Configuración de Secure Shell (tareas)

De manera predeterminada, la autenticación basada en host y el uso de ambos protocolos no están habilitados en Secure Shell. El cambio de estos valores predeterminados requiere intervención administrativa. Para que el reenvío del puerto funcione, también se requiere intervención administrativa.

Configuración de Secure Shell (mapa de tareas)

En el siguiente mapa de tareas, se indican procedimientos para configurar Secure Shell.

Cómo configurar la autenticación basada en host para Secure Shell

El siguiente procedimiento configura un sistema de clave pública en el que la clave pública del cliente se utiliza para la autenticación en el servidor. El usuario también debe crear un par de clave pública y clave privada.

En el procedimiento, los términos cliente y host local hacen referencia al equipo en el que un usuario introduce el comando ssh. Los términos servidor y host remoto hacen referencia al equipo al que el cliente está intentando acceder.

Antes de empezar

Debe tener el rol root.

1. En el cliente, habilite la autenticación basada en host.

   En el archivo de configuración del cliente, /etc/ssh/ssh_config, escriba la siguiente entrada:

   HostbasedAuthentication yes

   Para ver la sintaxis del archivo, consulte la página del comando man ssh_config(4).

2. En el servidor, habilite la autenticación basada en host.

   En el archivo de configuración del servidor, /etc/ssh/sshd_config, escriba la misma entrada:

   HostbasedAuthentication yes

   Para ver la sintaxis del archivo, consulte la página del comando man sshd_config(4).

3. En el servidor, configure un archivo que permita que el cliente se reconozca como un host de confianza.

   Para obtener más información, consulte la sección FILES de la página del comando man sshd(1M).

   • Agregue el cliente como una entrada al archivo /etc/ssh/shosts.equiv del servidor.

     client-host

   • También puede indicar a los usuarios que agreguen una entrada para el cliente a sus archivos ~/.shosts en el servidor.

     client-host

4. En el servidor, asegúrese de que el daemon sshd pueda acceder a la lista de hosts de confianza.

   Establezca IgnoreRhosts en no en el archivo /etc/ssh/sshd_config.

   ## sshd_config
   IgnoreRhosts no

5. Asegúrese de que los usuarios de Secure Shell en su sitio tengan cuentas en ambos hosts.
6. Realice una de las siguientes acciones para colocar la clave pública del cliente en el servidor.
   • Modifique el archivo sshd_config en el servidor y luego indique a sus usuarios que agreguen las claves de host públicas del cliente a sus archivos ~/.ssh/known_hosts.

     ## sshd_config
     IgnoreUserKnownHosts no

     Para obtener instrucciones para el usuario, consulte Cómo generar un par de clave pública y clave privada para utilizar con Secure Shell.

   • Copie la clave pública del cliente en el servidor.

     Las claves de host se almacenan en el directorio /etc/ssh. Las claves suelen ser generadas por el daemon sshd al iniciar por primera vez.

     1. Agregue la clave al archivo /etc/ssh/ssh_known_hosts en el servidor.

        En el cliente, escriba el comando en una línea sin barra diagonal inversa.

        # cat /etc/ssh/ssh_host_dsa_key.pub | ssh RemoteHost \
        'cat >> /etc/ssh/ssh_known_hosts && echo "Host key copied"'

     2. Cuando se le pida, proporcione la contraseña de inicio de sesión.

        Cuando el archivo se copia, se muestra el mensaje “Host key copied” (clave de host copiada).

