9.6 Uso de SSH

SSH es uno de los programas con los que tendremos que lidiar todos los días que estamos trabajando en una máquina con Unix o Linux. Veámos algunos ejemplos de uso típicos.

9.6.1 Accediendo a un host remoto

Para acceder al host remoto utilizamos el cliente ssh. En ese momento se producirá el proceso de autentificación del servidor y el proceso de identificación y autentificación del usuario. Dependiendo del esquema de autentificación de usuario existen distintas alternativas:

Autentificación basada en password:

Suele ser la forma más corriente de acceder al host remoto:

alumno$ ssh host_remoto

Con este comando estamos accediendo al host utilizando el usuario alumno. Cuando queramos acceder con otro nombre de usuario utilizaremos:

alumno$ ssh otro_nombre_de_usuario@host_remoto

_____________________________________________________________

Taller 9.1: Instale un servidor SSH. Acceda a su cuenta en su host usando SSH. Pruebe también a hacerlo como administrador.

_____________

Autentificación basada en clave pública:

Como indicamos en la Sección 9.2, el usuario se autentifica probando que es capaz de firmar (descifrar y cifrar) el desafío que le plantea el servidor. Para poder hacer esto son necesarios los siguientes pasos:

1. Generar las claves de autentificación:
   # Por curiosidad mostramos el contenido del directorio "~/.ssh".  
   alumno$ ls -l $HOME/.ssh/  
   total 4  
   -rw-r--r-- 1 alumno alumno 1866 2007-02-08 15:12 known_hosts  
   v  
   # Generación de la clave usando RSA.  
   alumno$ ssh-keygen -t rsa  
   # Selecionar el fichero de salida que se especifica por defecto.  
   # La clave debería tener al menos 20 caracteres.  
    
   # Por curiosidad mostramos el contenido del directorio "~/.ssh".  
   alumno$ ls -l $HOME/.ssh/  
   total 12  
   -rw------- 1 alumno alumno 1743 2007-02-08 22:19 id_rsa  
   -rw-r--r-- 1 alumno alumno  405 2007-02-08 22:19 id_rsa.pub  
   -rw-r--r-- 1 alumno alumno 1866 2007-02-08 15:12 known_hosts  
    
   # Comprobamos que la clave pública se ha generado.  
   alumno$ cat ~/.ssh/id_rsa.pub  
   ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQEA5HgtUR6OfvEIUv6m2xXM6QK3MH0Z6\  
   74btlJ20XDTAfh0llRgiDxnqrH492ZwH0r6EjVfkH6KhB9R2Duxvpzp4LeBWZ0ouL\  
   E5MiJBe0aR7CBUcjkq8FzLL3Caf0c7w3Dbtldn4zQdIoHswsD8sFyk2vT4a3QXBV/\  
   U3Q0DvCXyb5kZp7JOfzNAMJbCD6IVEbDrwqfu4JfTOXAWY8ckofq9zFK+JtkB9XJy\  
   a7pVJVtI0dKCnVTw3oU4eufj4OxwSGnAyVrf9rEv6jB+4R7tCQZdtuJO7SPAUbJsc\  
   rD4qjnOz/BDvx2LUQuQXMrbr7GQ+lBNC6gZWcUF33RGc+wIAjvR8Q==\  
    alumno@debian

2. Enviar la clave pública al servidor:
   # Añadimos la clave pública a nuestro fichero de claves públicas en el  
   # host remoto.  
   alumno$ ssh <host_remoto> "mkdir .ssh/; umask 077; cat >> .ssh/authorized_keys" < ~/.ssh/id_rsa.pub

En este punto deberíamos tener ya acceso al host remoto. Para ello se nos preguntará por la frase que usamos cuando generamos las claves de autentificación. Esta forma de autentificación sólo se establecerá cuando accedemos desde el host local usando el usuario alumno. Si accedemos desde otro host o con otro nombre de usuario, se utiliza la autentificación mediante password._____________________________________________________

Taller 9.2: Pruebe la autentificación basada en clave pública accediendo a un host remoto. Si no dispone de cuenta en un host remoto, utilice su propio host. Emplee en este caso una cuenta de usuario distinta cuyo login sea “usuario_ssh”.

________________________________

• Especifique cada uno de los pasos que ha realizado para probar la autentificación basada en clave pública cuando accede a un host “remoto”. Indique el objetivo de cada uno de estos pasos.

