FAQ - Suche DE EN RO

Antworten

64. Da hat einer was von SSH-Schlüssel erzählt. Was soll das? (Kat. 4)

#20240225 -

Ganz grob
Das braucht man um eine sichere Verbindung aufzubauen auf die Kommandozeile des Routers, um dort bestimmte Dinge durchzuführen.

Laut Wikipedia ist #SSH - oder Secure Shell ein verschlüsseltes Netzwerkprotokoll für den sicheren Betrieb von Netzwerkdiensten über ungesicherte Netzwerke. Häufig wird es verwendet, um lokal eine entfernte Kommandozeile verfügbar zu machen, d. h., auf einer lokalen Konsole werden die Ausgaben der entfernten Konsole ausgegeben, und die lokalen Tastatureingaben werden an den entfernten Rechner gesendet. Genutzt werden kann dies z. B. zur Fernwartung eines entfernten Servers oder wie in unserem Fall eines Gerätes, des #Router - .

Freifunk München hat dazu eine Seite im Wiki Administration eines Freifunk-Knotens via SSH. Auch ein erfahrener User bietet eine Erklärung in seinem Wiki an: dokuwiki.nausch.org

SSH verwendet dafür das Public-Key-Verfahren (Wikipedia). Dabei wird ein Schlüsselpaar aus privatem (#private - ) und öffentlichen (#public - ) #Schluessel - erzeugt. Dann wird der Public-#Key - am Server bzw. Gerät (unser Freifunk-Router) hinterlegt und mit dem Private-Key kann die Person dann auf diesen Server/dieses Gerät zugreifen.

Achtung:
Aktuell werden noch keine Ed25519-Schlüssel unterstützt (Elliptic Curve Signature Schema). Deshalb generiert man einen RSA-Schlüssel mit entsprechender Schlüssellänge.
Falsch!
heute #Tom - im #Chat - :

ed25519 Keys gehen seit Gluon 2022.1
wäre btw. auch meine Empfehlung für die Erstellung eines neuen Keys gewesen
jemand sollte dementsprechend dann mal das Wiki updaten

Danach dann auch die Empfehlung für die Erstellung des Schlüssels (siehe unten):


ssh-keygen -t ed25519 -C user@ffmuc-meinOrtNr -f c:\Users\user\.ssh\id_ed25519_ff


Um ein solches Schlüsselpaar zu erzeugen, benötigt man unter Windows z.B. OpenSSH für Windows (#github - )
Wenn OpenSSH vollständig installiert wurde, sollte der Programmpfad in der #PATH - Variablen gespeichert sein. Sonst muss man zum Aufruf des Programms selbst in das Verzeichnis wechseln. Eventuell ist es das Verzeichnis: C:\Windows\System32\OpenSSH\
Man sollte sich in der Kommandozeile (command line) befinden, aufzurufen über: Windows-Startmenü >> CMD (Eingabeaufforderung)
Als aufzurufendes Kommando wird empfohlen: Korrektur, siehe oben


ssh-keygen -b 4096 -t rsa -C user@server.org


Das "-C" (großes "C") ist nur ein Kommentar und hat keine weitere Bedeutung.
Das "-b" (kleines "b") ist die Schlüssellänge in Bits.
Das "-t" (kleines "t") ist das Verfahren, wir verwenden RSA.

Das Programm fragt:


Enter file in which to save the key (C:\Users\user/.ssh/id_rsa):


Hier können wir ein abweichendes Verzeichnis/einen abweichenden Dateiname angeben.

Passphrase geben wir keine ein und beenden beide Abfragen mit Enter.

Für das Verbinden siehe Config Router

Nun den Pulic-Key (Dateiname endet auf ".pub") mit einem Text-Editor öffnen und die Zeile kopieren. Diesen auf der Operfläche des Routers (Modus: Experte) beim Reiter "Remotezugriff" in das Feld kopieren und Speichern.


Nun per SSH verbinden (Kommandozeile):
im Config Mode
d.h. kein Internet Kabel am Router und ein LAN Kabel zum PC
#Tom - im Chat:

btw. im config Mode brauchst du keinen key, da kann sich einfach jeder verbinden
user ist root
also root@192.168.1.1

dann dieses Kommando:


ssh root@192.168.1.1


und was #Tom - noch sagte:

Aktuell hinterlegte Public Keys siehst du ja im Config Mode bzw. auch jederzeit mittels
cat /etc/dropbear/authorized_keys

SSH mit WLAN im Nomal Mode
Der Router ist im normalen Modus (also nicht im Config Mode).
Der PC ist per WLAN verbunden mit freifunk.ffmuc.net/ff-meinOrtNr bzw. offline.ffmuc.net/ff-meinOrtNr. (je nachdem ob der Router verbunden mit FFMUC ist oder nicht.)
Der erzeugte Public Key wurde bereits im Config Mode hinterlegt.
Der erzeugte Private key ist am PC gespeichert im Verzeichnis: C:\Users\user\.ssh
Es ist eine Kommandozeile geöffnet (command line) und man befindet sich im Verzeichnis: C:\Users\user
Die IPV6 Adresse des Routers heraus bekommen. (s.u.) (z.B.: fe80::a1b2:c3FF:FEd4:e5f6) siehe convertmac2linklocal
Kommando: ipconfig >> bei "Verbindungslokale IPv6-Adresse" ab Prozent-Zeichen und die Zahl dahinter (z.B.: %15)
nun das Kommando:


ssh root@fe80::a1b2:c3FF:FEd4:e5f6%15 -i .ssh/id_ed25519_ff


⇑ zu den Fragen

67. .. und vielen Dank für den Fisch (Kat. 4)

#20240229 -
An dieser Stelle vielen Dank für die Hilfe aller Beteiligten und besonders für #Tom - und #grische - , die viel Geduld mit mir hatten. ;-)
\\//_ Lebt lang und in Frieden #LLAP -

⇑ zu den Fragen