        Cada línea en el archivo /etc/ssh/ssh_known_hosts consta de campos que están separados por espacios:

        hostnames algorithm-name publickey comment

     3. Edite el archivo /etc/ssh/ssh_known_hosts y agregue RemoteHost como el primer campo en la entrada copiada.

        ## /etc/ssh/ssh_known_hosts File
        RemoteHost <copied entry>

Ejemplo 17-1 Configuración de autenticación basada en host

En el siguiente ejemplo, cada host está configurado como servidor y como cliente. Un usuario en cualquiera de los hosts puede iniciar una conexión ssh al otro host. La siguiente configuración hace que cada host sea un servidor y un cliente:

• En cada host, los archivos de configuración de Secure Shell contienen las siguientes entradas:

  ## /etc/ssh/ssh_config
  HostBasedAuthentication yes
  # 
  ## /etc/ssh/sshd_config
  HostBasedAuthentication yes
  IgnoreRhosts no

• En cada host, el archivo shosts.equiv contiene una entrada para el otro host:

  ## /etc/ssh/shosts.equiv on machine2
  machine1

  ## /etc/ssh/shosts.equiv on machine1
  machine2

• La clave pública de cada host está en el archivo /etc/ssh/ssh_known_hosts del otro host:

  ## /etc/ssh/ssh_known_hosts on machine2
  … machine1

  ## /etc/ssh/ssh_known_hosts on machine1
  … machine2

• Los usuarios tienen una cuenta en ambos hosts:

  ## /etc/passwd on machine1
  jdoe:x:3111:10:J Doe:/home/jdoe:/bin/sh

  ## /etc/passwd on machine2
  jdoe:x:3111:10:J Doe:/home/jdoe:/bin/sh

Cómo configurar el reenvío del puerto en Secure Shell

El reenvío del puerto permite que un puerto local sea reenviado a un host remoto. Efectivamente, un socket se asigna para escuchar el puerto en el lado local. De forma similar, un puerto se puede especificar en el lado remoto.

Antes de empezar

Debe tener el rol root.

1. Configure un valor de Secure Shell en el servidor remoto para permitir el reenvío del puerto.

   Cambie el valor de AllowTcpForwarding a yes en el archivo /etc/ssh/sshd_config.

   # Port forwarding
   AllowTcpForwarding yes

2. Reinicie el servicio Secure Shell.

   remoteHost# svcadm restart network/ssh:default

   Para obtener información sobre la gestión de servicios persistentes, consulte el Capítulo 6, Gestión de servicios (descripción general) de Administración de Oracle Solaris: tareas comunes y la página del comando man svcadm(1M).

3. Verifique que el reenvío del puerto se pueda utilizar.

   remoteHost# /usr/bin/pgrep -lf sshd
    1296 ssh -L 2001:remoteHost:23 remoteHost

Cómo crear excepciones de host y usuario para valores predeterminados del sistema SSH

Este procedimiento agrega un bloque Match condicional después de la sección global del archivo /etc/ssh/sshd_config. Los pares de valores de palabras clave a continuación del bloque Match especifican excepciones para el usuario, grupo, host o dirección que se especifica como coincidencia.

Antes de empezar

Debe tener el rol root.

1. Edite el archivo sshd_config.
2. Configure un usuario, grupo, host o dirección para que utilice una configuración de palabras clave de SSH diferente de la configuración predeterminada.

   Coloque los bloques Match después de la configuración global.

   ---

   Nota - La sección global del archivo puede o no mostrar la configuración predeterminada. Para conocer los valores predeterminados, consulte la página del comando man sshd_config(4).

   ---

   Es posible que tenga usuarios que no deberían poder utilizar el reenvío TCP. En el siguiente ejemplo, cualquier usuario en el grupo public y cualquier nombre de usuario que comienza con test no puede utilizar el reenvío TCP:

   ## sshd_config file
   ## Global settings
   
   # Example (reflects default settings):
   #
   # Host *
   #   ForwardAgent no
   #   ForwardX11 no
   #   PubkeyAuthentication yes
   #   PasswordAuthentication yes
   #   FallBackToRsh no
   #   UseRsh no
   #   BatchMode no
   #   CheckHostIP yes
   #   StrictHostKeyChecking ask
   #   EscapeChar ~
   Match Group public
    AllowTcpForwarding no
   Match User test*
    AllowTcpForwarding no

   Para obtener más información sobre la sintaxis del bloque Match, consulte la página del comando man sshd_config(4).