Как починить fatal: Access denied for user A by PAM account configuration [preauth]?

Question

[Alexandr_cd]

Обновил openssh до sshd 8.1. При подключении на сервере ошибка: sshd fatal: Access denied for user A by PAM account configuration [preauth]
Настроена ldap, авторизация по ключу.
Не пойму что не так, зайти на сервер не получается? не по ключу, не по паролю.
Работаю через давно открытое соединение в терминале.
Дистр Oracle Linux Server"
VERSION="8.7"

Answer 1

[Vitaly Karasik]

1) Возможно, обновление openssh затерло ваши кастомные файлы конфигурации.
Советую поднять клон из бэкапа и сравнить.
2) Посмотрите на логи неудачного логина - это позволит понять какой PAM модуль не пускает и в чем проблема.

Comments

[Alexandr_cd]

Vitaly Karasik В логах ошибка (по ключу): error: kex_exchange_identification: Connection closed by remote host

А если по паролю то ошибка: error: Could not get shadow information for avchirkov

[Vitaly Karasik]

Alexandr_cd,
- поднимите уровень verbosity в PAM модулях
- "error: Could not get shadow information for avchirkov" - это пользователь локальный или из LDAP? Если первое - проверьте локальный /etc/shadow, если второе - проверить если ли вообще интеграция с LDAP. Например "id avchirkov".

[Alexandr_cd]

Vitaly Karasik
Да пользователя по id находит:
uid=723731(avchirkov) gid=393(contract) groups=393(contract).
Заходим по доменным учеткам.

[Vitaly Karasik]

Alexandr_cd,
попробуйте две вещи
- попробовать ssh avchirkov@localhost на сервере, с тем же ключом
- на удаленном клиенте запустить 'ssh -v .......' - возможно лог что-то нам подскажет

[Alexandr_cd]

Vitaly Karasik
ssh avchirkov@localhost
/etc/crypto-policies/back-ends/openssh.config: line 3: Bad configuration option: gssapikexalgorithms
/etc/crypto-policies/back-ends/openssh.config: terminating, 1 bad configuration options

ssh avchirkov@10.73.159.52 -vvv
OpenSSH_8.2p1 Ubuntu-4ubuntu0.4, OpenSSL 1.1.1f 31 Mar 2020
debug1: Reading configuration data /home/alex/.ssh/config
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: /etc/ssh/ssh_config line 19: include /etc/ssh/ssh_config.d/*.conf matched no files
debug1: /etc/ssh/ssh_config line 21: Applying options for *
debug2: resolve_canonicalize: hostname xxxx is address
debug2: ssh_connect_direct
debug1: Connecting toxxxxx port 22.
debug1: connect to address xxxxx port 22: Connection timed out
ssh: connect to host xxx port 22: Connection timed out

cat /etc/crypto-policies/back-ends/openssh.config
Ciphers [e-mail],[e-mail],aes256-ctr,aes256-cbc,[e-mail],aes128-ctr,aes128-cbc
MACs [e-mail],[e-mail],[e-mail],[e-mail],hmac-sha2-256,hmac-sha1,[e-mail],hmac-sha2-512
GSSAPIKexAlgorithms gss-curve25519-sha256-,gss-nistp256-sha256-,gss-group14-sha256-,gss-group16-sha512-,gss-gex-sha1-,gss-group14-sha1-
KexAlgorithms curve25519-sha256,[e-mail],ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1
PubkeyAcceptedKeyTypes ecdsa-sha2-nistp256,[e-mail],ecdsa-sha2-nistp384,[e-mail],ecdsa-sha2-nistp521,[e-mail],ssh-ed25519,[e-mail],rsa-sha2-256,[e-mail],rsa-sha2-512,[e-mail],ssh-rsa,[e-mail]
CASignatureAlgorithms ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-ed25519,rsa-sha2-256,rsa-sha2-512,ssh-rsa

[Vitaly Karasik]

Alexandr_cd,
Уже понятнее - https://serverfault.com/questions/1099924/bad-conf...

По-видимому, формат конфигов поменялся.
Попробуйте

ls -l /etc/crypto-policies/back-ends/openss*

возможно там же лежит другая версия конфига. Или почитайте интернет и попробуйте исправить конфиги вручную.

