pscp - batch mode vs. hostkey (gelöst) (Windows)

[thread]17608[/thread]

pscp - batch mode vs. hostkey [gelöst]

Tags: windows Ähnliche Threads

Leser: 16

Articles: hide open all | hide show old branches

+12 replies
Astralkeks

2012-07-31 16:58

User since
2012-07-17
40 Artikel
BenutzerIn

Hallo,

folgendes Problem stellt sich mir in einer Windows 2008 R2 64bit Umgebung:
Ich möchte von > 500 Linuxservern eine Datei einsammeln.
pscp scheint mir eine günstige Wahl dafür, beinhaltet aber Probleme im Detail:

Unglücklicherweise besteht kein homogener Zugang zu den Servern, sondern es stehen 2 User zur Auswahl, von denen mindestens einer pro Server funktioniert, aber beide User eben nicht überall.
Starte ich pscp (rel. 0.62) ohne batch Option, hängt der gesamte Batchjob beim ersten nicht erfolgreichem Login.
Starte ich mit der batch-Option, springt das Script bei falscher Authentifizierung weiter, jedoch habe ich dann das Problem, für neue Hosts den hostkey nicht akzeptieren zu können, da die Interaktion ja weggedreht ist.

Kennt jemand eine Möglichkeit dieses Problem zu lösen? Ich hatte versucht, eine perl-Routine zu schreiben, um den ssh-Zugang für einen User zu testen, leider schlug dies wegen Servereinstellungen fehl.
ssh-Login Test

So hätte ich die Gewissheit, immer den richtigen User auf einen Server loszulassen.
Mir gehen leider gerade die Ideen aus.
- +10 replies
- GwenDragon
  
  2012-07-31 18:27
  
  User since
  2005-01-17
  14745 Artikel
  Admin1
  
  Du kannst auch pscp mit der Option -ls aufrufen, dann bricht das doch mit ERRORLEVEL > 0 ab, wenn es nicht klappte.
  
  Mit SSH-Key (Sessionname bei Putty)
  pscp -q -batch -load MiniMe -ls -l MiniMe -pw MINIMEPW example.org:. echo %ERRORLEVEL%
  
  Ohne Key
  pscp -q -batch -ls -l MiniMe -pw MINIMEPW example.org:. echo %ERRORLEVEL%
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - +9 replies
  - Astralkeks
    
    2012-08-01 09:11
    
    User since
    2012-07-17
    40 Artikel
    BenutzerIn
    
    Das hilft leider nur bedingt weiter.
    Damit kann ich testen, ob eine Anmeldung für einen User funktioniert.
    Leider habe ich wegen der batch-Option immer noch das Problem, dass Verbindungen zu unbekannten Hosts gar nicht erst getestet werden, da zunächst der hostkey akzeptiert werden muss. Das geht leider nicht im batch.
    Und ohne -batch bleibt pscp leider beim ersten falschen login hängen.
    - GwenDragon
      
      2012-08-01 14:41
      
      User since
      2005-01-17
      14745 Artikel
      Admin1
      
      Dann musst du dein Tool in Perl mit Net::SSH::Perl oder Net::SSH2 selber schreiben.
      Last edited: 2012-08-01 14:44:54 +0200 (CEST)
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
    - +7 replies
    - Linuxer
      
      2012-08-01 14:51
      
      User since
      2006-01-27
      3890 Artikel
      HausmeisterIn
      
      Schon mal "StrictHostKeyChecking" modifiziert?
      
      man ssh_config
      
      Code: (dl )
      
      1 2 3 4 5 6 7
      
      StrictHostKeyChecking If this flag is set to "yes", ssh(1) will never automatically add host keys to the ~/.ssh/known_hosts file, and refuses to connect to hosts whose host key has changed. This provides maximum protection against trojan horse attacks, though it can be annoying when the /etc/ssh/ssh_known_hosts file is poorly maintained or when connections to new hosts are frequently made. This option forces the user to manually add all new hosts. If this flag is set to "no", ssh will automatically add new host keys to the user known hosts files. If this flag is set to "ask", new host keys will be added to the user known host files only after the user has confirmed that is what they really want to do, and ssh will refuse to connect to hosts whose host key has changed. The host keys of known hosts will be verified automatically in all cases. The argument must be "yes", "no", or "ask". The default is "ask".
      
