security - 带有证书 : how? 的 ssh 隧道

Question

我已经学习了一些关于通过 putty 设置 SSH 隧道的基础知识。问题一:如何让两个SSH端基于证书互相认证？例如，使用 SSH 隧道进行远程 VNC 访问...

VNC == SSH (A) ===== SSH (B) === VNC 

我想让 A 和 B 互相验证。 VNC 可以有自己的保护密码是有争议的。但这不是重点。我可以在 A 和 B 上运行许多不一定具有 usr/pwd 保护的应用程序。

我检查了 putty 配置，似乎没有使用证书的选项。有人建议使用 stunnel，但我想看看直接使用 SSH 是否可行。感谢您的建议。

Answer 1

您需要使用证书而不仅仅是 ssh key 的任何特定原因？我知道的唯一原因是它减轻了主机管理员在有大量用户登录的主机上管理 authorized_keys 文件的复杂配置的负担。

OpenSSH 在 5.4 版中引入了证书，因此请确保您至少在服务器端运行该版本。客户端也必须支持 SSH 证书，目前我不清楚 putty 是否支持它。但是，它确实支持 ssh key ，除非您特别需要证书，否则您只需要基于 key 的身份验证。

这是一篇关于 SSH 证书的好书:http://blog.habets.pp.se/2011/07/OpenSSH-certificates

如果您只需要在不提示输入密码的情况下登录，则只需使用 ssh key (无论如何证书都使用它)。

你这样说:

I want A and B to authenticate each other.

无论您使用 key 还是证书，您都已经从 ssh 协议(protocol)本身获得了它。当客户端连接到服务器时，它会将主机 key 与其本地的 known_hosts 文件进行比较。如果这是您第一次访问该服务器，它会询问您是否要接受它。如果服务器的 key 在您登录后发生更改，您会收到中间人警告，并根据您的客户端配置询问您是否可以继续或根本不允许您继续。

这是服务器向客户端验证自身的过程，发生在客户端尝试向服务器验证之前。