Autentificación basada en el host del usuario:

Para habilitar esta forma de autentificación debemos tener acceso al host remoto como administrador. Estos son los pasos:

1. Acceder al host remoto y comprobar que HostbasedAuthentication = yes y que IgnoreRhosts = no.
2. Reiniciar el servidor SSH en el host remoto si se ha tenido que modificar su configuración.
3. Copiar la host key pública del cliente en el servidor. La clave pública en el cliente se almacena en /etc/ssh/ssh_host_rsa_key.pub. Dicha clave debe ser añadida al fichero /etc/ssh/ssh_known_hosts o al fichero  /.ssh/known_hosts.
4. En el servidor, añadir el nombre del host cliente al fichero  /.shosts.
5. En el cliente, asegurarse de que HostbasedAuthentication = yes.
6. En el cliente, asegurarse de que la host key privada y pública existen. Esta información debería estar en los ficheros /etc/ssh/ssh_host_rsa_key y /etc/ssh/ssh_host_rsa_key.pub, respectivamente.

Debido a que necesitamos disponer de la clave de root en el host remoto, esta forma de autentificación es poco corriente. Además, como veremos a continuación, la autentificación basada en clave pública es muy cómoda y segura si utilizamos un agente SSH.

9.6.2 Usando ssh-agent y ssh-add

Para que la identificación basada en clave pública sea realmente segura la frase que usemos para generar la clave de autentificación debe ser suficientemente larga (20 caracteres o más). Esto puede suponer un embrollo cuando accedemos muchas veces al host remoto.

Para solucionar este problema, el SSH incorpora un demonio llamado ssh-agent que se encarga de escribir por nosotros las frases. Este demonio puede ser invocado por el usuario de la siguiente manera:

Una vez que el demonio está ejecutándose, informarle de nuestra clave de autentificación pública es sencillo:

En este punto, accederemos al host remoto sin necesidad de escribir la frase de acceso porque ssh-agent lo ha hecho por nosotros.

Evidéntemente, como podemos tener acceso a distintas máquinas con distintas frases de acceso, podemos usar tantas veces ssh-add como deseemos. Para saber qué frases son admistradas en un momento dado por ssh-agent:

Las frases puede ser eliminadas del demonio usando:

Usar man ssh-add para ver el resto de opciones.________________________

• Presente un volcado de pantalla mostrando la ejecución del anterior taller. Explique brevemente lo que aparece en dicho volcado.

9.6.3 Ejecución de comandos no interactivos en el host remoto

Con SSH es posible ejecutar comandos no interactivos en el host remoto. Un ejemplo:

__________________________________________________________________

• Presente un volcado de pantalla mostrando la ejecución del anterior taller. Explique brevemente su contenido.

9.6.4 Verificación de la host key

Como vimos al comienzo de esta práctica, SSH incorpora un mecanismo para autentificar al servidor basado en la comparación de la host key que envía el servidor con la que hay almacenada en el fichero  /.ssh/known_hosts. Si es la primera vez que nos conectamos o por algún motivo, la host key ha cambiado, es una buena costumbre que comprobemos que dicha clave coindice con la que el servidor generaría utilizando las herramientas del SSH. Para mostrar la host key en el servidor podemos utilizar el siguiente comando:

En el fichero /etc/ssh/ssh_host_rsa_key.pub se almacena la host key pública de forma cifrada usando el algoritmo RSA. En el fichero /etc/ssh/ssh_host_rsa_key se almacenan la host key privada de forma cifrada usando el algoritmo RSA._______

• Presente un volcado de pantalla mostrando la ejecución del anterior taller. Comente brevemente su contenido.

9.6.5 Copiando ficheros

SSH incorpora una utilidad semejante a cp para copiar ficheros entre hosts de una forma muy sencilla. Algunos ejemplos:

__________________________________________________________________

• Presente un volcado de pantalla mostrando la ejecución del anterior taller. Explique brevemente su contenido.

9.6.6 SSH forwarding

El SSH tiene la habilidad de multiplexar varias conexiones sobre un mismo tunnel cifrado. A esta propiedad se le conoce como forwarding (encaminamiento). Veámos algunos ejemplos interesantes:

Forwarding del agente de autentificación

Como vimos anteriormente, el agente de autentificación es muy útil para lidiar con las frases de clave. El problema es que si hemos accedido a un host remoto A y desde él queremos acceder a otro B usando de nuevo el agente, deberíamos ejecutarlo en A y añadirle las frases. Para conseguir esto podemos hacer dos cosas:

1. Configurar nuestro cliente para que redirija el agente:
   # También vale el fichero /etc/ssh/ssh_config  
   alumno$ cat ~/.ssh/config  
   :  
   Host nombre_host_remoto  
   ForwardAgent yes  
   :

2. Invocar al cliente mediante:
   # Este comando lanzará ssh-agent en el host remoto y copiará las claves.  
   alumno@host_local$ ssh -A <host_remoto>

Para verificar que el redireccionamiento ha funcionado, comprobaremos que el agente en el host remoto contempla nuestras claves:

__________________________________________________________________

• Presente un volcado de pantalla mostrando la ejecución del anterior taller. Explique el funcionamiento de ssh-agent en dicho ejemplo.

