Почему не могу закинуть открытый ключ SSH из Линукса в Windows?

Question

[Nordman99]

Всем доброго дня, такая ситуация - хочу из линукса, Убунта 20.04, подключится в Windows 10 20H2 удаленно по SSH
всё настроил, и на Убунте и на винде служба sshd работает порт слушает, сгенерил и на винде и на убунте ключи,
пробовал для начала подключится без авторизации по ключам - только по паролю, всё ОК, из убунты к винде подключился выполнил

$ssh user@ipaddress

ввёл пароль и всё, я в винде, но нужна авторизация по ключам,
В /etc/ssh/sshd_config строчку PubkeyAuthentication yes выставил
Также и в винде в файле c:\windows\system32\openssh\sshd_config
sshd и там и там перезапустил

выполняю

$ssh-copy-id user@ipaddress

получаю вот такой вывод:

/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
user@ipaddress's password: 
"exec" �� ���� ����७��� ��� ���譥�
��������, �ᯮ��塞�� �ணࠬ��� ��� ������ 䠩���.
�⪠���� � ����㯥.
���⥬� �� 㤠���� ���� 㪠����� ����.

тогда выполняю

$ssh-copy-id user@ipaddress &> ~/ssh_log (Кстати где SSH вёдёт свои логи? в /var/log/ ненашел ничего)
смотрю в ~/ssh_log, там следующее:

/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
"exec" не является внутренней или внешней
командой, исполняемой программой или пакетным файлом.
Отказано в доступе.
Системе не удается найти указанный путь.

Что делать?
читал https://qna.habr.com/q/1010371 но советы оттуда явно не имеют отношения к моей проблеме

Comments

[FanatPHP]

про венду вообще ничего не знаю, но логировать клиента нет смысла, просто сделать -vvv
но опять же, в клиентских логах инфы практически никакой, надо на сёрвере смотреть, почему не пускает

я бы забыл про ssh-copy-id, нагуглил где ключ должен в винде лежать и с какими правами, и тупо записал руками

[Nordman99]

FanatPHP, также в папке юзера в .ssh, с правами только юзера, т.е. c:\users\user\.ssh
Вручную тоже закидывал и туда делал еще и в папке .ssh делал папку authorized_keys и туда закидывал, бесполезно,
А в инете больше статей о том как из винды в линукс заходить по ссх, но не наоборот

[FanatPHP]

что значит папку authorized_keys?!

[Nordman99]

FanatPHP, вроде же ясно написал
закинул октрытый ключ в папку c:\users\user\.ssh - ssh не коннектится
сделал папку c:\users\user\.ssh\authorized_keys закинул еще и туда, все равно не коннектится

[FanatPHP]

скажите, а где вы прочли такое, про то что надо сделать папку authorized_keys?

[latush]

Nordman99, "папку authorized_keys"?
Не файл?

[Nordman99]

latush, Да папку, не файл, и в нее закидывал ключ .pub

[Sand]

Nordman99, authorized_keys это файл со списком ключей

[Sand]

Nordman99, попробуйте вот что, на винде удалите папку authorized_keys, затем с вашей убунты выполните команду:

cat .ssh/id_rsa.pub | ssh [e-mail] 'cat >> .ssh/authorized_keys && chmod 600 .ssh/authorized_keys'

Answer 1

[Saboteur]

Нужно полистать конфигурацию вашего sshd сервере на винде и посмотреть где он считает должны быть публичные ключи пользователя.
Это может быть и $USERHOME/.ssh/authorized_keys и $USERHOME/.ssh/authorized_keys2 и что-нибудь еще.
ssh-copy-id может не знать про то, где должны лежать публичные ключи в винде, его нет смысла использовать в данном случае.

Прочитайте документацию к sshd серверу под виндой чтобы понять где он ищет публичные ключи пользователя.

