PowerScale: Klucz hosta SSH OneFS nie jest zgodny po dodaniu, zastąpieniu lub ponownym obrazowaniu węzła w klastrze

Po dodaniu, zastąpieniu lub ponownym utworzeniu obrazu węzła w klastrze i nawiązaniu połączenia z nim za pomocą połączenia SSH (Secure Shell) może zostać wyświetlony komunikat o błędzie informujący, że klucz hosta jest nieprawidłowy lub uległ zmianie.

Objawy

W aplikacji klienckiej SSH może zostać wyświetlony następujący komunikat o błędzie:

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!

Someone could be eavesdropping on you right now (man-in-the-middle attack)

It is also possible that the DSA host key has just been changed.

The fingerprint for the DSA key sent by the remote host is

87:36:08:d9:22:8e:d8:c3:7c:87:ea:65:71:74:89:86.
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending key in /root/.ssh/known_hosts:6
DSA host key for isilon-2 has changed and you have requested strict checking.
Host key verification failed.

SSH Handler to protokół do ustanawiania bezpiecznego logowania zdalnego przy użyciu protokołu internetowego (IP), a SSH używa modelu uwierzytelniania za pomocą klucza publicznego lub prywatnego. Gdy po raz pierwszy łączysz się z nowym hostem, SSH prosi o zweryfikowanie jego klucza publicznego. Kolejne połączenia są sprawdzane pod kątem tego buforowanego klucza. Powyższe ostrzeżenie informuje, że klucz publiczny hosta, z którym się łączysz, nie jest zgodny z kluczem publicznym zapisanym w pamięci podręcznej tego hosta. W niektórych przypadkach może to być spowodowane atakiem typu man-in-the-middle. Po dodaniu węzła Isilon do klastra węzeł generuje nową parę kluczy publicznych lub prywatnych, co powoduje niepowodzenie próby połączenia.

Aby rozwiązać ten problem, wygeneruj listę kluczy węzłów i skopiuj je do klastra.

1. Zaloguj się do dowolnego węzła przy użyciu konta głównego.
2. Uruchom następujące polecenie w wierszu polecenia:

ssh-keyscan -t dsa `isi_nodes %{node} %{internal}` > /root/.ssh/known_hosts; cp /root/.ssh/known_hosts /ifs; isi_for_array -sX cp /ifs/known_hosts /root/.ssh/known_hosts; rm -f /ifs/known_hosts

​