Возможность входа в UDM/UDM-PRO с помощью SSH-ключа

Возможность входа в UDM/UDM-PRO с помощью SSH-ключа, feature-request

nkhio

Guest

10.05.2021 01:33:00

На данный момент для входа по SSH на UDM/UDM-PRO приходится использовать пароли. Это серьёзный пробел в безопасности. Понимаю, что идея в том, что в нормальных условиях вообще не нужно подключаться по SSH к UDM/UDM-PRO, но бывают ситуации, когда это необходимо. И то, что приходится использовать пароль, приносит массу неудобств — и с точки зрения удобства, и потому что пароли никогда не будут такими надёжными, как ключи. Пожалуйста, добавьте возможность скопировать ключ контроллера для других устройств UniFi на UDM или возможность задавать ключ, который можно использовать наряду с паролем.

alephan

Guest

12.09.2021 23:13:00

@mpreissner Ты действительно упомянул OpenSSH, ссылаясь на sshd_config. В любом случае, тот факт, что у тебя стоит непроизводственная прошивка на устройстве EA, может это объяснять, но так или иначе, на текущих официальных версиях это не работает.

mpreissner

Guest

08.09.2021 13:46:00

1) Я никогда не говорил ничего про OpenSSH. 2) То, что я описал, — это именно то, что я сделал у себя, и всё сработало как ожидалось. 3) С тех пор я перезагружал устройство и обновлял прошивки, при этом SSH-ключ остался целым. Конечно, это на устройстве EA, так что боевые UDMP и UDMB могут отличаться, хотя, возможно, будут вести себя так же, когда перейдут на прошивки 2.x.

alephan

Guest

07.09.2021 23:57:00

@mpreissner Во-первых, UDM не использует OpenSSH. Он работает на dropbear, поэтому ссылка на `sshd_config` выше тут не подходит. К тому же, утилита `ssh-copy-id` определяет SSH-сервер по версии удалённого ПО и в таком случае добавляет ключ в `/etc/dropbear/authorized_keys`. Это бесполезно на UDM, потому что dropbear там использует классический путь `<домашняя_папка>/.ssh/authorized_keys`. Для пользователя `root` это будет `/root/.ssh/authorized_keys`.

То есть, чтобы настроить SSH-ключ, просто добавьте свой ключ в `/root/.ssh/authorized_keys`. Хотя так включается аутентификация по SSH-ключу, изменения не сохраняются после перезагрузки: файл перезаписывается с записью `root@ubnt`.

mpreissner

Guest

12.08.2021 22:44:00

Вы очень легко можете включить аутентификацию по ключу на UDM. Сначала сгенерируйте свои личные ssh-ключи на компьютере (ssh-keygen), затем используйте команду "ssh-copy-id -i <путь к id_rsa.pub — скорее всего ~/.ssh/id_rsa.pub, если вы на Linux или Mac> root@<IP-адрес UDM>". Файл sshd_config на UDMP уже разрешает аутентификацию по ключу, так что менять конфиг не нужно.

Я правда не проверял, сохранится ли это после перезагрузки или обновления прошивки, но, думаю, должно. Если новая прошивка явно не отключит аутентификацию по ключам в sshd_config, все будет работать нормально.

Конечно, было бы здорово, если бы это можно было настроить через веб-интерфейс, но настройка занимает буквально меньше двух минут.

4E554C4C Guest	#6 10.08.2021 16:33:00 Пожалуйста, добавьте это. Такая функция есть на других устройствах Unifi, а мне очень не по себе от того, что для моих сетевых устройств используется аутентификация по паролю.

Читают тему (гостей: 1)