      perldoc Net::SSH::Perl
      
      Code: (dl )
      
      1 2 3 4 5 6 7 8
      
      * options Used to specify additional options to the configuration settings; useful for specifying options for which there is no separate constructor argument. This is analogous to the -o command line flag to the ssh program. If used, the value should be a reference to a list of option directives in the format used in the config file. For example: my $ssh = Net::SSH::Perl->new("host", options => [ "BatchMode yes", "RhostsAuthentication no" ]);
      
      meine Beiträge: I.d.R. alle Angaben ohne Gewähr und auf Linux abgestimmt!
      Die Sprache heisst Perl, nicht PERL. - Bitte Crossposts als solche kenntlich machen!
      - +6 replies
      - Astralkeks
        
        2012-08-01 15:15
        
        User since
        2012-07-17
        40 Artikel
        BenutzerIn
        
        Im Prinzip ein sehr guter Ansatz, aber leider akzeptieren die Server keine ssh-Verbindungen mit Passwort. In der sshd_config ist
        PasswordAuthentication no
        was mich einen Tag Suche gekostet hat, aber letztlich verhindert, dass ich mit Net::SSH::Perl einen connect aufmache.
        Putty und co nutzen "ChallengeResponseAuthentication yes", also würden plink und pscp funktionieren, wenn sie eben nicht bei falschem Login hängen würden.
        Und die Macher von putty lehnen ja scheinbar per Philosophie jegliche Umgehung der Hostkeybestätigung ab.
        
        +5 replies
        
        Linuxer
        
        2012-08-01 15:59
        
        User since
        2006-01-27
        3890 Artikel
        HausmeisterIn
        
        Quote
        Im Prinzip ein sehr guter Ansatz, aber leider akzeptieren die Server keine ssh-Verbindungen mit Passwort. In der sshd_config ist
        
        Die Hostkeys haben doch nichts mit der User-Anmeldung zu tun.
        Die Anmeldung des Benutzer erfolgt entweder mit seinem User/Passwort-Paar oder eben über seine persönlichen SSH-Keys, die wiederum nichts mit den Hostkeys zu tun haben.
        Die Hostkeys dienen dazu, den Rechner, zu dem man sich verbindet, eindeutig zu identifizieren.
        
        Ansonsten habe ich wohl gekonnt ignoriert, dass es hier um putty auf Windows geht, und nicht um einen OpenSSH auf Linux. Und ich war mir dieses Unterschiedes in Bezug auf die Hostkeys nicht im klaren. Sorry.
        
        Hier noch mal ein paar (wirre) Gedanken zum Thema:
        
        Die Argumentation auf http://www.chiark.greenend.org.uk/~sgtatham/putty/... finde ich OK und die Weigerung finde nachvollziehbar, das Sicherheitsfeature host_keys abzuschalten.
        
        Vielleicht ließe sich ein Workaround schaffen?
        
        - Mit einem Skript auf Linux grast man alle Hosts ab und lässt mit der gezeigten Option alle unbekannten Keys direkt in die known_hosts eintragen. [1]
        - Mit dem Skript der putty-Entwickler konvertiert man diese known_hosts dann ins Windows-Registry-Format...
        
        Wie oft ändern sich denn die Host-keys, bzw. wie oft kommen denn neue Hosts hinzu?
        Und wenn welche kommen, wie viele sind das denn?
        
        Wenn es nur sporadisch eine kleine Menge von Hosts ist, könnte man sie auch selber per Hand mit putty ansprechen und die Host-Keys akzeptieren. [1]
        
        Vielleicht lässt sich auch die Registry auslesen, welche Hosts bereits mit Hostkey bekannt sind?
        Dann könnte man verhindern, dass neue Systeme angesprochen werden und damit das Skript blockieren.
        Stattdessen könnte man jemanden alarmieren, dass da für die gefundenen neue Systeme bitte die Hostkeys zu speichern sind.
        
