместо VPN (привязка к порту сервера) ====

  * [[Управление сервисами в Linux]]

<code>
server# cat /etc/ssh/sshd_config
</code><code>
...
GatewayPorts yes
...
</code><code>
# cat /proc/sys/net/ipv4/ip_local_port_range
  или
# sysctl net.ipv4.ip_local_port_range

lan# ssh -N -R 61022:localhost:22 -o ServerAliveInterval=60 student@server.corpX.un

lan# ssh -N -R 61389:192.168.100+X.1NN:3389 student@server.corpX.un

mobaxterm> ssh -N -R 61389:localhost:3389 student@server.corpX.un

mobaxterm> ssh -N -R 0:localhost:5500 student@server.corpX.un
</code>

===== Ограничение доступа к сервису SSH =====

==== Разрешение доступа пользователя root на основании адреса клиента ====
<code>
node2# cat sshd_config
</code><code>
...
#AllowUsers root user*@10.5.*.*
...
Match Address 192.168.*.*,172.16.*.*
       PermitRootLogin yes
</code>

==== Управление доступом на основе членства в группе ====

Пример использования отдельного файла конфигурации

<code>
gate# cat /etc/ssh/sshd_config.d/my.conf
</code><code>
#AllowGroups sudo

#DenyGroups group1 group2
</code>
==== Запрет Forwarding портов ====

<code>
server# cat sshd_config
</code><code>
...
Match Group *,!sudo
    X11Forwarding no
    AllowTcpForwarding no
</code>
===== Уменьшение времени создания множества сессий =====

  * [[https://developer.rackspace.com/blog/speeding-up-ssh-session-creation/|Speeding up SSH Session Creation]]

<code>
node1:~# cat ~/.ssh/config
</code><code>
Host *
ControlMaster auto
ControlPath ~/.ssh/sockets/%r@%h-%p
ControlPersist 600

node1# mkdir .ssh/sockets
</code>

===== Управление идентификацией =====

==== Отключение проверки публичных ключей серверов ====
<code>
$ cat ~/.ssh/config
</code><code>
StrictHostKeyChecking no
</code>

==== Парольная аутентификация ====
<code>
server# apt install sshpass

server# sshpass -p 'strongpassword' ssh vagrant@node1

server# sshpass -p cisco ssh switchN

server# sshpass -p cisco ssh switch1 sh int | grep line
</code>

==== Аутентификация с использованием ключей ssh ====

=== Настройка sshd на использование ключей ===
<code>
gate# less /etc/ssh/sshd_config
</code><code>
...
#PubkeyAuthentication yes
#AuthorizedKeysFile     %h/.ssh/authorized_keys
...
</code>

=== Генерация ключей ===
<code>
user1@client1:~$ ssh-keygen
</code><code>
...
Enter passphrase (empty for no passphrase): password1
...
</code><code>
user1@client1:~$ ls .ssh/
</code>

=== Распространение публичных ключей ===

  * ssh-copy-id

<code>
linux$ ssh-copy-id gate

linux$ ssh-copy-id server

freebsd$ ssh-copy-id -i .ssh/id_rsa.pub gate
</code>

  * вручную

<code>
user1@client1$ ssh gate "mkdir .ssh"

user1@client1$ scp .ssh/id_rsa.pub gate:.ssh/authorized_keys
или
user1@client1$ cat .ssh/id_rsa.pub | ssh gate "cat >> .ssh/authorized_keys"
</code>

=== Использование ssh_agent ===
<code>
user1@client1$ ssh-agent
SSH_AUTH_SOCK=/tmp/ssh-JaQgNr4492/agent.4492; export SSH_AUTH_SOCK;
SSH_AGENT_PID=4493; export SSH_AGENT_PID;
echo Agent pid 4493;

user1@client1$ SSH_AUTH_SOCK=/tmp/ssh-JaQgNr4492/agent.4492; export SSH_AUTH_SOCK;
user1@client1$ SSH_AGENT_PID=4493; export SSH_AGENT_PID;
</code>
или
<code>
user1@client1$ eval `ssh-agent -s`
</code><code>
user1@client1$ ssh-add
Enter passphrase for /root/.ssh/id_rsa:
...

student@client1$ ssh-add -l
...

user1@client1$ ssh gate

user1@client1$ ssh server
</code>

==== Аутентификация с использованием протокола GSSAPI ====

=== Регистрация принципалов сервиса в KDC и перемещение ключа сервиса на сервер ===

  * [[https://www.altlinux.org/%D0%A1%D0%BE%D0%B7%D0%B4%D0%B0%D0%BD%D0%B8%D0%B5_SPN_%D0%B8_Keytab_%D1%84%D0%B0%D0%B9%D0%BB%D0%B0|Создание SPN и Keytab файла при использовании DC Windows, DC FreeIPA, ...]]

