Beheben von Problemen bei SSH-Verbindungen in Reflection X

Transkript

1 Beheben von Problemen bei SSH-Verbindungen in Reflection X Stand vom 31. März 2011 Hinweis: Die neuesten Informationen werden zunächst im technischen Hinweis 1814 in englischer Sprache veröffentlicht. Wenn das Datum der letzten Überprüfung auf der englischen Seite nach dem Datum auf dieser Seite liegt, enthält die englische Seite unter Umständen neuere Informationen. Gilt für Reflection X 2011 Reflection Suite for X 2011 Reflection X Advantage Reflection X Version 14.x Zusammenfassung In diesem technischen Hinweis wird beschrieben, wie Probleme bei Verbindungen mit Secure Shell in Reflection X behoben werden. Beachten Sie folgende Hinweise: * Ab Reflection 13.0 wird die SSH-Verbindung als "Secure Shell" bezeichnet, in früheren Versionen von Reflection dagegen als "OpenSSH". Weitere Informationen zu Reflection Secure Shell finden Sie im technischen Hinweis 1857 (nur in englischer Sprache verfügbar). * Sie benötigen Root-Zugriff auf Ihren Host und müssen mit einem Linux/UNIX-Texteditor vertraut sein, um einige der Anweisungen in diesem Dokument auszuführen. Wenn Sie nicht über den entsprechenden Zugriff oder die entsprechenden Kenntnisse verfügen, wenden Sie sich an Ihren Systemadministrator. * Reflection for Secure IT Windows Client und Reflection X sollten nicht auf der gleichen Workstation installiert werden, da dies zu Problemen beim SSH-Tunneling führen kann. Reflection X enthält den gesamten Funktionsumfang von Reflection for Secure IT Windows Client. Informationen zu SSH-Verbindungen und Reflection X Wenn bei Verwendung einer SSH-Verbindung Probleme beim Empfangen von X-Clientanzeigen auftreten, sollten Sie drei mögliche Faktoren prüfen: * Ist X11Forwarding auf Ihrem Host aktiviert? * Wird die Anzeigevariable vom SSH-Server festgelegt? * Wird die.xauthority-datei gelesen und das xauth-programm ausgeführt? Bei Verwendung von SSH mit Reflection X muss das X11-Protokoll durch einen SSH-Tunnel gesendet werden. Dieser zusätzliche Prozess führt in Reflection X häufig dazu, dass Fehler beim Empfangen von X-Clientanzeigen auftreten. Zudem sollte die Anzeigevariable vom SSH-Server festgelegt werden, wenn das X11-Protokoll durch einen SSH-Tunnel gesendet wird. X11Forwarding muss auf dem SSH-Server sowie auf dem SSH-Client für den SSH-Server aktiviert sein, damit die Anzeigevariable festgelegt werden kann. Wenn Sie bei Verwendung von SSH mit Reflection X keine X-Clientanzeige empfangen können, können Sie das Problem anhand der Anweisungen in diesem technischen Hinweis beheben.

