Данная инструкция описывает настройку подключения с клиентского ПК (Клиент) по SHH по токену к промежуточному серверу (Сервер 1) с последующим подключением по SSH по токену к конечному серверу (Сервер 2) в этой же сессии. Токен на Сервере 1 работает благодаря пробросу сокета pcscd
с Клиента на Сервер 1.
Ниже приведен пример настройки такого подключения между клиентом Astra Linux и двумя серверами Astra Linux.
Клиент:
Сервер 1 (промежуточный):
Сервер 2 (конечный):
Настройка проходит в несколько этапов: генерация ключей на токене, настройка клиентского ПК, настройка Сервера 1, настройка Сервера 2, перенаправление сокета pcscd на Сервер 1, подключение к Серверу 2.
Обновите установленные пакеты:
|
Установите библиотеку rtPKCS11ECP для своего дистрибутива из Центра загрузки Рутокен.
Сгенерируйте ключевую пару на Рутокене:
|
В значении опции --id
задайте произвольный ID ключа (например, 45).
Сконвертируйте в формат SSH открытый ключ на Рутокене:
|
<slot>
— слот, к которому подключен токен;
<id>
— ID ключа, который был задан в предыдущем шаге.
Пример команды для токена, подключенного к слоту 0, и ключа с ID 45:
ssh -keygen -D /usr/lib/librtpkcs11ecp .so -I 0:45 >> key.pu b |
openssh-client
:
|
openssh-server
:
|
~/.ssh
на сервере.key.pub
, полученного в шаге 4 этапа Генерация ключей, в файл ~/.ssh/authorized_keys
. Если такого файла нет, его нужно создать.
|
Для настройки Сервера 2 повторите шаги настройки Сервера 1.
ssh -R /путь/к/.pcscd.comm:/var/run/pcscd/pcscd.comm -I /usr/lib/librtpkcs11ecp.so <user>@<server_address> |
<user>@<server_address>
— имя пользователя и адрес Сервера 1;
/путь/к/.pcscd.comm
— путь, где будет находиться файл сокета на Сервере 1.ssh -R /home/server1/.pcscd.comm:/var/run/pcscd/pcscd.comm -I /usr/lib/librtpkcs11ecp.so server1@192.168.5.155 |
PCSCLITE_CSOCK_NAME
, чтобы указать программе, какой сокет использовать для взаимодействия с pcscd:export PCSCLITE_CSOCK_NAME=/путь/к/.pcscd.comm |
/путь/к/.pcscd.comm
— путь к файлу .pcscd.comm, который был выбран в предыдущем шаге.
Пример готовой команды для Сервера 1 с параметрами, указанными в разделе Параметры окружения:
export PCSCLITE_CSOCK_NAME=/home/server1/.pcscd.comm |
Работа с Рутокеном будет доступна только в той сессии и через ту консоль, через которую осуществлялся проброс сокета pcscd в предыдущем этапе. |
Подключитесь по SSH с Сервера 1 к Серверу 2 с помощью Рутокена:
|
<user>@<server_address>
— имя пользователя и адрес Сервера 2.
|
Чтобы завершить сеанс SSH, закройте терминал или выполните команду exit
.
После завершения работы нужно удалить файл При попытке создания новой сессии со старым файлом |