Het Grote OpenSSH Topic

[Verwijderd]

Wat is OpenSSH
OpenSSH is een opensource versie van het SSH (Secure Shell) connectiviteitsprogramma, uitgebracht onder de BSD-licentie. In tegenstelling tot telnet, rlogin en ftp worden wachtwoord en data met encryptie over het netwerk wordt gestuurd. OpenSSH versleutelt al het verkeer (inclusief wachtwoorden) om afluisteren, het overnemen van een verbinding en andere aanvallen tegen te gaan. Daarnaast bevat OpenSSH veilige "tunneling" mogelijkheden en verschillende authenticatiemethodes, en het ondersteunt alle SSH protocolversies. OpenSSH vervangt rlogin en telnet door het ssh programma, rcp door scp en ftp door sftp. Ook is sshd inbegrepen (het server-gedeelte van het pakket), alsmede de andere programma's zoals ssh-add, ssh-agent, ssh-keysign, ssh-keyscan, ssh-keygen en sftp-server. OpenSSH wordt ontwikkeld door het OpenBSD Project. De software wordt ontwikkeld in landen die uitvoer van cryptografie toelaten en is vrij te gebruiken en te hergebruiken door iedereen onder een BSD licentie. Ontwikkeling brengt echter kosten met zich mee, deze kosten worden voornamelijk met geld uit donaties gedekt. OpenSSH wordt ontwikkeld door twee teams. Eén team ontwikkelt uitsluitend voor OpenBSD met als doel zo schoon, simpel en veilig mogelijke code te schrijven. Ze geloven dat eenvoud zonder de portabiliteits"rommel" betere kwaliteitscontrole mogelijk en nakijken makkelijker maakt. Het andere team maakt deze versie portable (door de "rommel" toe te voegen) zodat het op veel besturingssystemen kan draaien -- de zogenaamde p versies, bv. "OpenSSH 4.3p2"). OpenSSH is beschikbaar voor vrijwel alle platformen en wordt door veel besturingssystemen en routers meegeleverd. Vrijwel alle Unix en Linux versies gebruiken inmiddels OpenSSH, fabrikanten als Cisco leveren het mee in routers en switches. Door de jaren heen heeft OpenSSH zich bewezen als veilig en betrouwbaar.
Wat is doel van dit topic?
Het uitwisselen van ervaringen en het oplossen van alle problemen met betrekking tot OpenSSH.
Features
- Open Source Project - Free Licensing - Strong Encryption (3DES, Blowfish, AES, Arcfour) - X11 Forwarding (encrypt X Window System traffic) - Port Forwarding (encrypted channels for legacy protocols) - Strong Authentication (Public Key, One-Time Password and Kerberos Authentication) - Agent Forwarding (Single-Sign-On) - Interoperability (Compliance with SSH 1.3, 1.5, and 2.0 protocol Standards) - SFTP client and server support in both SSH1 and SSH2 protocols. - Kerberos and AFS Ticket Passing - Data Compression - An ad hoc SOCKS proxy server may be created using OpenSSH. - Beginning with version 4.3, OpenSSH implements an OSI layer 2/3 tun-based VPN.
Links
OpenSSH main website The 101 Uses of OpenSSH: Part 1 The 101 Uses of OpenSSH: Part 2
F.A.Q.
OpenSSH FAQ (Frequently asked questions)

[rvdven]

Goed initiatief, ik ben benieuwd waar dit topic op uit gaat komen

Mijn ervaring met OpenSSH zijn echter niet zo groot: ik gebruik het om in te loggen op mijn server en in het verleden sshsf om m'n muziek automatisch te mounten. Op windows gebruik ik hiervoor Putty, ook erg fijn

[Verwijderd]

Ik vind vooral de combinatie van OpenSSH met (MIT) Kerberos erg sterk. Helaas gebruiken we dat op mijn werk nog niet, maar misschien komt dat ooit nog.

[Verwijderd]

Het word steeds verbeter hier op het NOS ;-) SSH is 1 van de 7 wereld wonderen in de UNIX wereld.

[Sir Isaac]

Ik gebruik sinds kort ssh om een verbinding naar de smtp server van mijn internet provider te leggen vanaf mijn laptop. Ik maak een ssh tunnel vanaf een lokale poort op mijn laptop naar mijn ssh server, die alles wat door de tunnel komt forward naar poort 25 van de smtp server van mijn provider. Op die manier kan ik overal mail verzenden zonder zelf een smtp server op te hoeven zetten. Ideaal.
Het grafische frontend dat ik hiervoor gebruik is gstm. Werk makkelijk met een applet in je notification area. Vanaf de commandline kan het natuurlijk ook.

[ Voor 4% gewijzigd door Sir Isaac op 02-01-2010 20:44 ]

[Matis]

OpenSSH gebruik ik momenteel voor mijn SFTP-server, voor scopy en voor het terminallen naar Linux machines (nee geen Unix).

