Ключ SSH запрашивает пароль

Я застрял здесь на примерно 2 дня в неделю.

У меня есть машина CentOs с Gitlab4 и gitolite. Все работало нормально в течение нескольких недель, но внезапно в прошлые выходные произошло что-то странное, и все двоичные файлы исчезли с машины (например, yum, python, ruby, mysql и т. Д.). Я действительно понятия не имею, как это может произойти ... После нескольких часов переустановки и компиляция gitlab снова заработала.

Но я не могу заставить работать ключи ssh между пользователями gitlab и git. Я уже удалил и воссоздал пользователя git, снова установил все разрешения, воссоздал ключи ssh, переустановил gitolite и т. д. Но ничего не помогло, я продолжаю получать ту же ошибку.

папка .ssh пользователя git

-rwx------ 1 git git  557 Mar 27 16:46 authorized_keys

папка .ssh пользователя gitlab

-rw------- 1 gitlab gitlab 1671 Mar 27 16:45 id_rsa
-rw-r--r-- 1 gitlab gitlab  406 Mar 27 16:45 id_rsa.pub
-rw-r--r-- 1 gitlab gitlab  391 Mar 27 16:50 known_hosts

Ошибка SSH:

ssh -vvvT git@localhost
OpenSSH_4.3p2, OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug2: ssh_connect: needpriv 0
debug1: Connecting to localhost [127.0.0.1] port 22.
debug1: Connection established.
debug1: identity file /home/gitlab/.ssh/identity type -1
debug3: Not a RSA1 key file /home/gitlab/.ssh/id_rsa.
debug2: key_type_from_name: unknown key type '-----BEGIN'
debug3: key_read: missing keytype
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug3: key_read: missing whitespace
debug2: key_type_from_name: unknown key type '-----END'
debug3: key_read: missing keytype
debug1: identity file /home/gitlab/.ssh/id_rsa type 1
debug1: identity file /home/gitlab/.ssh/id_dsa type -1
debug1: Remote protocol version 2.0, remote software version OpenSSH_4.3p2
debug1: match: OpenSSH_4.3p2 pat OpenSSH*
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_4.3p2
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug2: kex_parse_kexinit: diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1
debug2: kex_parse_kexinit: ssh-rsa,ssh-dss
debug2: kex_parse_kexinit: aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour,aes192-cbc,aes256-cbc,[email protected],aes128-ctr,aes192-ctr,aes256-ctr
debug2: kex_parse_kexinit: aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour,aes192-cbc,aes256-cbc,[email protected],aes128-ctr,aes192-ctr,aes256-ctr
debug2: kex_parse_kexinit: hmac-md5,hmac-sha1,hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96
debug2: kex_parse_kexinit: hmac-md5,hmac-sha1,hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96
debug2: kex_parse_kexinit: none,zlib
debug2: kex_parse_kexinit: none,zlib
debug2: kex_parse_kexinit: 
debug2: kex_parse_kexinit: 
debug2: kex_parse_kexinit: first_kex_follows 0 
debug2: kex_parse_kexinit: reserved 0 
debug2: kex_parse_kexinit: diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1
debug2: kex_parse_kexinit: ssh-rsa,ssh-dss
debug2: kex_parse_kexinit: aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour,aes192-cbc,aes256-cbc,[email protected],aes128-ctr,aes192-ctr,aes256-ctr
debug2: kex_parse_kexinit: aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour,aes192-cbc,aes256-cbc,[email protected],aes128-ctr,aes192-ctr,aes256-ctr
debug2: kex_parse_kexinit: hmac-md5,hmac-sha1,hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96
debug2: kex_parse_kexinit: hmac-md5,hmac-sha1,hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96
debug2: kex_parse_kexinit: none,zlib
debug2: kex_parse_kexinit: none,zlib
debug2: kex_parse_kexinit: 
debug2: kex_parse_kexinit: 
debug2: kex_parse_kexinit: first_kex_follows 0 
debug2: kex_parse_kexinit: reserved 0 
debug2: mac_init: found hmac-md5
debug1: kex: server->client aes128-cbc hmac-md5 none
debug2: mac_init: found hmac-md5
debug1: kex: client->server aes128-cbc hmac-md5 none
debug1: SSH2_MSG_KEX_DH_GEX_REQUEST(1024<1024<8192) sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_GROUP
debug2: dh_gen_key: priv key bits set: 132/256
debug2: bits set: 502/1024
debug1: SSH2_MSG_KEX_DH_GEX_INIT sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_REPLY
debug3: check_host_in_hostfile: filename /home/gitlab/.ssh/known_hosts
debug3: check_host_in_hostfile: match line 1
debug1: Host 'localhost' is known and matches the RSA host key.
debug1: Found key in /home/gitlab/.ssh/known_hosts:1
debug2: bits set: 505/1024
debug1: ssh_rsa_verify: signature correct
debug2: kex_derive_keys
debug2: set_newkeys: mode 1
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug2: set_newkeys: mode 0
debug1: SSH2_MSG_NEWKEYS received
debug1: SSH2_MSG_SERVICE_REQUEST sent
debug2: service_accept: ssh-userauth
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug2: key: /home/gitlab/.ssh/identity ((nil))
debug2: key: /home/gitlab/.ssh/id_rsa (0x848ba50)
debug2: key: /home/gitlab/.ssh/id_dsa ((nil))
debug1: Authentications that can continue: publickey,password
debug3: start over, passed a different list publickey,password
debug3: preferred publickey,keyboard-interactive,password
debug3: authmethod_lookup publickey
debug3: remaining preferred: keyboard-interactive,password
debug3: authmethod_is_enabled publickey
debug1: Next authentication method: publickey
debug1: Trying private key: /home/gitlab/.ssh/identity
debug3: no such identity: /home/gitlab/.ssh/identity
debug1: Offering public key: /home/gitlab/.ssh/id_rsa
debug3: send_pubkey_test
debug2: we sent a publickey packet, wait for reply
debug1: Authentications that can continue: publickey,password
debug1: Trying private key: /home/gitlab/.ssh/id_dsa
debug3: no such identity: /home/gitlab/.ssh/id_dsa
debug2: we did not send a packet, disable method
debug3: authmethod_lookup password
debug3: remaining preferred: ,password
debug3: authmethod_is_enabled password
debug1: Next authentication method: password