2 Testen einer SSH-Verbindung im Reflection-Arbeitsbereich oder in Reflection for UNIX and OpenVMS Verwenden Sie den Reflection-Arbeitsbereich oder Reflection for UNIX and OpenVMS, um festzustellen, ob der SSH-Server ausgeführt wird und ordnungsgemäß konfiguriert ist. Je nach Ihrer Reflection-Version müssen Sie unterschiedliche Schritte ausführen. Reflection-Arbeitsbereich: 1. Klicken Sie auf Start > Programme > Attachmate Reflection > Reflection- Arbeitsbereich > VT-Terminal > Erstellen. 2. Wählen Sie unter Verbindung die Option Secure Shell aus, und geben Sie den Hostnamen oder die IP-Adresse ein. 3. Klicken Sie auf Zusätzliche Einstellungen konfigurieren und dann auf OK. 4. Wählen Sie im Bereich Einstellungen für VT-Sitzungen unter Hostverbindung die Option Verbindungssicherheit einrichten aus. 5. Klicken Sie auf die Registerkarte Tunneleinstellungen, und aktivieren Sie X11- Verbindung über Tunnel herstellen. 6. Klicken Sie auf OK, um die Einstellungen zu speichern. 7. Klicken Sie auf OK, um eine Verbindung mit dem Host herzustellen. Wenn Sie keine Verbindung mit dem Host herstellen können, wenden Sie sich an den Hostadministrator oder Ihr Helpdesk. 8. Melden Sie sich beim Host an, und geben Sie den Befehl echo $DISPLAY ein. Als Nächstes vergleichen Sie die Ausgabe dieses Befehls mit mehreren aufgeführten Beispielen, um Ihre Vorgehensweise zur Problembehebung festzulegen. Hinweis: Bleiben Sie angemeldet, während Sie diesen technischen Hinweis durcharbeiten. Die Sitzung wird möglicherweise erneut verwendet. Fahren Sie mit dem Abschnitt "Überprüfen der Anzeigeausgabe" weiter unten fort. Reflection for UNIX and OpenVMS: 1. Klicken Sie auf Start > Programme > Attachmate Reflection > Host - UNIX und OpenVMS. 2. Klicken Sie auf Verbindung > Verbindung einrichten. 3. Wählen Sie die Option Netzwerk und dann SECURE SHELL aus. 4. Geben Sie den Host- und den Benutzernamen ein, und klicken Sie auf Sicherheit. 5. Klicken Sie auf die Registerkarte Tunneleinstellungen, und aktivieren Sie X11- Verbindung über Tunnel herstellen. 6. Klicken Sie auf OK und dann auf Verbinden. Wenn Sie keine Verbindung mit dem Host herstellen können, wenden Sie sich an den Hostadministrator oder Ihr Helpdesk. 7. Melden Sie sich beim Host an, und geben Sie den Befehl echo $DISPLAY ein. Als Nächstes vergleichen Sie die Ausgabe dieses Befehls mit mehreren aufgeführten Beispielen, um Ihre Vorgehensweise zur Problembehebung festzulegen.

3 Hinweis: Bleiben Sie angemeldet, während Sie diesen technischen Hinweis durcharbeiten. Die Sitzung wird möglicherweise erneut verwendet. Fahren Sie mit dem folgenden Abschnitt "Überprüfen der Anzeigeausgabe" fort. Überprüfen der Anzeigeausgabe Vergleichen Sie die Anzeigeausgabe aus Schritt 7 mit den Informationen unten. Fahren Sie dann mit dem entsprechenden Abschnitt zur Problembehebung fort. * Ausgabe: <keine> Wenn keine Daten zurückgegeben werden, ist X11Forwarding möglicherweise nicht aktiviert. Siehe folgenden Abschnitt, "Aktivieren von X11Forwarding". * Ausgabe: PC_IP:0.0 Wenn die Anzeige auf eine IP-Adresse oder einen Computernamen gesetzt ist, die von der IP-Adresse bzw. dem Namen des SSH-Servers abweichen, ist X11Forwarding auf dem SSH-Server möglicherweise nicht aktiviert und die Anzeige wurde auf andere Weise festgelegt, z. B. über eine Befehlszeileneingabe oder ein Anmeldeskript. Siehe Abschnitt "Beheben von Problemen mit der Anzeigevariable". * Ausgabe: hostname:0.0 Wenn die Anzeige auf den Hostnamen oder auf localhost und die Anzeigenummer auf 0 anstatt auf 10 oder höher gesetzt ist, ist X11Forwarding auf dem SSH-Server wahrscheinlich aktiviert, die Anzeigevariable ist jedoch aufgrund eines Befehlszeileneintrags oder Anmeldeskripts fehlerhaft. Siehe Abschnitt "Beheben von Problemen mit der Anzeigevariable". * Ausgabe: hostname:10.0, oder localhost:11.0 Wenn die Anzeige auf den Hostnamen oder auf localhost gesetzt ist und eine Anzeigenummer ab 10 umfasst, ist vermutlich X11Forwarding aktiviert und die Anzeigevariable richtig festgelegt. Siehe Abschnitt "Beheben von Problemen mit.xauthority und xauth". Aktivieren von X11Forwarding Um X11Forwarding auf Ihrem Host zu aktivieren, müssen Sie die SSH-Serverkonfigurationsdatei suchen und bearbeiten sowie dann den SSH-Serverdaemon beenden und neu starten. Suchen der Konfigurationsdatei X11Forwarding wird in der SSH-Serverkonfigurationsdatei konfiguriert. Die Konfigurationsdatei trägt normalerweise den Namen "sshd_config" oder "sshd2_config" und befindet sich unter "/etc/ssh" oder "/etc/ssh2". Wenn sich die Datei in keinem dieser Verzeichnisse befindet, suchen Sie sie mit dem Befehl find: find / -name sshd_config Anzeigen und Bearbeiten der Konfigurationsdatei Nachdem Sie die SSH-Serverkonfigurationsdatei gefunden haben, können Sie sie mit dem Befehl more anzeigen und überprüfen, ob X11Forwarding aktiviert ist. Geben Sie zum Anzeigen der Datei an der Eingabeaufforderung den folgenden Befehl ein: more sshd_config