Op het werk wordt het heel veel gebruikt gemaakt van SFTP en scopy, zowel intern als extern, waarom we het intern (ook) gebruiken weet ik niet. Iedereen kan bij de destination

[afraca]

Verwijderd schreef op zaterdag 02 januari 2010 @ 20:43:
Het word steeds verbeter hier op het NOS ;-) SSH is 1 van de 7 wereld wonderen in de UNIX wereld.

offtopic:
Care to share the other 6?

Mijn ervaringen op het gebied van OpenSSH zijn beperkt, maar ben benieuwd of er nog interessante dingen in dit topic gedeeld zullen worden

[DieterVDW]

Ik denk niet dat dit een erg uitgebreid topic gaat worden. OpenSSH is een mooi voorbeeld van iets dat gewoon werkt...

Alhoewel, daar bedenkt ik me toch nog iets!
Het enige probleem wat ik ooit gehad heb met SSH, is dat er telkens een delay van enkele seconden optrad na het authenticeren. Dit werd veroorzaakt door OpenSSH die probeerde een reverse DNS lookup te doen van het client IP adres. Opgelost door DNS uit te schakelen. (Cfr. dit artikel) .

Normaal geen probleem, maar als je SSH gebruikt voor SVN dan begint die delay toch flink vervelend te worden na een tijdje...

[Verwijderd]

DieterVDW schreef op zaterdag 02 januari 2010 @ 21:58:
Het enige probleem wat ik ooit gehad heb met SSH, is dat er telkens een delay van enkele seconden optrad na het authenticeren. Dit werd veroorzaakt door OpenSSH die probeerde een reverse DNS lookup te doen van het client IP adres. Opgelost door DNS uit te schakelen. (Cfr. dit artikel) .

Uitschakelen is doorgaans echt een slechte oplossing. Een DNS lookup is niet traag als alles goed werkt. Bij falende DNS servers ga je het wel merken, maar bij een goed functionerend DNS mechanisme is het echt geen probleem. En ook vooral niet OpenSSH-specifiek.

Normaal geen probleem, maar als je SSH gebruikt voor SVN dan begint die delay toch flink vervelend te worden na een tijdje...

Daarvoor kun je nog altijd een lokale caching nameserver installeren.

[Verwijderd]

Ik zal eens wat Pro OpenSSH oplossingen posten

Oplossing 1:

Stel je hebt machine A, B en C

A=Desktop thuis
B=Ssh jumpbox/bastion server van het bedrijf waarvoor je werkt
C=Server van het bedrijf en alleen bereikbaar via B

Nu de hamvraag hoe scp je als achter je desktop A zit iets rechtstreeks vanaf C naar A? Normaal gaat dit niet want altijd zit die rottige jumpbox B er tussen. Welnu met de volgende opdracht kan het

code:

scp -o 'ProxyCommand ssh user@serverB nc -w 1 %h %p' user@serverC:/xfile .

[Sando]

Hey, ik wist helemaal niet dat er rommel werd toegevoegd aan ssh om het portbaar te maken!

ssh is echt geniaal trouwens. Ik gebruik het vaak om op de Ubuntu desktop in te loggen met een getunnelde VNC client. VNC zelf heeft heel slecht max 8 letters in het wachtwoord en lijkt erg oud en achterstallig en onveilig. Met een extra ssh venster open gebruik ik dat ook als de terminal (in geval van remote) omdat dat sneller gaat dan VNC compressie.

Er zijn alternatieven voor VNC maar dat doet Ubuntu zo mooi out of the box.

Iets kleins waar ik tegenaan loop:
ssh doet vaak automatisch je username ook remote gebruiken. Begint met een kleine letter. Is op al mijn machine's het zelfde. Maar op Windows (CygWin ssh) met een hoofdletter. Flauw

[smokalot]

Sando schreef op woensdag 06 januari 2010 @ 05:08:
Hey, ik wist helemaal niet dat er rommel werd toegevoegd aan ssh om het portbaar te maken!

rommel is subjectief, ik ben er zelf wel blij mee dat ik geen openbsd hoef te gebruiken, en die "rommel" zorgt daar wel voor. Als je openbsd gebruikt is het waardeloos.

Iets kleins waar ik tegenaan loop:
ssh doet vaak automatisch je username ook remote gebruiken. Begint met een kleine letter. Is op al mijn machine's het zelfde. Maar op Windows (CygWin ssh) met een hoofdletter. Flauw

In ~/.ssh/config kun je per machine(s) of in t algemeen opties instellen, zoals welke username gebruikt wordt.

[freyk]

Naast het besturen van mijn systemen en het versturen van data, vind ik het tunnelen van netwerkpoorten geweldig!

[Sando]

smokalot schreef op woensdag 06 januari 2010 @ 05:29:
In ~/.ssh/config kun je per machine(s) of in t algemeen opties instellen, zoals welke username gebruikt wordt.

Hey thx. Voor de linuxbakken om het even welke naam ik als default zet maar voor de Windowsbak wel handig! (2 linuxes 1 windows hier die ik noemenswaardig vaak benader).