[Alexandr_cd]

Vitaly Karasik
ls исодержимое файлов
ls -l /etc/crypto-policies/back-ends/openss*
lrwxrwxrwx 1 root root 46 дек 30 2021 /etc/crypto-policies/back-ends/openssh.config -> /usr/share/crypto-policies/DEFAULT/openssh.txt
lrwxrwxrwx 1 root root 52 дек 30 2021 /etc/crypto-policies/back-ends/opensshserver.config -> /usr/share/crypto-policies/DEFAULT/opensshserver.txt
-rw-r--r--. 1 root root 1663 ноя 23 2021 /etc/crypto-policies/back-ends/opensshserver.config.orig
lrwxrwxrwx 1 root root 49 дек 30 2021 /etc/crypto-policies/back-ends/opensslcnf.config -> /usr/share/crypto-policies/DEFAULT/opensslcnf.txt
lrwxrwxrwx 1 root root 46 дек 30 2021 /etc/crypto-policies/back-ends/openssl.config -> /usr/share/crypto-policies/DEFAULT/openssl.txt

cat /etc/crypto-policies/back-ends/openssh.config
Ciphers [e-mail],[e-mail],aes256-ctr,aes256-cbc,[e-mail],aes128-ctr,aes128-cbc
MACs [e-mail],[e-mail],[e-mail],[e-mail],hmac-sha2-256,hmac-sha1,[e-mail],hmac-sha2-512
GSSAPIKexAlgorithms gss-curve25519-sha256-,gss-nistp256-sha256-,gss-group14-sha256-,gss-group16-sha512-,gss-gex-sha1-,gss-group14-sha1-
KexAlgorithms curve25519-sha256,[e-mail],ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1
PubkeyAcceptedKeyTypes ecdsa-sha2-nistp256,[e-mail],ecdsa-sha2-nistp384,[e-mail],ecdsa-sha2-nistp521,[e-mail],ssh-ed25519,[e-mail],rsa-sha2-256,[e-mail],rsa-sha2-512,[e-mail],ssh-rsa,[e-mail]
CASignatureAlgorithms ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-ed25519,rsa-sha2-256,rsa-sha2-512,ssh-rsa

Очистил этот файл (на другом сервер он пустой)стал заходить но по таймауту отваливается

cat /etc/crypto-policies/back-ends/opensshserver.config
CRYPTO_POLICY='-oCiphers=[e-mail],[e-mail],aes256-ctr,aes256-cbc,[e-mail],aes128-ctr,aes128-cbc -oMACs=[e-mail],[e-mail],[e-mail],[e-mail],hmac-sha2-256,hmac-sha1,[e-mail],hmac-sha2-512 -oKexAlgorithms=curve25519-sha256,[e-mail],ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1 -oHostKeyAlgorithms=ecdsa-sha2-nistp256,[e-mail],ecdsa-sha2-nistp384,[e-mail],ecdsa-sha2-nistp521,[e-mail],ssh-ed25519,[e-mail],rsa-sha2-256,[e-mail],rsa-sha2-512,[e-mail],ssh-rsa,[e-mail] -oPubkeyAcceptedKeyTypes=ecdsa-sha2-nistp256,[e-mail],ecdsa-sha2-nistp384,[e-mail],ecdsa-sha2-nistp521,[e-mail],ssh-ed25519,[e-mail],rsa-sha2-256,[e-mail],rsa-sha2-512,[e-mail],ssh-rsa,[e-mail] -oCASignatureAlgorithms=ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-ed25519,rsa-sha2-256,rsa-sha2-512,ssh-rsa'

cat /etc/crypto-policies/back-ends/opensshserver.config.orig
CRYPTO_POLICY='-oCiphers=[e-mail],[e-mail],aes256-ctr,aes256-cbc,[e-mail],aes128-ctr,aes128-cbc -oMACs=[e-mail],[e-mail],[e-mail],[e-mail],hmac-sha2-256,hmac-sha1,[e-mail],hmac-sha2-512 -oGSSAPIKexAlgorithms=gss-curve25519-sha256-,gss-nistp256-sha256-,gss-group14-sha256-,gss-group16-sha512-,gss-gex-sha1-,gss-group14-sha1- -oKexAlgorithms=curve25519-sha256,[e-mail],ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1 -oHostKeyAlgorithms=ecdsa-sha2-nistp256,[e-mail],ecdsa-sha2-nistp384,[e-mail],ecdsa-sha2-nistp521,[e-mail],ssh-ed25519,[e-mail],rsa-sha2-256,[e-mail],rsa-sha2-512,[e-mail],ssh-rsa,[e-mail] -oPubkeyAcceptedKeyTypes=ecdsa-sha2-nistp256,[e-mail],ecdsa-sha2-nistp384,[e-mail],ecdsa-sha2-nistp521,[e-mail],ssh-ed25519,[e-mail],rsa-sha2-256,[e-mail],rsa-sha2-512,[e-mail],ssh-rsa,[e-mail] -oCASignatureAlgorithms=ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-ed25519,rsa-sha2-256,rsa-sha2-512,ssh-rsa'

