Net::SSH2 mit passwort geschützter public key authentication (Netzwerkprogrammierung und Netzwerke mit Perl)

[thread]14380[/thread]

Net::SSH2 mit passwort geschützter public key authentication

Leser: 19

Articles: hide open all | hide show old branches

+10 replies
br0tkasten

2009-12-14 15:47
User since
2009-07-22
6 Artikel
BenutzerIn
Hallo Leute,

stell mich grade irgendwie ziemlich blöde an. Möchte ein Skript schreiben das sich an einem entfernten Rechner via SSH anmeldet und Befehle ausführt.

Authentication über Benutzername/Passwort oder public key ohne Passwort funktionieren ohne Probleme.
Für den Produktiveinsatz würde ich den private key aber gerne mit einem Passwort schützen.
Die Methode auth_publickey aus dem Modul Net::SSH2 sieht scheinbar für diesen Fall bereits den optionalen Parameter 'password' vor.
Versuche ich aber einen Passwort geschützten private key mit der Methode auth_publickey zu laden, bleibt das Script anschließend hängen.

In diesem Fall erscheint kein Eintrag in den Logs des sshd auf dem remote Rechner. Ich schließe daraus, dass die Authentifizierung fehlgeschlagen ist.

Hier mal mein Code
Code (perl): (dl )

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30

#!/usr/bin/perl use Net::SSH2; my $IP = "192.168.1.2"; my $PRIVKEY = "/home/user/.ssh/id_rsa"; my $PUBKEY = "/home/user/.ssh/id_rsa.pub"; my $USER = "remoteUser"; my $PASS = "mySecretPassphrase"; my $ssh = Net::SSH2->new(); $ssh->connect($IP) or die("connect(): $!\n"); print " * connected\n"; $ssh->auth_publickey($USER,$PUBKEY,$PRIVKEY,$PASS); print "DEBUG - post authentication\n"; print " * authenticated\n" if($ssh->auth_ok); my $channel = $ssh->channel() or die("channel(): $!\n"); print " * got channel\n"; $channel->shell(); print " * got shell\n"; print $channel "ls -a\n"; while(<$channel>) { print ">$_<"; } $channel->close()
Ausgabe ist hier lediglich:

Quote
# ./key-auth.pl
* connected
DEBUG - post authentication

Über Ideen/Anregungen/alternative Module bin ich sehr dankbar.

mfg
bk
- +2 replies
- GwenDragon
  
  2009-12-14 16:31
  User since
  2005-01-17
  14542 Artikel
  Admin1
  Schalte doch mal das Debugging ein.
  
  Code (perl): (dl )
  
  $ssh->debug(1);
  
  die Drachin, Gwendolyn
  
  Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
  - br0tkasten
    
    2009-12-15 10:29
    
    User since
    2009-07-22
    6 Artikel
    BenutzerIn
    
    Danke für den Tip.
    
    Habe die Zeile nach Zeile 11 in meinem Code eingefügt.
    
    Leider ohne Resultat. Es werden keine zusätzlichen Ausgaben gemacht.
- bianca
  
  2009-12-15 10:39
  
  User since
  2009-09-13
  6977 Artikel
  BenutzerIn
  
  Mich wundert daran etwas, dass Deine print Zeilen 19 und 22 nicht ausgeführt werden, die sind ohne Bedingung, müssten also kommen.
  Das heißt, das Script bricht in 18 ab. Wenn es das aber wiederum kontrolliert täte, müsste doch das die() mit $! wenigstens geprintet werden. Warum tut es das nicht?
  Ich glaube, an der Stelle channel() ist etwas faul.
  Gibt es sonstige Logfiles vom lokalen Rechner/Server was auch immer?
  
  Edit: Darf perl auf dem verwendeten System die benötigten Ports benutzen (Firewall/Virenscanner)?
  Last edited: 2009-12-15 10:45:28 +0100 (CET)
  10 print "Hallo"
  20 goto 10
- GwenDragon
  
  2009-12-15 11:45
  User since
  2005-01-17
  14542 Artikel
  Admin1
  Vielleicht nutzt es was, nach jedem SSH-Zugriff mal
  
  Code (perl): (dl )
  
  $ssh->error && print "#SSH-Fehler: " .$ssh->error;
  
  Quelle: http://search.cpan.org/~rkitover/Net-SSH2-0.28/lib...
  einzufügen.
  die Drachin, Gwendolyn
  
  Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
- +5 replies
- Taulmarill
  
  2009-12-15 14:51
  
  User since
  2004-02-19
  1750 Artikel
  BenutzerIn
  
  Mir ist noch eingefallen, dass manche SSh-Server bei missglückter Authentifizierung keine Antwort liefern. Das würde erklären, warum dein Script stehen bleibt anstatt eine Fehlermeldung auszugeben. Es wartet evtl. einfach auf eine Antwort.
  
