SSH : Pourquoi dois-je revérifier l'empreinte digitale lorsque je me connecte au même serveur depuis un autre domaine ?

Vous pouvez délimiter les entrées par des virgules dans ~/.ssh/known_hosts

Vous pouvez le faire :

database.example.com,webserver.example.com,database,webserver,10.1.2.3 ssh-rsa …

Vous pouvez ajouter d'autres noms et adresses IP pour un hôte dans ce format délimité par des virgules.

Cela utilise les noms d'hôtes réels, et non les Host Les alias que vous pouvez créer dans votre ~/.ssh/config fichier.

Trouver les entrées dupliquées dans known_hosts

J'ai créé un petit script appelé ssh-hosthashes qui peut trouver les entrées dupliquées dans un known_hosts fichier. Utilisez-le et les connaissances ci-dessus pour les réduire.

Voici son résultat pour la clé de Github (que vous pouvez remarquer que j'ai un peu réduit, mais pas assez). Les collisions sont listées par numéro de ligne :

ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQEAq2A7hRGmdnm9tUDbO9IDSwBK6TbQa+PXYPCPy6rbTrTt
...JEAvGq3lGHSZXy28G3skua2SmVi/w4yCE6gbODqnTWlg7+wC604ydGXA8VJiS5ap43JXiUFFAaQ==
    72: github.com,gist.github.com,192.30.252.128,192.30.252.129,192.30.252.130,192.30.252.131,192.30.252.140,192.30.252.141,192.30.252.142,192.30.252.143
    93: 192.30.253.113
    95: 192.30.253.118
    96: 192.30.253.119
    97: 192.30.253.112
    109: 192.30.255.113
    110: 192.30.255.112
    155: 140.82.113.3
    158: 140.82.114.4
    161: 140.82.113.4

Vérifier avec ssh localhost

Une autre chose que je fais souvent est de m'assurer que je n'ai pas enregistré l'empreinte digitale pour localhost. De cette façon, je peux me connecter au serveur à partir d'un hôte dont l'empreinte digitale est sauvegardée et approuvée, et lancer l'opération suivante ssh localhost de ce serveur, et faire correspondre cette empreinte digitale à celle proposée par un client qui ne l'a pas déjà enregistrée. Attention toutefois aux différents types de clés (ou formats d'empreintes). (Ceci n'est utile que parce que le condensé fourni par la clé ssh est différent du format stocké dans known_hosts fichiers.)

Lecture La réponse de @AdamKatz m'a donné envie de trier mon fichier known_hosts, j'ai donc écrit un script qui fait cela, trouvez-le ci-dessous (j'ai mis du soin à l'écrire mais je n'ai fait que des tests minimaux donc utilisez-le à vos risques et périls).

Pour ce qui est de la question initiale, je recommande d'utiliser une entrée de configuration HostKeyAlias dans le fichier .ssh/config, comme expliqué dans le document suivant cette réponse ServerFault : "SSH dans une boîte dont l'IP change fréquemment". .

SSH : Configurer ssh_config pour utiliser un fichier clé spécifique pour une empreinte de serveur spécifique

# (python3)
# `organize_known_hosts.py`

# For all known hosts, sort them by algo+hashed value, grouping the known IPs and domain names into one comma-separted list

# Usage:
# Generated the sorted file:
#     cat ~/.ssh/known_hosts | python organize_known_hosts.py > /tmp/known_hosts
# Print it for visual check
#     cat /tmp/known_hosts
#     mv /tmp/known_hosts ~/.ssh/

import sys
from collections import namedtuple

class Entry(namedtuple("Entry", ["domainString", "algorithm", "hash"])):
    def __str__(self):
        return f"{self.domainString} {self.algorithm} {self.hash}"

    def rightHandSide(self):
        """algorithm+hash"""
        return f"{self.algorithm}.{self.hash}"

entryMap = {}

for lineNumber, line in enumerate(sys.stdin, start=1):
    content = line.strip().split()
    if len(content) == 0:
        continue # empty line -> skip
    elif line[0].startswith("#") or len(content) != 3:
        if not line[0].startswith("#"):
            sys.stderr.write(f"could not parse a line; line moved to top|{lineNumber}: '{line}'\n")
        sys.stdout.write(line)
        continue # comment or erroneous line -> skip
    entry = Entry(*content)
    entryMap.setdefault(entry.rightHandSide(), []).append(entry)

compactEntryList = []

for k, entryList in sorted(entryMap.items()):
    domainList = []
    ipList = []
    for entry in entryList:
        for domainOrIp in entry.domainString.split(","):
            if 'a' <= domainOrIp[0].lower() <= 'z':
                domainList.append(domainOrIp)
            else:
                ipList.append(domainOrIp)
    domainString = ",".join(sorted(domainList) + sorted(ipList))
    compactEntryList.append(Entry(domainString, *k.split(".")))

sys.stdout.write("\n".join(map(str, compactEntryList)))