        [1] Einen Login muss man ja noch nicht mal tun; die Hostkey-Abfrage erfolgt ja bereits vorher.
        meine Beiträge: I.d.R. alle Angaben ohne Gewähr und auf Linux abgestimmt!
        Die Sprache heisst Perl, nicht PERL. - Bitte Crossposts als solche kenntlich machen!
        
        +4 replies
        
        Astralkeks
        
        2012-08-02 09:36
        
        User since
        2012-07-17
        40 Artikel
        BenutzerIn
        
        Erstmal danke für die Mühen!
        Es ist mehr eine Einmalarbeit statt einer periodischen. Ich baue gerade erst einige Mechanismen zur Erfassung und Verteilung im "Streuschuss" auf alle Hosts. Insofern fehlen die Hostkey für den Anfang, später ist das Problem nicht akut.
        Aktuell fehlen mir jedoch noch viele hundert keys, und ich möchte nicht nur aus philosophischen Gründen die manuelle copy-paste-putty variante umgehen (900*10s=9000s=150min=2.5h)
        Aktuell scheint nur ein Windowshost Zugriff in alle Netze zu haben, sonst wäre ich längst zu einem Linuxhost gewechselt. Diese Maschine soll auch das "Arbeitspferd" werden und bleiben.
        
        Plan ist, das Script letztlich im batch laufen zu lassen, so dass fehlende Hostkeys keine Probleme verursachen. Es gibt eine Auto-Discovery, die neue Hosts entdeckt. Wenn ich die beiden Listen vergleiche, erkenne ich neue Hosts und füge ggfs. den Hostkey hinzu, was aber wie erwähnt nicht das Hauptproblem ist.
        
        Sollte ich heute keine funktionierende Lösung finden, wirds auf 900 manuelle Aufrufe hinauslaufen, aber noch weigere ich mich, dies zu akzeptieren. =)
        
        +3 replies
        
        Linuxer
        
        2012-08-02 11:11
        
        User since
        2006-01-27
        3890 Artikel
        HausmeisterIn
        
        Naja, ein Schleife setzen, die die 900 Hosts durchgeht und dann den putty Aufruf pro Host macht.
        
        Code (perl): (dl )
        
        1 2 3 4
        
        for my $host ( @hosts ) { my @cmd = ( "putty", "$host" ); system( @cmd ) == 0 or warn "Failed to exec '@cmd': $!\n"; }
        
        Damit sollte für jeden Host die abfrage kommen, was mit dem Hostkey gemacht werden soll.
        Den akzeptiert man (sodass er in die Registry geschrieben wird) und bricht dann den Anmeldevorgang ab.
        
        Damit dürfte es weniger als 10 Sekunden pro Host brauchen ;-)
        meine Beiträge: I.d.R. alle Angaben ohne Gewähr und auf Linux abgestimmt!
        Die Sprache heisst Perl, nicht PERL. - Bitte Crossposts als solche kenntlich machen!
        
        +2 replies
        
        Astralkeks
        
        2012-08-03 14:50
        
        User since
        2012-07-17
        40 Artikel
        BenutzerIn
        
        Vielen Dank für deine Hilfe.
        Ich habe es ähnlich gemacht, wie du im Post davor empfohlen hast.
        Cygwin (incl. openssh) installiert, über einen Streuschuss mit ssh-keyscan eine known_hosts erzeugt, die dann mit dem Script der putty Entwickler umgewandelt und importiert.
        Schwere Geburt!
        
        Linuxer
        
        2012-08-03 15:03
        
        User since
        2006-01-27
        3890 Artikel
        HausmeisterIn
        
        Cool, ssh-keyscan kannte ich noch nicht (hatte bisher nicht den Bedarf, massenweise Hosts aufzunehmen).
        Danke für die Antwort.
        meine Beiträge: I.d.R. alle Angaben ohne Gewähr und auf Linux abgestimmt!
        Die Sprache heisst Perl, nicht PERL. - Bitte Crossposts als solche kenntlich machen!
- GwenDragon
  
  2012-08-02 09:42
  
  User since
  2005-01-17
  14745 Artikel
  Admin1
  
  Crosspost: http://serversupportforum.de/forum/security/50640-...
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten

View all threads created 2012-07-31 16:58.