  Hast du mal alles überprüft? Also genau nach schauen, ob die Pfade zu den Keys passen, die Passphrase stimmt, etc. Kannst du dich interaktiv mit dem Key auf dem Zielserver anmelden? Evtl. ist dieser nicht oder falsch in der authorized_keys eingetragen.
  $_=unpack"B*",~pack"H*",$_ and y&1|0& |#&&print"$_\n"for@.=qw BFA2F7C39139F45F78 0A28104594444504400 0A2F107D54447DE7800 0A2110453444450500 73CF1045138445F4800 0 F3EF2044E3D17DE 8A08A0451412411 F3CF207DF41C79E 820A20451412414 83E93C4513D17D2B
  - +4 replies
  - GwenDragon
    
    2009-12-15 16:14
    
    User since
    2005-01-17
    14542 Artikel
    Admin1
    
    Bei einem Test auf einem meiner betreuten liefert $ssh->error wohl Fehlercodes zurück, wenn was nicht passt.
    
    Wer natürlich nicht die Errors abfragt, handelt nicht sinnvoll.
    
    //EDIT: Allerdings bekomme ich auch die Pubkey-Authentifikation mit dem Programm auf meinem Testserver nicht zum laufen.
    Last edited: 2009-12-15 16:20:42 +0100 (CET)
    die Drachin, Gwendolyn
    
    Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
    - +3 replies
    - Taulmarill
      
      2009-12-15 16:30
      
      User since
      2004-02-19
      1750 Artikel
      BenutzerIn
      
      Ich wollte eigentlich darauf hinaus, dass wenn der Client keine Antwort bekommt, er auch keinen Fehler liefert bevor der Timeout zuschlägt. Wenn jetzt kein Timeout definiert ist (weiß nicht ob Net::SSH2 da eine Standarteinstellung hat) oder der User zu ungeduldig ist und mit Strg C abbricht, kommt auch kein Fehlercode.
      $_=unpack"B*",~pack"H*",$_ and y&1|0& |#&&print"$_\n"for@.=qw BFA2F7C39139F45F78 0A28104594444504400 0A2F107D54447DE7800 0A2110453444450500 73CF1045138445F4800 0 F3EF2044E3D17DE 8A08A0451412411 F3CF207DF41C79E 820A20451412414 83E93C4513D17D2B
      - +2 replies
      - br0tkasten
        
        2009-12-16 08:56
        
        User since
        2009-07-22
        6 Artikel
        BenutzerIn
        
        Danke erstmal für die vielen Antworten.
        
        @Taulmarill: Sowohl eine manuelle Anmeldung (ssh user@123.4.5.6) als auch eine Anmeldung mit dem Key _ohne_ Passwort (ssh-keygen -f /home/user/.ssh/id_rsa -p, dann zwei mal enter) funktionieren problemlos. Auch die Zugriffsrechte auf die Keys sind ausreichend für den Zugriff durch das Perl Script.
        
        Habe jetzt meinen Code wie vorgeschlagen erweitert. Das ganze sieht dann so aus
        
        Code (perl): (dl )
        
        1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32
        
        #!/usr/bin/perl use Net::SSH2; my $IP = "123.4.5.6"; my $PRIVKEY = "/home/user/.ssh/id_rsa"; my $PUBKEY = "/home/user/.ssh/id_rsa.pub"; my $USER = "remoteUser"; my $ssh = Net::SSH2->new(); $ssh->connect($IP,22) or die("connect(): $!\n"); $ssh->error && print "Connect: " . $ssh->error . "\n"; $ssh->auth_publickey($USER,$PUBKEY,$PRIVKEY,'foobar'); $ssh->error && print "Auth: " . $ssh->error . "\n"; die("authentication failed\n") unless($ssh->auth_ok); my $channel = $ssh->channel() or die("channel(): $!\n"); $ssh->error && print "Channel: " . $ssh->error . "\n"; $channel->shell(); $ssh->error && print "Shell: " . $ssh->error . "\n"; print $channel "uname -a\n"; while(<$channel>) { print "$_"; } $channel->close();
        