Comments

[Nordman99]

Нужно полистать конфигурацию вашего sshd сервере на винде и посмотреть где он считает должны быть публичные ключи пользователя

Вообщем виндовый OpenSSH устанавливается в папку c:\windows\system32\OpenSSH
Там же лежит дефолтный конфиг - sshd_config_default
Вот его содержимое: https://pastebin.com/tnudZbsJ
Этот конфиг целиком копируется при установке в папку c:\ProgramData\ssh\
С именем sshd_config, оттуда, т.е. из файла c:\ProgramData\ssh\sshd_config эти настройки и применяются при первом запуске sshd, с дефолтными настройками авторизация по паролю проходила, коннект из линукса в винду по SSH проходил отлично,
я в файле поменял, настройки: прописал путь к authorized_keys (может его и ненадо было прописывать?)
отключил авторизацию по паролю и включил по ключу:

PasswordAuthentication no
PubkeyAuthentication yes

Прописал путь к authorized_keys таким образом:
Было: AuthorizedKeysFile .ssh/authorized_keys
Прописал: AuthorizedKeysFile __USERPROFILE__/.ssh/authorized_keys
Кстати странно что было AuthorizedKeysFile .ssh/authorized_keys (в линуксовом конфиге эта строчка такая же) - что подразумевается под расположением .ssh/authorized_keys ? Если папка пользователя то где путь к ней перед .ssh?
вообщем полистав виндовый конфиг ниже можно увидеть такие строчки:

Match Group administrators
AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys

Отсюда делаю вывод - в виндовом конфиге к переменным окружения обращаться нужно также через __ до и после, т.к. PROGRAMDATA это системная переменная окружения, обычно - c:\Programdata
поэтому путь к authorized_keys я и прописал как _USERPROFILE__/.ssh
т.к. USERPROFILE в винде это путь к папке профиля текущего пользователя, в моем случае - c:\Users\мояпапка
По совету uvelichitel прописал также в конфиге

Match User Me
AuthorizedKeysFile __USERPROFILE__/.ssh/authorized_keys

а оригинальные строчки
Match Group administrators
AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys
закомментировал

Вообщем сейчас мой конфиг выглядит так: https://pastebin.com/usQSU5tC

sshd ессно перезапускал, не коннектится по ключу все равно,
Кстати пробовал коннектися из убунты и через putty, сгенерил в патти ключи (т.к. с ключами openssh он не работает, вернее работает но если их сконвертировать формат патти но я не стал), также закинул открытый ключ на сервер в файл authorized_keys - и патти не коннектится, выдаёт тоже самое
Permission denied (publickey,keyboard-interactive).

[Saboteur]

Кстати странно что было AuthorizedKeysFile .ssh/authorized_keys (в линуксовом конфиге эта строчка такая же) - что подразумевается под расположением .ssh/authorized_keys ? Если папка пользователя то где путь к ней перед .ssh?

Подразумевается относительный путь. У пользователя по умолчанию рабочая папка равна его домашней папке. Тем более что в Линукс домашняя папка пользователя может быть где угодно (/home/user1 или /root или /opt/user2 или /var/www) поэтому для линукса это правильный путь.

Прописал: AuthorizedKeysFile __USERPROFILE__/.ssh/authorized_keys

В Windows по идее должно работать %USERPROFILE%/.ssh/authorized_keys
но я тут вычитал, что если у тебя пользователь - администратор, но такая штука не сработает. Надо добавлять публичный ключ в %PROGRAMDATA%/ssh/administrators_authorized_keys
Вот из оригинальной инструкции:
Note that if you are setting up keys for an administrator user, putting the public key to %USERPROFILE%/.ssh/authorized_keys will not work. You must append the public key to %PROGRAMDATA%/ssh/administrators_authorized_keys instead.

