Не позволить клиенту ssh предложить все открытые ключи, которые он может найти?

Как и большинство системных администраторов, я все время использую openssh. У меня есть около дюжины ключей SSH, мне нравится иметь разные ключи SSH для каждого хоста. Однако это вызывает проблему, когда я подключаюсь к хосту в первый раз, и все, что у меня есть, это пароль. Я хочу просто подключиться к хосту, используя пароль, в этом случае нет ключа ssh. Однако ssh-клиент предложит все открытые ключи в моем ~/.ssh/(я знаю это, посмотрев на вывод ssh -v). Поскольку у меня их так много, я буду отключен из-за слишком большого количества ошибок аутентификации.

Есть ли способ сказать моему SSH-клиенту не предлагать все SSH-ключи?

Это ожидаемое поведение в соответствии с man-страницей ssh_config:

 IdentityFile
         Specifies a file from which the user's DSA, ECDSA or DSA authentica‐
         tion identity is read.  The default is ~/.ssh/identity for protocol
         version 1, and ~/.ssh/id_dsa, ~/.ssh/id_ecdsa and ~/.ssh/id_rsa for
         protocol version 2.  Additionally, any identities represented by the
         authentication agent will be used for authentication.  

         [...]

         It is possible to have multiple identity files specified in configu‐
         ration files; all these identities will be tried in sequence.  Mul‐
         tiple IdentityFile directives will add to the list of identities
         tried (this behaviour differs from that of other configuration
         directives).

По сути, указание IdentityFiles просто добавляет ключи к текущему списку, который агент SSH уже представил клиенту.

Попробуйте переопределить это поведение в нижней части вашего .ssh/configфайла:

Host *
  IdentitiesOnly yes

Вы также можете переопределить этот параметр на уровне хоста, например:

Host foo
  User bar
  IdentityFile /path/to/key
  IdentitiesOnly yes

Хотя другие намекали на это с помощью решений на основе конфигурации, вероятно, стоит отметить, что вы можете легко сделать это единовременно в командной строке с помощью:

ssh -o 'PubkeyAuthentication no' myhostname.mydomain

Следуя решению Джеймса Сниринджера, вы можете просто установить ssh_config в соответствии с:

Host *.mycompany.com
  IdentityFile .ssh/id_dsa_mycompany_main

Host *.mycustomer.com
  IdentityFile .ssh/id_dsa_mycustomer

Host *
  RSAAuthentication no #this should be up top, avoid ssh1 at all costs
  PubkeyAuthentication no

Если вы подключаетесь с определенным ключом ко многим машинам, не входящим в общий домен, рассмотрите возможность предоставления им всех CNAME в вашем собственном DNS. Я делаю это со всеми системами клиентов.

Подобно решению user23413, вы можете полностью отключить аутентификацию с открытым ключом для конкретного хоста (или шаблона с подстановочными знаками):

Host *.example.org
RSAAuthentication no        # SSHv1
PubkeyAuthentication no     # SSHv2

Если вы укажете на конкретный файл ключа с помощью ssh -i / path / to / key, он будет использовать его только в том случае, если в агент загружены другие файлы, и вам не будет предложено ввести пароль. Вы также можете отредактировать ~ / .ssh / config и объявить что-то вроде этого ...

Хост foo.example.com
IdentityFile .ssh / id_rsa_foo.example.com

Вы также можете сделать ...

Хост * .example.org
IdentityFile .ssh / id_rsa_example.org