        Wird dem SSH Key wie oben beschrieben das Passwort entfernt erfolgt die Abarbeitung bis zum Ende "fehlerfrei". Ich schreibe hier "fehlerfrei" weil $ssh->error auch in diesem Fall bei jeder Abfrage den Wert -37 zurückliefert. Auf der Konsole sieht das ganze dann so aus
        
        Code: (dl )
        
        1 2 3 4 5 6
        
        $ ./key-auth.pl Connect: -37 Auth: -37 Channel: -37 Shell: -37 Linux foobar 2.6.29.6-smp #2 SMP Mon Aug 17 00:52:54 CDT 2009 i686 Intel(R) Pentium(R) 4 CPU 2.66GHz GenuineIntel GNU/Linux
        
        Wird dem SSH key anschließend wieder ein Passwort vergeben (ssh-keygen -f /home/user/.ssh/id_rsa -p) sieht die Ausgabe dann wie folgt aus.
        
        Code: (dl )
        
        1 2 3 4
        
        $ ./key-auth.pl Connect: -37 Auth: -16 authentication failed
        
        Für den letzten Fall konnte ich kein Logfile finden in dem irgend etwas über einen Verbindungsversuch auftaucht.
        
        //EDIT zu der Sache mit $ssh->debug(1) ist mir aufgefallen, dass eine Ausgabe produziert wird, wenn der key nicht durch ein Passwort geschützt ist. Ich schließe daraus, das Problem liegt in der Verarbeitung des Keys durch Net::SSH2. Werde mich diesbezüglich wohl mal mit seinem Author in Verbindung setzen.
        Last edited: 2009-12-16 09:01:22 +0100 (CET)
        
        GwenDragon
        
        2009-12-16 09:59
        
        User since
        2005-01-17
        14542 Artikel
        Admin1
        
        Die SSH2-Errorcodes sind leider nicht in der Doku beschrieben.
        Aber in der SSH2.xs im Abschnitt /* LIBSSH2_ERROR_* values; from 0 continuing negative */ const char* libssh2_error[] = { zu finden.
        
        Ich schreibe mal die Fehler mit den dazugehörigen Nummern hier rein:
        
        Code: (dl )
        
        1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38
        
        0 "NONE", 1 "SOCKET_NONE", 2 "BANNER_NONE", 3 "BANNER_SEND", 4 "INVALID_MAC", 5 "KEX_FAILURE", 6 "ALLOC", 7 "SOCKET_SEND", 8 "KEY_EXCHANGE_FAILURE", 9 "TIMEOUT", 10 "HOSTKEY_INIT", 11 "HOSTKEY_SIGN", 12 "DECRYPT", 13 "SOCKET_DISCONNECT", 14 "PROTO", 15 "PASSWORD_EXPIRED", 16 "FILE", 17 "METHOD_NONE", 18 "PUBLICKEY_UNRECOGNIZED", 19 "PUBLICKEY_UNVERIFIED", 20 "CHANNEL_OUTOFORDER", 21 "CHANNEL_FAILURE", 22 "CHANNEL_REQUEST_DENIED", 23 "CHANNEL_UNKNOWN", 24 "CHANNEL_WINDOW_EXCEEDED", 25 "CHANNEL_PACKET_EXCEEDED", 26 "CHANNEL_CLOSED", 27 "CHANNEL_EOF_SENT", 28 "SCP_PROTOCOL", 29 "ZLIB", 30 "SOCKET_TIMEOUT", 31 "SFTP_PROTOCOL", 32 "REQUEST_DENIED", 33 "METHOD_NOT_SUPPORTED", 34 "INVAL", 35 "INVALID_POLL_TYPE", 36 "PUBLICKEY_PROTOCOL", 37 "EAGAIN"
        
        //EDIT: vergessen, dass die Fehlercodes bei 0 anfangen.
        Last edited: 2009-12-16 10:08:00 +0100 (CET)
        die Drachin, Gwendolyn
        
        Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel

View all threads created 2009-12-14 15:47.