И дополнительно нужно еще и права доступа к этому файлику защитить, для этого можно выполнить повешелл скрипт, который добавит нужные ACL:

$acl = Get-Acl C:\ProgramData\ssh\administrators_authorized_keys
$acl.SetAccessRuleProtection($true, $false)
$administratorsRule = New-Object system.security.accesscontrol.filesystemaccessrule("Administrators","FullControl","Allow")
$systemRule = New-Object system.security.accesscontrol.filesystemaccessrule("SYSTEM","FullControl","Allow")
$acl.SetAccessRule($administratorsRule)
$acl.SetAccessRule($systemRule)
$acl | Set-Acl

Answer 2

[uvelichitel]

1. Нужно в %programdata%\ssh\sshd_configпрописать

Match User YOU
             AuthorizedKeysFile C:/Users/YOU/.ssh/authorized_keys

2. ssh-copy-id не будет работать с windows. Попробуйте

cat ~/.ssh/id_rsa.pub | ssh USER@WINDOWS 'mkdir -p ~/.ssh && type con >> C:/Users/YOU/.ssh/authorized_keys'

если не получается пробуйте scp

scp ~/.ssh/id_rsa.pub WINDOWS_IP:C:/Users/YOU/.ssh/authorized_keys

если не получается переносите флешкой.

Comments

[Nordman99]

Закинул ключи в винду флешкой в папку c:\Users\User\.ssh
итого там появился ключ.pub
Сделал как в п.1
т.е. прописал
Match User User
AuthorizedKeysFile C:/Users/User/.ssh/ключ.pub

Кстати там уже были строчки:

Match Group administrators
AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys

Это образец?

Выставил в c:\programdata\ssh\sshd_config

PasswordAuthentication no

перезапустил в винде службу sshd

выполняю в линухе

$ ssh User@ipaddress

В итоге получаю
Permission denied (publickey,keyboard-interactive).

Кстати что это там в
%programdata%\ssh\sshd_config за строчки:

#HostKey __PROGRAMDATA__/ssh/ssh_host_rsa_key
#HostKey __PROGRAMDATA__/ssh/ssh_host_dsa_key
#HostKey __PROGRAMDATA__/ssh/ssh_host_ecdsa_key
#HostKey __PROGRAMDATA__/ssh/ssh_host_ed25519_key

и

# The default is to check both .ssh/authorized_keys and .ssh/authorized_keys2
# but this is overridden so installations will only check .ssh/authorized_keys
#AuthorizedKeysFile .ssh/authorized_keys

Может надо в винде прописать открыто HostKey __PROGRAMDATA__/ssh/закрытый ключ

и - AuthorizedKeysFile .ssh/открытыйключклиента ?

Вроде когда ключи в винде сгенерил командой ssh-keygen потом закрытый ключ добавил
ssh-add c:\Windows\System32\OpenSSH\закрытыйключ

Всё по мануалам

[uvelichitel]

Сдаюсь. Я в винде не эксперт, я больше по nix. Попробуйте на wind машине reboot сделать после редактирования c:\programdata\ssh\sshd_config. Это часто помогает от всего))

[Nordman99]

uvelichitel, а и по nix не профи, по Винде скорее больше но SSH пользуюсь впервые, я тут выяснил что я тупанул - содержимое открытого ключа нужно целиком записывать в файл .ssh/authorized_key, только в каком виде? Целиком без изменений? Или как? А я просто ложил файл открытого ключа в .ssh

[uvelichitel]

Вот в таком

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC5fnUPqIy4+6wZuv/P2Hr0XBi8OohgvqlBNTtFp8hpLUDmGvP43FTj4Q4NnReRbYRLGEgk6BBg+tpbcz2ta5DuOERpqVgh6FxiL/wdYElHpzMbmRubccW26pOJu5d4UofvBbz9ZF2JTqeKfHsbhnMwOEtmEzbiA610EYszIXk53vtzjh9oA8FPw7dhwRRh1XKseW7cx7zWiGssyfJNLXHLXqp/0BAYtJqgjJoi4m1N/ssaK+Dfkl6ZmYtHPJenbAO0qROw3aFsPNnbqHI0xqA535AUEet1dmQigr8d/wuxAmibiM+usDaVtP2ka8ebkzecIiiVcZCyuqaZ+5UzYs5d uvelichitel@stremglav