== Debian/Ubuntu (MIT) ==
<code>
root@server:~# kadmin.local
</code><code>
kadmin.local:  addprinc -randkey host/gate.corpX.un
...
kadmin.local:  listprincs

kadmin.local:  ktadd -k gatehost.keytab host/gate.corpX.un
...
kadmin.local:  quit
</code><code>
server# scp gatehost.keytab gate:
</code>

== FreeBSD (Heimdal) ==
<code>
server# kadmin -l
</code><code>
kadmin> add -r host/gate.corpX.un
...
kadmin> list *

kadmin> ext -k gatehost.keytab host/gate.corpX.un
kadmin> quit
</code><code>
server# scp gatehost.keytab gate:
</code>

== Microsoft Active Directory ==

  * Еще один способ: [[https://blog.it-kb.ru/2017/10/26/adding-spn-entries-in-keytab-on-linux-server-using-ktutil-associated-with-computer-account-in-active-directory-domain/|Добавление SPN записей в keytab-файл (на стороне сервера Linux с помощью утилиты ktutil), связанный с учётной записью Computer в домене Active Directory]]

Добавляем пользователя в AD
<code>
Login: gatehost
Password: Pa$$w0rd
</code>
Пароль не меняется и не устаревает

Связываем SPN ([[http://sysadminwiki.ru/wiki/Service_Principal_Name_%28SPN%29|Service Principal Name]]) host/gate.corpX.un@CORPX.UN с учетной записью gatehost

<code>
C:\>ktpass -princ host/gate.corpX.un@CORPX.UN -mapuser gatehost -pass 'Pa$$w0rd' -out gatehost.keytab

C:\>setspn -L -U gatehost

C:\>pscp gatehost.keytab gate:
</code>

== Samba4 ==
<code>
server# samba-tool user create gatehost

server# samba-tool user setexpiry gatehost --noexpiry

server# samba-tool spn add host/gate.corpX.un gatehost

server# samba-tool spn list gatehost

server# samba-tool domain exportkeytab gatehost.keytab --principal=host/gate.corpX.un
</code>

=== Добавление ключа в системный keytab ===

== Debian/Ubuntu (MIT) ==
<code>
root@gate:~# ktutil
</code><code>
ktutil: rkt /root/gatehost.keytab
ktutil: list
ktutil: wkt /etc/krb5.keytab
ktutil: quit

root@gate:~# klist -ek /etc/krb5.keytab
</code>

== FreeBSD (Heimdal) ==
<code>
gate# ktutil copy /root/gatehost.keytab /etc/krb5.keytab
gate# touch /etc/srvtab

gate# ktutil list
...
</code>

=== Настройка сервиса sshd на использование GSSAPI ===
<code>
gate# cat /etc/ssh/sshd_config
</code><code>
...
GSSAPIAuthentication yes
...
</code>

=== Настройка unix клиента ssh на использование GSSAPI ===
<code>
client1# less /etc/ssh/ssh_config
</code><code>
...
GSSAPIAuthentication yes
...
</code>

=== Настройка windows клиента (Centrify putty) на использование GSSAPI ===
<code>
Hostname: gate.corpX.un
SSH->Auth
  Attempt "keyboard intractive": no
SSH->Kerberos 
  Attempt Kerberos Auth: yes
  User name portion of user principal name: yes
</code>

=== Отладка ===
<code>
gate# kinit -V -k -t /etc/krb5.keytab host/gate.corpX.un@CORPX.UN

user1@client1$ kinit

user1@client1$ kinit -S host/gate.corpX.un@CORPX.UN
или
user1@client1$ kvno host/gate.corpX.un@CORPX.UN

user1@client1$ ssh -vv gate.corpX.un

gate# service ssh stop
gate# mkdir /run/sshd
gate# /usr/sbin/sshd -d
</code>

===== Дополнительные материалы =====

==== SSH сервер для Windows ====

  * [[https://serverfault.com/questions/8411/what-is-a-good-ssh-server-to-use-on-windows]]
  * [[https://social.technet.microsoft.com/Forums/ru-RU/f66a25ac-08ba-4131-9316-c681a5f6bf88/ssh-powershell]]
==== SSH терминал в web браузере ====

  * [[http://xmodulo.com/access-ssh-terminal-web-browser-linux.html|How to access ssh terminal in web browser on Linux]]
  * [[https://server.corpX.un:4200/]]

=== FreeBSD ===
<code>
# pkg install shellinabox

# service shellinaboxd onestart
</code>