Попытка ssh на один сервер из двух разных сетей приводит к двум разным отпечаткам RSA

448
Fabio A.

Попытка подключиться к удаленному серверу effingham.dreamhost.comчерез ssh из сети моей компании привела к тому, что ssh выдает ошибку о несоответствии отпечатков пальцев RSA, поэтому я проверил и обнаружил, что, если я подключился к серверу через сеть оператора мобильной связи, все прошло нормально.

Ниже приведен правильный effingham.dreamhost.comотпечаток пальца RSA, сообщенный Dreamhost.

Правильный отпечаток пальца, как сообщает Dreamhost

Действительно, при подключении к серверу с использованием сети оператора мобильной связи ключи совпадают.

# ssh -o FingerprintHash=md5 effingham.dreamhost.com The authenticity of host 'effingham.dreamhost.com (208.113.186.1)' can't be established. RSA key fingerprint is MD5:90:8e:91:ac:f5:8c:9b:31:0c:5e:5e:8c:9c:b7:12:72. Are you sure you want to continue connecting (yes/no)?

Однако, если я переключаюсь на сеть моей компании, хотя IP-адрес такой же, как в предыдущем примере, ключи не совпадают.

# ssh -o FingerprintHash=md5 effingham.dreamhost.com The authenticity of host 'effingham.dreamhost.com (208.113.186.1)' can't be established. RSA key fingerprint is MD5:fb:58:8d:e7:47:b6:b4:32:79:b9:da:12:87:23:33:cc. Are you sure you want to continue connecting (yes/no)?

Я не знаю, что здесь происходит. Насколько я понимаю, это не может быть перехват DNS, так как для этого требуются разные IP-адреса. Это верно? Если это так, что может быть причиной такого поведения, и должен ли я волноваться, что кто-то может подслушивать соединение или что-то подобное?

1
Использует ли ваша компания прозрачный прокси для других протоколов, например HTTPS? Могут ли они перенаправлять запросы на сервер перехвата на брандмауэре? Silas Parker 8 лет назад 1
У них действительно есть правила, которые блокируют выход определенного трафика, что является одной из причин, по которой я пытался использовать свою учетную запись Dreamhost в качестве прокси. Я ожидал, что порт 22 на внешних серверах будет заблокирован, хотя и не будет перенаправлен прозрачно к тому, кто знает, где. Итак, вы говорите, что их брандмауэр может захватить соединение с другим ssh-сервером? Кстати, я могу войти только с парольной аутентификацией, без общих ключей, в то время как я могу использовать общие ключи с оригинальным сервером. Fabio A. 8 лет назад 0
В любом случае я попытался подключиться, и ssh ответил `запрос на выделение PTY не выполнен на канале 0`. Это определенно выглядит подозрительно. Fabio A. 8 лет назад 0

1 ответ на вопрос

1
Silas Parker

I suspect your company is redirecting outgoing port 22 TCP connections to a dummy SSH server. It'll probably log the IP making the connection so IT knows who tried to make the request.

As traffic passes through a gateway or firewall device, connections can be blocked or redirected.

You could try reconfiguring your server to run on a higher number port (e.g. 22222) as that may not be blocked, but it would probably be best to just ask your IT to allow SSH for you.

Похожие вопросы