Журнал авторизации дает мне следующее:

Apr  2 10:19:13 venus sshd[15693]: User git not allowed because account is locked
Apr  2 10:19:13 venus sshd[15693]: Failed none for illegal user git from ::ffff:127.0.0.1 port 56906 ssh2

Спасибо за любую помощь.


git gitlab ssh ssh-keys gitolite
person Mario    schedule 27.03.2013    source источник
comment
вы пробовали использовать новый ключ?   -  person m79lkm    schedule 27.03.2013
comment
Ответ отредактирован ниже с опцией passwd -u.   -  person VonC    schedule 07.04.2013

Ответы (5)


arrow_upward
26
arrow_downward

Вы упоминаете:

Apr 2 10:19:13 venus shd[15693]: User git not allowed because account is locked 
Apr 2 10:19:13 venus sshd[15693]: Failed none for illegal user git from ::ffff:127.0.0.1 port 56906 ssh2

В В этой статье упоминается:

Теперь OpenSSH по умолчанию проверяет наличие заблокированных учетных записей.
В системах Linux заблокированными учетными записями считаются те, у которых в поле пароля /etc/shadow есть !!.
Это запись по умолчанию. для учетных записей, созданных с помощью команды useradd.
Даже если вы используете аутентификацию GSI и вам не нужны локальные пароли, sshd не позволит пользователю войти в систему с этим сообщением:

Too many authentication failures for username

В отладочной информации sshd будет указано, что учетная запись заблокирована:

User username not allowed because account is locked

Вот дополнительная информация из руководства по sshd:

Независимо от типа аутентификации учетная запись проверяется на доступность.
Учетная запись недоступна, если она заблокирована, указана в DenyUsers или ее группа указана в DenyGroups.
Определение заблокированной учетной записи зависит от системы.
Некоторые платформы имеют собственную базу данных учетных записей (например, AIX), а некоторые изменяют поле passwd ("*LK*" в Solaris и UnixWare, "*" в HP-UX, содержащее "Nologin" в Tru64, ведущее "*LOCKED*" во FreeBSD и ведущее "!!" в Linux).
Если требуется отключить аутентификацию по паролю для учетной записи, но при этом разрешить использование открытого ключа, то в поле passwd должно быть установлено значение, отличное от этих значений. (например, "NP" или "*NP*" ).