Redireccionamiento del X11

Cuando usamos SSH desde una consola gráfica, podemos ejecutar aplicaciones gráficas en el host remoto y presentarlas en el host local. Para conseguir esto debemos:

1. Configurar nuestro cliente para que rediriga el X11:
   # También vale el fichero /etc/ssh/ssh_config  
   alumno$ cat ~/.ssh/config  
   :  
   Host nombre_host_remoto  
   ForwardX11 yes  
   :

2. Invocar al cliente mediante:
   alumno@host_local$ ssh -X nombre_host_remoto

En este punto podríamos ejecutar una aplicación gráfica, un xterm, por ejemplo:

__________________________________________________________________

• Presente un volcado de pantalla mostrando la ejecución del anterior taller. Comente brevemente qué es lo que ocurre en dicho volcado de pantalla.

Redireccionamiento de puertos

El redireccionamiento de puertos es una característica utilísima de SSH. Con esto podemos acceder a servicios que están filtrados por un cortafuegos y cifrar transmisiones sobre redes no seguras.

Antes de mostrar cómo se realiza el redireccionamiento, una aclaración importante. El objetivo del redireccionamiento es codificar la comunicación desde nuestro host a otro distinto, situado fuera de nuestra red “segura”. En este sentido podemos encontrarnos los siguientes contextos:

• Que el host que ejecuta el servicio (llamémoslo host X) no tiene un servidor SSH instalado o no tenemos cuenta de usuario en él. En este caso deberíamos tener una cuenta en otro host Y situado en la misma red segura que el host X que ejecuta el servicio, y el redireccionamiento se realizaría desde nuestro host al host Y usando un canal seguro, y desde el host Y al host X usando un canal inseguro, pero a través de la red que se considera segura. Usaremos el término redireccionamiento local indirecto para referirmos a esta posibilidad.
• Que tenemos cuenta de usuario en el host que ejecuta el servicio. En este caso sólo tenemos que redireccionar el puerto desde nuestro host al host remoto. LLamaremos a esta forma de redireccionamiento, redireccionamiento local directo.
• Con SSH es posible utilizar servicios que están tras un cortafuegos que no permite las conexiones SSH entrantes (desde Internet hacia la red protegida). Esto puede hacerse con el redireccionamiento remoto. Para ello debemos tener acceso físico al host que ejecuta el servicio y redirigir el puerto del servicio a un puerto en el host que está fuera de la red protegida.

Bien, una vez hechas estas aclaraciones explicaremos cómo redireccionar puertos en cada caso. En los ejemplos que se muestran a continuación supondremos que hemos configurado nuestro navegador Web para que utilize un proxy Web situado en nuestro host (home_host) escuchando en el puerto 1234, aunque dicho servidor esté realmente ejecutándose en un host remoto que llamaremos squid_host y al que tenemos acceso mediante SSH. Supondremos además que en la red local (y por tanto, segura) de squid_host existe otro host remoto remote_host en el que también tenemos cuenta.

Redireccionamiento local directo:

 

# La forma estándar es:  
alumno@home_host$ ssh -L 1234:squid_host:3128 squid_host  
# Nota importante: si "alumno" no tiene cuenta como "alumno" en  
# "squid_host" y por lo tanto tiene que especificarlo, este  
# procedimiento puede no funcionar :-(  
 
# Aunque también funciona:  
alumno@home_host$ ssh -L 1234:localhost:3128 squid_host

Con este ejemplo, hemos redirigido el puerto 1234 del home_host al puerto 3128 de host squid_host.

Redireccionamiento local indirecto:

 

alumno@home_host$ ssh -L 1234:squid_host:3128 remote_host  
# Nota importante: si "alumno" no tiene cuenta como "alumno" en  
# "squid_host" y por lo tanto tiene que especificarlo, este  
# procedimiento puede no funcionar :-(

En este ejemplo el puerto 1234 del host local se ha redirigido al puerto 3128 del host squid_host a través del host remote_host.

Redireccionamiento remoto:

 

alumno@squid_host$ ssh -R 1234:localhost:3128 home_host

Redireccionamos el puerto 3128 del host squid_host al puerto 1234 del host home_host.

• Presente un volcado de pantalla mostrando la ejecución del anterior taller. Explique su funcionamiento.