Valt me ook op dat Ubuntu heel vaak crasht (en zelfs Windows 7 afentoe) op een manier dat helemaal niets meer werkt maar je nog wel ssh kan inloggen. Zo reboot ik vaak via ssh ipv hard reset om toch weer extra gedoetjes te voorkomen.

[swbr]

Sando schreef op woensdag 06 januari 2010 @ 05:08:
Hey, ik wist helemaal niet dat er rommel werd toegevoegd aan ssh om het portbaar te maken!

ssh is echt geniaal trouwens. Ik gebruik het vaak om op de Ubuntu desktop in te loggen met een getunnelde VNC client. VNC zelf heeft heel slecht max 8 letters in het wachtwoord en lijkt erg oud en achterstallig en onveilig. Met een extra ssh venster open gebruik ik dat ook als de terminal (in geval van remote) omdat dat sneller gaat dan VNC compressie.

Er zijn alternatieven voor VNC maar dat doet Ubuntu zo mooi out of the box.

Het ligt er aan wat je doet via VNC, maar je kunt ssh ook heel mooi gebruiken om X applicaties over te tunnelen. Met de '-X' optie wordt X11 verkeer getunneld en je display variabele automatisch goed gezet. Dingen als firefox, evolution, etc. kun je dan opstarten vanaf je command prompt en dan worden ze gedisplayed op de machine waar je achter zit.

Op windows kun je dit ook voor elkaar krijgen met Putty en door een Xserver als Xming te installeren.

[Sallin]

Sando schreef op woensdag 06 januari 2010 @ 09:37:
Valt me ook op dat Ubuntu heel vaak crasht (en zelfs Windows 7 afentoe) op een manier dat helemaal niets meer werkt maar je nog wel ssh kan inloggen. Zo reboot ik vaak via ssh ipv hard reset om toch weer extra gedoetjes te voorkomen.

offtopic:
Het is dus waarschijnlijk niet je systeem dat crasht maar je desktop environment. In principe mag dat niet gebeuren, dus is het wel de moeite om de logs eens te bekijken en eventueel bugreports te gaan bekijken/indienen.

[mcDavid]

SSH

Echt verbazingwekkend hoe makkelijk dat gaat met Ubuntu. X meetunnelen en vanaf je laptop de mediaplayer van je muziekservert bedienen! Echt geniaal!

[Sando]

PuTTY is idd een aanrader, van verschillende dubbelclickable servers onthoudt ie de instellingen en tunnels. Symbian PuTTY is leuk voor in de trein.

Dat X forwarden is inderdaad mooi maar ik had problemen met tekenfouten, bijvoorbeeld de cursor van Ardour is erg onbestuurbaar. En ik kan mijn desktop niet overnemen, alleen een nieuwe sessie starten. Vooral als ik mijn aangemeldde sessie kan shadowen is X forwarden aantrekkelijker voor mij.

Sallin schreef op woensdag 06 januari 2010 @ 09:43:
[...]

offtopic:
Het is dus waarschijnlijk niet je systeem dat crasht maar je desktop environment. In principe mag dat niet gebeuren, dus is het wel de moeite om de logs eens te bekijken en eventueel bugreports te gaan bekijken/indienen.

offtopic:
Ubuntu he, dat heb ik nooit langer dan 4 weken zonder nare bug kunnen gebruiken. Helaas kost het fixen van iets dergelijks me zo een halve werkweek, zo slecht ben ik ook wel weer als er iets kapot is. En vaak na een update die ik met bakken tegelijk doe omdat ik niet dagelijks update. Erg moeilijk te bedenken wat de oorzaak was, de restproblemen zijn vaak een domino-effect. Geen bugreports meer van mij.

[neeroeter]

Een duw omhoog hier...

Ik heb de afgelopen uren lopen klooien met een klein maar irritant probleem:

Ik draai Arch en gebruik de combi ssh/fuse/sshfs om bestanden van een desktop naar een laptop te kopieren..
De betreffende daemons zijn toegevoegd aan mijn /etc/rc.conf:

DAEMONS=(dbus hal ufw @syslog-ng !network wicd netfs @crond @alsa @fuse sshd slim)

ls /var/run/daemons/:

alsa crond dbus hal netfs slim sshd syslog-ng wicd

sshd lijkt dus te draaien, toch moet ik handmatig de service alsnog starten
Zonder dat kan ik niet connecten vanaf mijn laptop. Uiteraard kan ik handmatig de service starten, maar ik wil graag de oorzaak weten...
Ik denk dat de oorzaak ligt in mijn config van sshd_config, maar die lijkt in orde...

Voordat ik die lap tekst hier neerzet, is dit een bekend gegeven??? Ik vin het raar dat een service kan draaien, maar toch ook weer niet....
Handmatig /etc/rc.d/sshd start werkt dus wel. Een scriptje zou kunnen maar is niet elegant.