Исправить: Заменить !! с (например) NP в /etc/shadow.

Как упоминал jszakmeister (комментарии) и Yongcan-Frank- Lv (комментарии):

sudo passwd -u git

будет достаточно, чтобы разблокировать аккаунт.

person VonC    schedule 02.04.2013
comment
@jszakmeister правда, я добавил это в ответ для большей наглядности. - person VonC; 07.04.2013
comment
У меня ранее был установлен git-сервер и работал без головы. После того, как я установил GitLab на тот же сервер, GitLab отключил пользователя git. Дэн! - person scrat.squirrel; 28.04.2019

arrow_upward
6
arrow_downward

Эта такая же проблема убивала меня в gitlab 5.2 (bitnami).

Наконец я отследил его в /var/log/auth.log, который показал:

May 28 11:32:10 ml115 sshd[27779]: User git not allowed because account is locked
May 28 11:32:10 ml115 sshd[27779]: input_userauth_request: invalid user git [preauth]

После этого мне не потребовалось много времени, чтобы обнаружить, что запись git в /etc/shadow содержит !, которую нужно заменить на *.

С * и всеми настроенными ключами я смог подключиться по ssh с другой машины (обратите внимание, что ssh -vvT git@gitserver также помогает с диагностикой).

git push -u origin master

в настоящее время работает.

Моя система Ubuntu 13.04.

person kfmfe04    schedule 28.05.2013
comment
Была та же проблема: мне не удалось ничего отправить в мой репозиторий git, и я думал, что это было вызвано нестандартным портом ssh и аутентификацией только с помощью ключей, но в конце концов все дело было в том ! в файле /etc/shadow. - person Dawid; 19.08.2013

arrow_upward
1
arrow_downward

вы должны поместить ~gitlab/.ssh/id_rsa.pub в ~git/.ssh/authorized_keys

-rwx------ 1 git git 557 27 марта 16:46 авторизованные_ключи

-rw-r--r-- 1 gitlab gitlab 406 27 марта 16:45 id_rsa.pub

Я вижу, что размер не соответствует, вы добавили туда какую-то опцию ключа ssh в author_keys? Также вам следует проверить журнал ошибок sshd (например: /var/log/auth или /var/log/secure и т. д.)

person Yongcan-Frank-Lu    schedule 28.03.2013
comment
В файле авторизованных_ключей авторизации есть некоторые комментарии, но даже если я просто скопирую содержимое id_rsa.pub в авторизованные_ключи, я получу ту же ошибку. - person Mario; 29.03.2013
comment
войдите снова и проверьте журнал sshd centos в /var/log/secure. По какой-то причине вы ограничены для входа в систему (например, разрешение на .ssh) - person Yongcan-Frank-Lu; 29.03.2013
comment
2 апреля, 10:19:13, venus sshd[15693]: пользователь git не разрешен, поскольку учетная запись заблокирована ssh2 - person Mario; 02.04.2013
comment
passwd -u ‹username› разблокирует пользователя и проделает тот же трюк с обновлением /etc/shadow - person Yongcan-Frank-Lu; 02.04.2013

arrow_upward
1
arrow_downward

Хотя принятый ответ может работать, это может быть не предпочтительный способ сделать это.

По крайней мере, в Ubuntu 12.04 passwd -u git приведет к следующему предупреждению:

passwd: unlocking the password would result in a passwordless account.
You should set a password with usermod -p to unlock the password of this account.

Звучит хорошо... за исключением того, что справочная страница для usermod предостерегает от использования опции -p.

Note: This option is not recommended because the password (or encrypted password)
will be visible by users listing the processes.

Вместо всего этого вызов passwd -d gitlab сделает свое дело, удалив пароль для пользователя (он устанавливает в поле passwd пустую строку).

person kkurian    schedule 02.01.2014

arrow_upward
0
arrow_downward

Самое простое решение для разблокировки пользователя: usermod -p '*' username

person Dmitry Polushkin    schedule 19.08.2019