Тайм-аут входа в SSH при проверке закрытого ключа (sss_ssh_authorizedkeys)
У меня сейчас проблема с 3 серверами как минимум.
При попытке подключиться к серверу через ssh с закрытым ключом определенного пользователя, он показывает приветственный баннер, занимает почти две минуты, а затем соединение закрывается.
ssh -i id_rsa prhtgvpi@hostname
***Welcome Banner***
Connection closed by xxx.xxx.xxx.xxx
Этого не происходит при аутентификации с паролем или с другими пользователями, с закрытым ключом или паролем.
Выполнение ssh -vvv также не показывает ничего полезного.
На стороне сервера я попытался запустить sshd в режиме отладки с помощью следующей команды:
sshd -ddd -p 2222
что дало мне на что посмотреть, после показа баннера на стороне клиента он останавливается со следующим сообщением:
debug3: Running AuthorizedKeysCommand: "/usr/bin/sss_ssh_authorizedkeys prhtgvpi" as "nobody"
Что занимает слишком много времени, чтобы закончить.
Я попытался запустить команду отдельно, и это заняло почти 2 минуты.
Я думаю, что именно в этом проблема, но я не знаю, что делает эта команда, и почему это занимает так много времени, только для этого конкретного пользователя. Выполнение той же команды с другими пользователями работает нормально.
Просматривая некоторые форумы и похожие вопросы, я обнаружил, что это как-то связано с тем, как sssd взаимодействует с IPA для аутентификации пользователей, которые, как я знаю, мы запускаем на нашем сервере.
Кто-нибудь знает, что делает этот скрипт?
Кстати, запуск его с --debug (как говорят некоторые источники, но он не описан на страницах руководства) больше ничего не показывает.
Заранее спасибо.
ОБНОВИТЬ:
Не уверен, если это решит проблему в долгосрочной перспективе (что-то должно вызывать это), но попытался это, и доступ был восстановлен:
sss_cache -E
systemctl restart sssd
Это было сделано с информацией из этого источника
Какие-нибудь мысли?
1 ответ
Я бы искал неправильно настроенный sssd
демон ( официальная документация для RHEL 5.7).
Если вы не используете RedHat IPAM или хранилище его учетных данных, вы можете просто отключить проверку ключей хоста на SSSD (и добавление, выполненное RedHat, вообще не является частью OpenSSH). Просто убедитесь, /etc/ssh/sshd_config
прокомментировал эту строку:
# AuthorizedKeysCommand /usr/bin/sss_ssh_authorizedkeys
Если вы хотите или должны поддерживать работу SSSD, я бы увеличил уровень отладки в /etc/sssd/sssd.conf
попытаться собрать больше понимания обмена SSSD и возможных источников задержки.
Надеюсь, поможет!