4 Blättern Sie mit der Eingabetaste durch die Datei, bis Sie das Schlüsselwort für X11Forwarding gefunden haben. (Das Schlüsselwort kann je nach Produkt variieren, z. B. "AllowX11Forwarding" oder "X11Forwarding"). Wenn dieser Parameter auf "no" gesetzt ist, führen Sie zum Aktivieren der Funktion die folgenden Schritte aus. 1. Melden Sie sich auf Ihrem Host als Root an. 2. Öffnen Sie die SSH-Serverkonfigurationsdatei in einem Texteditor, z. B. in vi. 3. Suchen Sie den Schlüsselworteintrag für X11Forwarding, z. B. X11Forwarding no. 4. Bearbeiten Sie den Schlüsselworteintrag für X11Forwarding, indem Sie no durch yes ersetzen. Hinweis: Wenn die Zeile auskommentiert ist (vorangestelltes #-Zeichen), entfernen Sie das #-Zeichen. 5. Speichern Sie die Datei, und schließen Sie den Texteditor. Beenden und Neustarten des SSH-Daemon Beenden Sie nach dem Ändern der Konfigurationsdatei den SSH-Daemon, und starten Sie ihn neu. Beachten Sie folgende Hinweise: * Durch Beenden und Neustarten des SSH-Daemons werden aktive Secure Shell- Sitzungen nicht beendet. * Möglicherweise müssen Sie als Root angemeldet sein, um den Daemon zu beenden und neu zu starten. * Wenn Sie SSH2 verwenden, ändern Sie die Befehle von "sshd" in "sshd2". Führen Sie die folgenden Schritte aus, um den Daemon zu beenden und neu zu starten. 1. Geben Sie an der Eingabeaufforderung den Befehl ps -eaf grep sshd ein, um die Prozess-ID (PID) des SSH-Daemon zu bestimmen. Notieren Sie sich die PID. 2. Geben Sie kill -HUP <PID-Nummer> ein, um den SSH-Daemon zu beenden und neu zu starten. Hinweis: Geben Sie für <PID-Nummer> die in Schritt 1 notierte Prozess-ID ein. 3. Geben Sie ps -eaf grep sshd ein, um zu überprüfen, ob der Daemon neu gestartet wurde. Die PID des SSH-Daemons sollte nun eine andere als in Schritt 1 sein, und X11Forwarding sollte aktiviert sein. 4. Melden Sie sich ab.

5 Beheben von Problemen mit der Anzeigevariable Bei Verwendung von SSH mit X11Forwarding erfolgt die Festlegung der Anzeigevariablen durch den SSH-Server. Viele X-Benutzer setzen die Anzeigevariable beispielsweise auf "PC_IP:0.0" (im Allgemeinen mit dem Schalter "-display", manuell über eine Eingabeaufforderung auf dem Host oder über ein Anmeldeskript), dies sollte bei Verwendung von SSH jedoch nicht erfolgen. