Процесс перемещения ключей сервера SSH на новый сервер
В ближайшее время планируется перенести сервер на новое оборудование в новом центре обработки данных, и, конечно, это означает новый IP.
Как правильно (если это вообще возможно) переместить ключи SSH с исходного сервера на новый, чтобы подключающиеся клиенты не получали никаких предупреждений или не принимали что-либо снова?
Это вообще возможно, учитывая, что IP меняется?
Какие файлы мне нужно переместить? Я предполагаю, что все файлы ssh_host_*.
Переход от RHEL 5 к Ubuntu 10.04.
3 ответа
Вы можете переместить ключи от вашего текущего сервера на новый сервер без особых хлопот. Вам просто нужно убедиться, что они заходят в одно и то же место и имеют одинаковое разрешение.
В идеале, однако, вы должны воспользоваться возможностью для создания новых ключей и обновления клиентских ключей в интересах безопасности.
1) Если ваши конфигурационные файлы sshd хранятся в /etc/ssh/, вам необходимо скопировать их все. Там вы найдете конфигурацию sshd, а также пару ключей хоста.
Убедитесь, что вы правильно скопировали разрешения! Sshd будет просто игнорировать ключи, которые не защищены должным образом. (Хорошо, так как незащищенный закрытый ключ - очень плохая идея.)
2) Если вы уже добавили открытые ключи удаленных хостов, которые являются доверенными и не требуют пароля для входа в систему, вам также придется скопировать эту информацию, чтобы автоматический вход снова работал сейчас. Эта информация обычно хранится в /home/-account-/.ssh/ (в авторизованном ключе). Опять же, не забывайте разрешения здесь.
Что касается изменения IP-адреса, предполагая, что удаленные клиенты действительно видят изменение в IP (вы не находитесь за каким-то обратным прокси-сервером или чем-то еще), то нет, они потребуют от пользователя снова принять сертификат. (поскольку в файле known_hosts удаленного клиента IP-адрес сервера и сертификат сервера хранились вместе) Хуже того, если вы назначите этот IP-адрес другому ssh-серверу, они могут даже получить предупреждение о нападении "человек посередине".
Поэтому имеет смысл использовать тот же (внешний) IP-адрес на новом сервере.
Вы не упомянули свою ОС. Я могу с уверенностью сказать, что на хосте RHEL хранятся ключи сервера в /etc/ssh. Просто скопируйте этот каталог целиком. Затем вам нужно будет сбросить sshd/ перезапустить окно.
Я считаю, что пока вы подключаетесь через одно и то же DNS-имя, вы не должны получать предупреждений. Даже с новым IP.
- Кристофер Карел