@Knap-IT

Здесь есть ещё более крутое решение. Генерация публичных ключей, как я уже объяснял, остаётся той же, но добавление их в файл config.properties, как описано в упомянутой статье, гарантирует, что вы всегда сможете зайти на свой AP или запускать на нём свои команды через ssh без ввода пароля.

Небольшое замечание: публичные ключи, сгенерированные с помощью ssh-keygen, начинаются с указания типа ключа, например, «ssh-rsa», за которым идёт пробел и сам ключ. Уберите этот тип ключа перед тем, как вставлять в config.properties, и вместо этого впишите его в строку sshd.auth.key.x.type, например:  
config.system_cfg.1=sshd.auth.key.1.status=enabled  
config.system_cfg.2=sshd.auth.key.1.value=AAAAB3....... и так далее  
config.system_cfg.3=sshd.auth.key.1.type=ssh-rsa  

Публичные ключи, заданные таким образом, будут распространяться по всему сайту, так что вы сможете автоматически изменить информ-URL на всех устройствах без необходимости заходить в каждое из них отдельно.

Хотя можно сохранить загруженные публичные ключи на AP с помощью /usr/bin/cfgmtd -w -p /etc, я всё ещё ищу способ автоматически заполнять /etc/dropbear/authorized_keys (который, судя по всему, не является постоянным и не может им стать) при запуске или перезагрузке, чтобы не приходилось делать это вручную после каждой загрузки. Буду благодарен за любые советы. Это значительно повысило бы полезность моего варианта кода. Разработчики Ubiquiti тщательно (и, возможно, разумно) скрыли или убрали любые хуки в BusyBox CLI, которые могли бы поддерживать автозапуск кода при старте системы.

Решение, которое я предлагаю для доступа к нашей приватной локальной сети (с адресами IPv4 по RFC-1918) из вне — использовать для всего публичные IPv6-адреса. Это, конечно, риск с точки зрения безопасности, но риск управляемый. К сожалению, сетевая стэк на UniFi AP не поддерживает IPv6. Возможно, Ubiquiti считает, что в этом нет никакой необходимости, и что адреса v4 по RFC-1918 всегда будут работать, ведь точки доступа почти всегда находятся в частных сетях. А может, Ubiquiti просто не успели добраться до XXI века 😉

Да, ваш пост напомнил мне поговорку про "срезать котов", но моя дочь, любящая котов, пару лет назад отучила меня использовать именно эту фразу. Можете ли вы подсказать, где можно найти краткое объяснение использования DHCP Option 43 для UniFi AP?

Это правда, в этом я уверен, но, как я понимаю, вопрос Knap-IT заключается в поиске способа массового применения изменения настроек примерно на 200 уже работающих точках доступа. Использование специфичных для производителя DHCP-расширений или DNS CNAME добавляет лишнюю сложность, которая здесь, возможно, и не нужна и не упростит задачу Knap-IT.

Я немного поковырялся в файловой системе UniFi AP и обнаружил пустой, доступный для записи файл authorized_keys. Немного тестов показали, что dropbear действительно принимает публичные RSA-ключи из этого файла. Использовать эту возможность не требуется никаких hostname или DHCP-расширений — всё можно сделать на уровне IP-адресов.

Гибкость, как правило, обратно пропорциональна сложности, и возможность использования SSH authorized_keys значительно шире, чем только установка inform URL. Например, можно парсить и анализировать логи управляемых групп AP, чтобы искать попытки вторжений или другую полезную для администратора информацию.

Однако такое решение требует: а) чтобы для каждой точки доступа UniFi DHCP назначал постоянный IP — это легко сделать, привязав выдачу к MAC-адресу, и б) чтобы кто-то с достаточными знаниями Linux и скриптинга мог воспользоваться этим приёмом.

Решение, которое я предложил, кажется, устроило Knap-IT и даже получило лайк от другого пользователя.

Нужно отметить, что использование SSH authorized_keys на UniFi AP, по всей видимости, не документировано и не поддерживается компанией Ubiquiti. Если вы применяете этот метод, техподдержка Ubiquiti может отказать вам в помощи, пока вы не сделаете сброс настроек до заводских. Я предполагаю, что именно поэтому возможность использования SSH authorized_keys могут убрать в будущих обновлениях прошивки UniFi AP.

Это именно то решение, которое я искал! Спасибо!