Подтвердить что ты не робот

Ключ SSH запрашивает пароль

Я застрял здесь сейчас за , как 2 дня в неделю.

У меня есть машина CentOs с Gitlab4 и гитолит. Все работало отлично в течение нескольких недель, но внезапно в прошлый уик-энд что-то странное произошло, и все двоичные файлы исчезли из машины (например, yum, python, ruby, mysql и т.д.), Я действительно не знаю, как это может произойти... После нескольких часов переустановки и компиляция gitlab снова работала.

Но я не могу получить ключи ssh между пользователями gitlab и git. Я уже удалил и воссоздал пользователя git, снова установил все разрешения, воссоздал ssh-ключи, повторно созданный gitolite ect. Но ничего не работало, я продолжаю получать ту же ошибку.

git пользовательская папка .ssh

-rwx------ 1 git git  557 Mar 27 16:46 authorized_keys

папка пользователя gitlab.ssh

-rw------- 1 gitlab gitlab 1671 Mar 27 16:45 id_rsa
-rw-r--r-- 1 gitlab gitlab  406 Mar 27 16:45 id_rsa.pub
-rw-r--r-- 1 gitlab gitlab  391 Mar 27 16:50 known_hosts

Ошибка SSH:

ssh -vvvT [email protected]
OpenSSH_4.3p2, OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug2: ssh_connect: needpriv 0
debug1: Connecting to localhost [127.0.0.1] port 22.
debug1: Connection established.
debug1: identity file /home/gitlab/.ssh/identity type -1
debug3: Not a RSA1 key file /home/gitlab/.ssh/id_rsa.
debug2: key_type_from_name: unknown key type '-----BEGIN'
debug3: key_read: missing keytype
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug2: key_type_from_name: unknown key type '-----END'
debug3: key_read: missing keytype
debug1: identity file /home/gitlab/.ssh/id_rsa type 1
debug1: identity file /home/gitlab/.ssh/id_dsa type -1
debug1: Remote protocol version 2.0, remote software version OpenSSH_4.3p2
debug1: match: OpenSSH_4.3p2 pat OpenSSH*
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_4.3p2
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug2: kex_parse_kexinit: diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1
debug2: kex_parse_kexinit: ssh-rsa,ssh-dss
debug2: kex_parse_kexinit: aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour,aes192-cbc,aes256-cbc,[email protected],aes128-ctr,aes192-ctr,aes256-ctr
debug2: kex_parse_kexinit: aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour,aes192-cbc,aes256-cbc,[email protected],aes128-ctr,aes192-ctr,aes256-ctr
debug2: kex_parse_kexinit: hmac-md5,hmac-sha1,hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96
debug2: kex_parse_kexinit: hmac-md5,hmac-sha1,hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96
debug2: kex_parse_kexinit: none,zlib
debug2: kex_parse_kexinit: none,zlib
debug2: kex_parse_kexinit: 
debug2: kex_parse_kexinit: 
debug2: kex_parse_kexinit: first_kex_follows 0 
debug2: kex_parse_kexinit: reserved 0 
debug2: kex_parse_kexinit: diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1
debug2: kex_parse_kexinit: ssh-rsa,ssh-dss
debug2: kex_parse_kexinit: aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour,aes192-cbc,aes256-cbc,[email protected],aes128-ctr,aes192-ctr,aes256-ctr
debug2: kex_parse_kexinit: aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour,aes192-cbc,aes256-cbc,[email protected],aes128-ctr,aes192-ctr,aes256-ctr
debug2: kex_parse_kexinit: hmac-md5,hmac-sha1,hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96
debug2: kex_parse_kexinit: hmac-md5,hmac-sha1,hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96
debug2: kex_parse_kexinit: none,zlib
debug2: kex_parse_kexinit: none,zlib
debug2: kex_parse_kexinit: 
debug2: kex_parse_kexinit: 
debug2: kex_parse_kexinit: first_kex_follows 0 
debug2: kex_parse_kexinit: reserved 0 
debug2: mac_init: found hmac-md5
debug1: kex: server->client aes128-cbc hmac-md5 none
debug2: mac_init: found hmac-md5
debug1: kex: client->server aes128-cbc hmac-md5 none
debug1: SSH2_MSG_KEX_DH_GEX_REQUEST(1024<1024<8192) sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_GROUP
debug2: dh_gen_key: priv key bits set: 132/256
debug2: bits set: 502/1024
debug1: SSH2_MSG_KEX_DH_GEX_INIT sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_REPLY
debug3: check_host_in_hostfile: filename /home/gitlab/.ssh/known_hosts
debug3: check_host_in_hostfile: match line 1
debug1: Host 'localhost' is known and matches the RSA host key.
debug1: Found key in /home/gitlab/.ssh/known_hosts:1
debug2: bits set: 505/1024
debug1: ssh_rsa_verify: signature correct
debug2: kex_derive_keys
debug2: set_newkeys: mode 1
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug2: set_newkeys: mode 0
debug1: SSH2_MSG_NEWKEYS received
debug1: SSH2_MSG_SERVICE_REQUEST sent
debug2: service_accept: ssh-userauth
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug2: key: /home/gitlab/.ssh/identity ((nil))
debug2: key: /home/gitlab/.ssh/id_rsa (0x848ba50)
debug2: key: /home/gitlab/.ssh/id_dsa ((nil))
debug1: Authentications that can continue: publickey,password
debug3: start over, passed a different list publickey,password
debug3: preferred publickey,keyboard-interactive,password
debug3: authmethod_lookup publickey
debug3: remaining preferred: keyboard-interactive,password
debug3: authmethod_is_enabled publickey
debug1: Next authentication method: publickey
debug1: Trying private key: /home/gitlab/.ssh/identity
debug3: no such identity: /home/gitlab/.ssh/identity
debug1: Offering public key: /home/gitlab/.ssh/id_rsa
debug3: send_pubkey_test
debug2: we sent a publickey packet, wait for reply
debug1: Authentications that can continue: publickey,password
debug1: Trying private key: /home/gitlab/.ssh/id_dsa
debug3: no such identity: /home/gitlab/.ssh/id_dsa
debug2: we did not send a packet, disable method
debug3: authmethod_lookup password
debug3: remaining preferred: ,password
debug3: authmethod_is_enabled password
debug1: Next authentication method: password

