如何选择远程机器使用的私钥来创建给我的本地服务器的known_hosts条目

Question

无密码ssh有两个组件，用户身份验证和服务器身份验证。我的用户身份验证很好。我已经创建了一个公共私钥对，并将我的公钥放在authorized_keys文件中。我的问题是关于我的本地机器从远程机器获得的公钥，该公钥用于验证我要连接到的远程机器：

如何选择进入本地服务器的已知_主机的远程服务器使用的私钥？

为了省钱，我不断地在云提供商上创建和删除删除虚拟机。不幸的是，取代删除虚拟机的新虚拟机生成了known_hosts中使用的新的公私密钥对

我不想手动输入ssh-keygen-R

请注意，这与之前的公私密钥问题有关，例如ssh远程主机标识已更改，但没有重复！我知道您可以使用ssh-keygen-R手动修复这个问题

图表：

--------------------                          -----------------------
| My machine       |                          |  Remote Machine     |
| - - - - - - - - -|                          | - - - - - - - - - - |
| Host Public Key  |<---host-authentication---| ** Host Private Key |
| (known_hosts)    |                          |                     |
| - - - - - - - - -|                          | - - - - - - - - - - |
| User Private Key |----user-authentication-->| User Public Key     |
|                  |                          | (authorized_hosts)  |
--------------------                          -----------------------

**：如何更改此部分？




Answer 1

我最后用（这是不安全的）黑客攻击了我的脚本：

ssh -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null <hostname>

-o StrictHostKeyChecking=否：将接受连接到新主机

-o UserKnownHostsFile=/dev/null：将新主机保存到 /dev/null所以每次ssh时，它都是一个新主机

这最初是在中提出的https://askubuntu.com/questions/87449/how-to-disable-strict-host-key-checking-in-ssh来解决类似的问题。

Answer 2

META：这实际上是SysOps而不是编程，可能属于serverfault或superuser，或者unix。SX。

您没有说明您的虚拟机正在使用哪个SSH服务器，尽管我预计云提供商可能会使用OpenSSH来避免可能的许可证问题。如果这个猜测是正确的，sshd通常将其配置和密钥文件放在/etc/ssh中，尽管这可以更改。请参阅任何系统或Web上FILES下的手册页，根据SO约定复制在此处：

/这些文件包含主机密钥的私有部分。这些文件应仅由root所有，仅由root可读，其他人不可访问。请注意，如果这些文件是组/全局可访问的，则sshd不会启动。

/etc/ssh/ssh\u host\u dsa\u密钥。pub
/etc/ssh/ssh\u host\u ecdsa\u密钥。pub
/etc/ssh/ssh\u host\u ed25519\u密钥。pub
/etc/ssh/ssh\u host\u rsa\u密钥。pub这些文件包含主机密钥的公共部分。这些文件应该是全局可读的，但只能由root用户写入。其内容应与各自的私人部分相匹配。这些文件实际上没有用于任何用途；它们是为方便用户而提供的，因此可以将其内容复制到已知的主机文件中。这些文件是使用ssh-keygen（1）创建的。

对于协议v2，主机最多可以有四个密钥对：RSA、DSA、ECDSA和ED25519。非常旧的版本只支持RSA和DSA。旧版本不支持ED25519。新版本默认不使用DSA，但确实支持它。代码仍然支持带有ssh_host_key[. pub]（名称中没有算法）的协议v1，但v1已经过时和损坏，您不应该使用它。

手册页并没有这样说，我可以看到，但实际上几年来，OpenSSH服务器通常会自动生成主机密钥，如果它们在代码或包安装/启动脚本中丢失，那么只删除您不想要的密钥类型可能行不通。您的客户端可能能够控制主机使用哪些受支持的公钥算法；有关OpenSSH的最新版本，请参阅HostKeyAlgorithms下ssh\u配置的手册页。否则，请上载所有支持的密钥类型，或上载所需的密钥类型，并调整sshd\u config文件以不使用其他密钥类型，或为其他密钥类型创建无效但不可写入和不可删除的文件，以便sshd无法使用它们。

旁白：我会颠倒你的图表。主机身份验证始终首先出现，实际上始终是公钥（标准中有其他选项，但没有使用）；客户端身份验证通常是第二个，但可以跳过，可以是公钥或密码。