Verwenden von Kerberos mit mehrfach vernetzten Hosts

Ich habe mehrere Hosts, auf denen CentOS 7.3 mit OpenSSH 6.6.1p1 und Kerberos 5 Version 1.14.1 ausgeführt wird .

Meine Hosts und ihre Netzwerkschnittstellen sind wie folgt. Hosts werden nach ihrem "primären" Hostnamen aufgelistet . Hierbei handelt es sich um den Hostnamen, der im DNS der einzelnen IP-Adresse der eth0- Netzwerkschnittstelle des Hosts zugeordnet ist. Bei Hosts mit mehreren Netzwerkschnittstellen gebe ich dann auch die DNS-Namen, die der einzelnen IP-Adresse auf jeder dieser Netzwerkschnittstellen zugeordnet sind.

• inf.example.com

  • eth0: 192.168.1.1/24

• dev.example.com

  • eth0: 192.168.1.2/24

• cluster-1.example.com

  • eth0: 192.168.1.11/24
  • eth1: 192.168.10.11/24 (DNS-A / PTR-Einträge für diese sekundäre Netzwerkschnittstelle werden mithilfe des Hostnamens cluster-1-a.example.com eingerichtet.)

• cluster-2.example.com

  • eth0: 192.168.1.12/24
  • eth1: 192.168.10.12/24 (DNS-A / PTR-Einträge für diese sekundäre Netzwerkschnittstelle werden mit dem Hostnamen cluster-2-a.example.com eingerichtet.)

inf.example.com, der "Infrastruktur" -Server, ist der Ort, an dem DNS, LDAP, das Kerberos Key Distribution Center (KDC) usw. ausgeführt werden. Diese Elemente werden durch die Verwendung von FreeIPA Version 4.4.0 einheitlich verwaltet .

dev.example.com ist ein Entwicklungshost, von dem Entwickler Skripts ausführen, die SSH verwenden, um Remote-Befehle auf cluster-1.example.com auszuführen .

Der Befehl, der auf cluster-1.example.com ausgeführt wird, verwendet wiederum SSH, um einen Remote-Befehl auf dem anderen Cluster-Host auszuführen, jedoch über seine sekundäre Netzwerkschnittstelle (dh über seine 192.168.10.11 (auch bekannt als cluster-2-a) .example.com ) Netzwerkschnittstelle).

Um die Ausführung dieser Skripts zu erleichtern, versuche ich, Single Sign On (SSO) für OpenSSH vollständig einzurichten.

Alles funktioniert gut, wenn ich die Adressen 192.168.1.0/24 verwende und das -K- Flag für SSH verwende, um mein Kerberos Ticket Granting Ticket (TGT) an den Host weiterzuleiten, an den ich SSHing gehe:

user@dev$ ssh -K cluster-1.example.com user@cluster-1$ ssh -K cluster-2.example.com user@cluster-2 $ # Everything worked! I was never prompted to accept an SSH host key or to enter a password! 

Wenn ich jedoch versuche, die sekundäre Netzwerkschnittstelle auf dem zweiten SSH-Hop zu verwenden, funktionieren die Dinge nicht wie gewünscht (dh auf eine Art und Weise, die keine menschliche Interaktion erfordert). Insbesondere treten zwei Eingabeaufforderungen für menschliche Interaktion auf:

1. Ich werde aufgefordert, den SSH-Hostschlüssel des Servers zu akzeptieren
2. Ich werde nach meinem Passwort gefragt

Diese Probleme können unten gesehen werden:

user@dev$ ssh -K cluster-1.example.com user@cluster-1$ ssh -K cluster-2-a.example.com The authenticity of host 'cluster-2-a.example.com (<no hostip for proxy command>)' can't be established. RSA key fingerprint is xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added 'cluster-2-a.example.com' (RSA) to the list of known hosts. Password: 

Es ist nicht überraschend, dass dies nicht funktioniert. Obwohl die IP-Adressen und Hostnamen, die den sekundären Netzwerkschnittstellen zugeordnet sind, über entsprechende A- und PTR-Einträge im DNS verfügen, gibt es keine "Registrierung" der IP-Adressen und Hostnamen, die den sekundären Netzwerkschnittstellen in Kerberos zugeordnet sind.

Wie werden Hosts mit mehreren Netzwerkschnittstellen / Hostnamen / IP-Adressen in Kerberos ordnungsgemäß konfiguriert, damit SSH-SSO unter Verwendung von Hostnamen / IP-Adressen der Hosts funktioniert?

7/31/2018 UPDATE
inf.example.com (dh das KDC) ist im 192.168.10.0/24-Netzwerk nicht vorhanden .

Benötigt es eine Präsenz am 192.168.10.0/24 für 1) Erstmalige Registrierung von cluster-1-a.example.com und cluster-2-a.example.com oder für 2) laufende Vorgänge von cluster-1-a.example .com und cluster-2-a.example.com ?

Oder kann der gesamte Kerberos-Verkehr, der für die Registrierung und den Betrieb der sekundären Netzwerkschnittstellen benötigt wird, über die primären Schnittstellen (dh das 192.168.1.0/24-Netzwerk ) fließen ?