Журнал auth дает мне:

Apr  2 10:19:13 venus sshd[15693]: User git not allowed because account is locked
Apr  2 10:19:13 venus sshd[15693]: Failed none for illegal user git from ::ffff:127.0.0.1 port 56906 ssh2

Спасибо за любую помощь.

4b9b3361

ОТВЕТЫ

Ответ 1

Вы упомянули:

Apr 2 10:19:13 venus shd[15693]: User git not allowed because account is locked 
Apr 2 10:19:13 venus sshd[15693]: Failed none for illegal user git from ::ffff:127.0.0.1 port 56906 ssh2

В этой статье упоминается:

OpenSSH теперь проверяет заблокированные учетные записи по умолчанию.
В системах Linux заблокированные учетные записи определены как те, которые имеют !! в поле пароля /etc/shadow.
Это запись по умолчанию для учетных записей, созданных с помощью команды useradd.
Даже если вы используете аутентификацию GSI и не нуждаетесь в локальных паролях, sshd не позволит пользователю войти в систему с этим сообщением:

Too many authentication failures for username

В информации об отладке sshd будет указано, что учетная запись заблокирована:

User username not allowed because account is locked

Ниже приведена дополнительная информация из руководства sshd:

Независимо от типа аутентификации учетная запись проверяется, чтобы убедиться, что она доступна.
  Учетная запись недоступна, если она заблокирована, указанная в DenyUsers или ее группа указана в DenyGroups.
  Определение заблокированной учетной записи зависит от системы.
  Некоторые платформы имеют собственную базу данных учетных записей (например, AIX), а некоторые изменяют поле passwd ( "*LK*" на Solaris и UnixWare, "*" на HP-UX, содержащее "Nologin" на Tru64, *LOCKED* "на FreeBSD и ведущий" !! "на Linux).
  Если есть требование отключить аутентификацию паролей для учетной записи и разрешить все еще открытый ключ, тогда в поле passwd должно быть указано что-то иное, чем эти значения (например," NP "или" *NP*").

Исправление: Замените!! с (например) NP в /etc/shadow.

Как упоминалось jszakmeister (комментарии) и Yongcan-Frank-Lv (комментарии):

sudo passwd -u git

будет достаточно для разблокировать учетную запись.

Ответ 2

Эта точная проблема убивала меня в gitlab 5.2 (битнах).

Я наконец проследил его в /var/log/auth.log, который показал:

May 28 11:32:10 ml115 sshd[27779]: User git not allowed because account is locked
May 28 11:32:10 ml115 sshd[27779]: input_userauth_request: invalid user git [preauth]

После этого мне не потребовалось много времени, чтобы найти, что запись git в /etc/shadow имела !, которую нужно было заменить на *.

С * и всеми моими ключами я смог выполнить ssh с другой машины (обратите внимание, что ssh -vvT [email protected] также помогает в диагностике).

git push -u origin master

теперь работает.

Моя система - Ubuntu 13.04.

Ответ 3

вы должны поместить ~ gitlab/.ssh/id_rsa.pub в ~ git/. ssh/authorized_keys

-rwx ------ 1 git git 557 27 марта 16:46 authorized_keys

-rw-r - r-- 1 gitlab gitlab 406 27 марта 16:45 id_rsa.pub

Я вижу, что размер не соответствует, добавили ли вы параметр ssh key в authorized_keys? Также вы должны также проверить журнал ошибок sshd (например:/var/log/auth или /var/log/secure и т.д.)

Ответ 4

Хотя принятый ответ может работать, возможно, это не самый предпочтительный способ.

По крайней мере, на Ubuntu 12.04, passwd -u git приведет к этому предупреждению:

passwd: unlocking the password would result in a passwordless account.
You should set a password with usermod -p to unlock the password of this account.

Звучит неплохо... кроме того, что справочная страница для usermod предупреждает об использовании опции -p.

Note: This option is not recommended because the password (or encrypted password)
will be visible by users listing the processes.

Вместо всего этого вызов passwd -d gitlab сделает трюк, удалив пароль для пользователя (он устанавливает это поле passwd в пустую строку).

Ответ 5

Самое простое решение для разблокировки пользователя: usermod -p '*' username