sshd: исправлено “no hostkey alg”, но всё ещё непонятно

Очевидно, что Fedora 35 не перечисляет ssh-rsa в HostKeyAlgorithms или PubkeyAcceptedKeyTypes, поэтому попытка подключиться по ssh с устаревшей машины CentOS 6 выдала ошибку:

$ ssh as1s16.intra.corp.us
no hostkey alg

Поэтому я добавил опции после Include в /etc/ssh/sshd_config:

Include /etc/ssh/sshd_config.d/*.conf

HostKeyAlgorithms +ssh-rsa
PubkeyAcceptedKeyTypes +ssh-rsa

но ошибка осталась. Затем я запустил sshd следующим образом:

# /usr/sbin/sshd -ddd
...
debug3: /etc/ssh/sshd_config:20 setting HostKeyAlgorithms +ssh-rsa
debug3: /etc/ssh/sshd_config:21 setting PubkeyAcceptedKeyTypes +ssh-rsa
...
debug1: SELinux support disabled [preauth]
...
debug3: append_hostkey_type: ssh-rsa key not permitted by HostkeyAlgorithms [preauth]
debug1: list_hostkey_types: rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256,ssh-ed25519 [preauth]

но ошибка все равно осталась. Затем я удалил опции и запустил sshd следующим образом:

# /usr/sbin/sshd -ddd -oHostKeyAlgorithms=ssh-rsa

и это сработало. Я смог успешно подключиться по ssh с клиента CentOS 6.

Затем я поставил опции ПЕРЕД Include:

HostKeyAlgorithms +ssh-rsa
PubkeyAcceptedKeyTypes +ssh-rsa

# Чтобы изменить конфигурацию sshd на уровне всей системы, создайте файл *.conf в
# /etc/ssh/sshd_config.d/, который будет автоматически включен ниже
Include /etc/ssh/sshd_config.d/*.conf

и это сработало.

Почему мне нужно поставить эти директивы ПЕРЕД Include? Не должны ли они идти после, чтобы переопределить значения по умолчанию?

Хотя это формулировка не очень ясная, я подозреваю, что каталог config.d/* предназначен для отдельных конфигурационных файлов для конкретных клиентов/пользователей или входящих интерфейсов/портов, в отличие от “общесистемных”. Это похоже на использование каталогов sites/* в apache/httpd и nginx (а возможно, и в других), чтобы каждый виртуальный хост или приложение могло быть сконфигурировано отдельно, но при этом всё поддерживалось одним сервером. Просмотрите эти файлы, чтобы увидеть, содержат ли они строки Match (за которыми должны следовать другие реальные строки — не Match, не комментарии и не пустые), что означает, что они применяются только к определённым подключениям, а не ко всем.

Include является текстовым. Если у вас есть файл

blich
Include file*
blech

где blich и blech не содержат строк Match, но по крайней мере некоторые из включаемых файлов имеют, тогда blech фактически становится частью последнего блока Match из слияния файлов — поэтому настройки в blech используются только для входящих подключений, удовлетворяющих этим условиям Match, которые ваше тестовое подключение, видимо, не удовлетворяло.

Если вы хотите, чтобы настройки SSHD были “глобальными”, вы должны поставить их перед любой строкой Match, и если в включаемых файлах есть строки Match, это означает, что вы должны поставить глобальные настройки перед Include.

Все (используемые) настройки в конфигурационном файле переопределяют значения по умолчанию в программе. Если поставить одну и ту же настройку более одного раза в конфигурационном файле (перед/вне любых блоков Match), будет использоваться первая, а не последняя, так что ваша идея о переопределении более раннего “значения по умолчанию” (которое вовсе не является значением по умолчанию, если оно есть в файле) не сработает. Только когда более позднее вхождение находится в блоке Match, условия которого выполняются, оно переопределяет первое.

P.S.: вероятно, это произошло потому, что Fedora является передовой и OpenSSH недавно изменила это окончательно после того, как предупреждала (угрожала?) об этом с версии 8.2 полтора года назад.

Я использовал:

HostKeyAlgorithms +ssh-rsa
PubkeyAcceptedAlgorithms +ssh-rsa

в /etc/ssh/sshd_config и перезапустил sshd.