Warum beschädigt mein tar via ssh (Befehl über Authorized_keys) das Archiv?

Von einer Sicherungsmaschine möchte ich TGZ-Dumps eines Produktionsservers abrufen. Beide Maschinen laufen ubuntu 16.04.

Daher verbindet sich der Sicherungsserver über SSH und eine bestimmte SSH mit dem Produktionsserver.

Die ~/.ssh/authorized_keysDatei des jeweiligen Benutzers auf dem Produktionsserver sollte nur einen einzigen Befehl zulassen und so viele Einschränkungen wie möglich einschränken (?), Hoffe ich.

command="tar -cz --file - --ignore-command-error --ignore-failed-read /dir/ 2>/dev/null | cat",no-agent-forwarding,no-port-forwarding,no-user-rc,no-X11-forwarding ssh-rsa AABLASHKEY comment

Wo /dir/ist das Verzeichnis, das gesichert werden soll, AABLASSHKEYund commentnatürlich die "echten" Werte.

Das | catist in diesem Fall erforderlich, da sonst Teer in dieser ubuntu - Version ( "tar (GNU tar) 1,28") nicht auf den von ssh (PTY) gegeben stdout sprechen. Der Stderr sollte in die Leere gehen ( 2> /dev/null). Edit : Der Punkt zu PTY ist ein Missverständnis, siehe die Antwort von @grawity.

Auf der Empfangsseite (dem backupServer) nehme ich es wie folgt auf:

ssh -i /path/to/key the-user@production-server > dir.tgz 

Die resultierende Datei unterscheidet sich jedoch in der Größe vom Archiv, wenn ich sie auf dem Server verarbeite, und ist kein gültiges Archiv (z gzip: stdin: invalid compressed data--crc error ... gzip: stdin: invalid compressed data--length error. B. ). Der Größenunterschied beträgt 22 Byte.

Wenn ich dem Backup-Server einen Befehl auf dem Produktivserver erlaube, indem ich die darin enthaltenen Einschränkungen entferne authorized_keys, funktioniert das problemlos. Welchen Punkt vermisse ich?

Einschränkungen

• Ich möchte es wirklich verwenden tar(nicht rsync, rrsync oder so ähnlich).
• Die Verbindung sollte vom Backup-Server initiiert werden
• Der Produktionsserver sollte keine temporären Dateien erstellen

Lösung

Wie @Grawity in seiner Antwort darauf hinwies (lesen Sie es, um einige Missverständnisse zu beseitigen), ~.ssh/authorized_keyslöst die folgende Zeile das Problem (und funktioniert auf Ubuntu 16.04 mit der angegebenen OpenSSH-Version):

command="tar -cz --file - --ignore-command-error --ignore-failed-read /dir/ 2>/dev/null",restrict ssh-rsa .... 

Stellen Sie folgende Verbindung her, damit der Befehl zum Sichern des Servers keine Warnungen ausgibt:

ssh -o RequestTTY=no -i /path/to/key the-user@production-server > dir.tgz