Как понять причину по которой не устанавливается ssh соединение по ключу?

Question

[vldud]

Пытаюсь установить ssh соединение между клиентом и сервером по rsa ключу. Ключ сгенерирован через ssh-keygen, добавлен в authorized_keys, в настройках sshd_config выставлено PubkeyAuthentication yes. Но соединение по ключу без пароля все равно не устанавливается. Собственно вопрос куда копать/как дебажить?
Запускал ssh с ключем -vvv, вот содержательная часть вывода:

Comments

[Lynn «Кофеман»]

Что в логах sshd?
Проверить на сервере права на домашний каталог, .ssh и authorised_keys

[SubGANs]

Путь до ключа то указан в команде ssh?
ssh -i /home/user/key_private root@8.8.8.8 так команда выглядит?
Или конфиг создан для хоста для подключения в ~/.ssh/config?

[CHolfield]

он же вам пишет, что не может найти секретный ключ, перебирая три варианта.

[jcmvbkbc]

он же вам пишет, что не может найти секретный ключ, перебирая три варианта.

CHolfield, он же вам перед этим пишет, что нашёл id_rsa

[CHolfield]

jcmvbkbc, он пишет что пробует (Trying) найти его, но не находит такого файла (no such file or dir)

[jcmvbkbc]

CHolfield, мы наверно с вами на разные картинки смотрим. На моей картинке в третьей строке сверху оно.

[CHolfield]

jcmvbkbc, нет, мы смотрим в одно место, но вы не видите разницу между публичным ключом (public key), который в наличии, и соответствующим ему секретным ключом (private key), который не находится.

[jcmvbkbc]

мы смотрим в одно место

CHolfield, это радует.

вы не видите разницу между публичным ключом (public key), который в наличии, и соответствующим ему секретным ключом (private key), который не находится

про "приватный ключ rsa не находится" на этой картинке ничего нет -- сервер в ответ на SSH_MSG_USERAUTH_REQUEST с id_rsa прислал 51, SSH_MSG_USERAUTH_FAILURE, поэтому до работы с приватным ключом rsa дело не дошло.

Справедливости ради, я считал, что SSH_MSG_USERAUTH_REQUEST будет послан, только при наличии приватного ключа, потому что в противном случае аутентификация невозможна, но практика показывает, что и при наличии одного только id_rsa.pub запрос на аутентификацию посылается (но в конце концов используется либо другой ключ, либо пароль).

[CHolfield]

jcmvbkbc,

про "приватный ключ rsa не находится" на этой картинке ничего нет

есть:
Trying private key … id_dsa
тут же он видит, что соответствующего приватного ключа нет (no such identity, identity и есть соответствующий публичному приватный ключ в терминах этого вывода) и переходит к следующему файлу. В итоге перебор имен файлов в целях поиска приватного ключа заканчивается ничем, а потом как у вас написано смена метода авторизации.

[jcmvbkbc]

про "приватный ключ rsa не находится" на этой картинке ничего нет

Trying private key … id_dsa
тут же он видит, что соответствующего приватного ключа нет

CHolfield, разница в одну букву подрывает вашу теорию на корню. Про приватный ключ rsa в этом логе ничего не написано.

[CHolfield]

jcmvbkbc, название файла ничего не говорит о его содержимом. Перебираются все файлы на предмет наличия не просто rsa ключа, а именно соответствующего отправленному публичному приватного ключа. И в одном файле может быть несколько ключей, разными алгоритмами сгенерированных. Это не теория, гляньте исходники клиента ssh, прежде чем продолжить обмен мнениями, и приведите кусок кода, в котором приватный ключ ищется исходя из названия алгоритма в имени файла.

Упд: в файле id_rsa искомого ключа тоже, видимо, нет, только публичный.

[CHolfield]

jcmvbkbc, вот в цикле перебираются все известные ключи, все подряд, какие вам еще аргументы надо я хз:

static int
userauth_pubkey(struct ssh *ssh)
{
	Authctxt *authctxt = (Authctxt *)ssh->authctxt;
	Identity *id;
	int sent = 0;
	char *ident;

	while ((id = TAILQ_FIRST(&authctxt->keys))) {
		if (id->tried++)
			return (0);
		/* move key to the end of the queue */
		TAILQ_REMOVE(&authctxt->keys, id, next);
		TAILQ_INSERT_TAIL(&authctxt->keys, id, next);
		/*
		 * send a test message if we have the public key. for
		 * encrypted keys we cannot do this and have to load the
		 * private key instead
		 */
		if (id->key != NULL) {
			if (try_identity(id)) {
				ident = format_identity(id);
				debug("Offering public key: %s", ident);
				free(ident);
				sent = send_pubkey_test(ssh, id);
			}
		} else {
			debug("Trying private key: %s", id->filename);
			id->key = load_identity_file(id);
			if (id->key != NULL) {
				if (try_identity(id)) {
					id->isprivate = 1;
					sent = sign_and_send_pubkey(ssh, id);
				}
				sshkey_free(id->key);
				id->key = NULL;
				id->isprivate = 0;
			}
		}
		if (sent)
			return (sent);
	}
	return (0);
}

[jcmvbkbc]

название файла ничего не говорит о его содержимом

Говоря о ключе rsa я имел в виду файл ~/.ssh/id_rsa

гляньте исходники клиента ssh

Будто это что-то сложное?
Вот место, где добавляются имена файлов identity в список.
Вот место, где печатается "Offering public key". Да, в этой версии SSH в этом сообщении уже нет слова RSA. В противоположной ветке печатается "Trying private key".
А вот место, где печатается "no such identity".

И вот глядя на всё это я повторю ещё раз: судя по картинке найден файл ~/.ssh/id_rsa.pub, ключ из него предложен серверу, сервер ответил отказом. Файл ~/.ssh/id_rsa даже не рассматривался. На картинке нет свидетельств, что файл ~/.ssh/id_rsa отсутствует. Но есть свидетельства, что отсутствуют файлы ~/.ssh/id_{dsa,ecdsa,ed25519}.

Answer 1

[jcmvbkbc]

куда копать/как дебажить?

Читать /var/log/auth.log (или куда настроен вывод sshd) на сервере.

Comments

[vldud]

Да, дополнительная проблема в том, что я не могу найти, куда логируется sshd. Должен в /var/log/secure, но там нет ничего содержательного.
Настройки rsyslog.conf:

authpriv.*                                              -/var/log/secure

Настройки sshd_config:

SyslogFacility AUTHPRIV
LogLevel VERBOSE

Answer 2

[Владимир Куц]

Проверьте права доступа на файлы и папки.