cat /etc/crypto-policies/back-ends/opensslcnf.config
CipherString = @SECLEVEL=2:kEECDH:kRSA:kEDH:kPSK:kDHEPSK:kECDHEPSK:-aDSS:-3DES:!DES:!RC4:!RC2:!IDEA:-SEED:!eNULL:!aNULL:!MD5:-SHA384:-CAMELLIA:-ARIA:-AESCCM8
Ciphersuites = TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:TLS_AES_128_CCM_SHA256
TLS.MinProtocol = TLSv1.2
TLS.MaxProtocol = TLSv1.3
DTLS.MinProtocol = DTLSv1.2
DTLS.MaxProtocol = DTLSv1.2
SignatureAlgorithms = ECDSA+SHA256:ECDSA+SHA384:ECDSA+SHA512:ed25519:ed448:rsa_pss_pss_sha256:rsa_pss_rsae_sha256:rsa_pss_pss_sha384:rsa_pss_rsae_sha384:rsa_pss_pss_sha512:rsa_pss_rsae_sha512:RSA+SHA256:RSA+SHA384:RSA+SHA512:ECDSA+SHA224:RSA+SHA224:ECDSA+SHA1:RSA+SHA1

cat /etc/crypto-policies/back-ends/openssl.config
@SECLEVEL=2:kEECDH:kRSA:kEDH:kPSK:kDHEPSK:kECDHEPSK:-aDSS:-3DES:!DES:!RC4:!RC2:!IDEA:-SEED:!eNULL:!aNULL:!MD5:-SHA384:-CAMELLIA:-ARIA:-AESCCM8

Answer 2

[CityCat4]

В секции account какой-то из модулей запретил Вам доступ. Смотрите лог, там обычно указывается, какой модуль и почему.

Comments

[Alexandr_cd]

CityCat4 В логах ошибка (по ключу): error: kex_exchange_identification: Connection closed by remote host

А если по паролю то ошибка: error: Could not get shadow information for avchirkov

[CityCat4]

Alexandr_cd, Ну, первое похоже на попытку подключения старым клиентом к новому серверу - у меня такое постоянно, когда пытаюсь через XShell 4 подключиться.
Второе - какой-то модуль (pam_unix, возможно) не смог найти в /etc/shadow юзера avchirkov

[Alexandr_cd]

CityCat4
Да пользователя по id находит:
uid=723731(avchirkov) gid=393(contract) groups=393(contract).
Заходим по доменным учеткам.

[CityCat4]

Alexandr_cd, А модуль работы с доменными учетками подключен? pam_winbind, pam_sss?

[Alexandr_cd]

CityCat4
Нет ни на новых машинах- на которых проблема, не на старых где нет проблемы. А pam_sss есть

[CityCat4]

Alexandr_cd, А порядок каков? Сначала pam_unix, потом pam_sss или наоброт?

У меня вот так:

auth       required     pam_env.so
auth       [success=4 new_authtok_reqd=done default=ignore] pam_unix.so try_first_pass
auth       requisite    pam_succeed_if.so uid >= 1000 quiet
auth       [success=2 new_authtok_reqd=done default=ignore] pam_sss.so use_first_pass
auth       required     pam_faillock.so authfail
auth       requisite    pam_deny.so
auth       required     pam_faillock.so authsucc
auth       optional     pam_keystore.so use_first_pass
auth       optional     pam_ecryptfs.so unwrap

то есть сначала проверка по локальной базе, если не нашло - по домену, если нашло - в домен не лезть.

[Alexandr_cd]

CityCat4,
Сначала pam_unix.so, потом pam_sss.so
cat /etc/pam.d/system-auth
# Generated by authselect on Tue Nov 23 08:32:50 2021
# Do not modify this file manually.

auth required pam_env.so
auth required pam_faildelay.so delay=2000000
auth required pam_faillock.so preauth silent
auth [default=1 ignore=ignore success=ok] pam_usertype.so isregular
auth [default=1 ignore=ignore success=ok] pam_localuser.so
auth sufficient pam_unix.so
auth [default=1 ignore=ignore success=ok] pam_usertype.so isregular
auth sufficient pam_sss.so forward_pass
auth required pam_faillock.so authfail
auth required pam_deny.so

account required pam_access.so
account required pam_faillock.so
account required pam_unix.so
account sufficient pam_localuser.so
account sufficient pam_usertype.so issystem
account [default=bad success=ok user_unknown=ignore] pam_sss.so
account required pam_permit.so

password requisite pam_pwquality.so local_users_only
password sufficient pam_unix.so sha512 shadow use_authtok
password sufficient pam_sss.so use_authtok
password required pam_deny.so

session optional pam_keyinit.so revoke
session required pam_limits.so
-session optional pam_systemd.so
session optional pam_oddjob_mkhomedir.so
session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session required pam_unix.so
session optional pam_sss.so

[CityCat4]

Alexandr_cd, не совсем доезжаю логику секции auth.
- проверить тип учетки, если НЕ верно, то пропустить pam_localuser, перейти к pam_unix
- проверить тип учетки еще раз (зачем?), если НЕ верно, пропустить pam_unix?
- выполнить pam_unix, если не нашли - перейти к проверке типа учетки?
...
мне кажется это совсем не то, что хотелось. Либо я не так понимаю эту логику. Опишите словами - как должна работать аутентификация :)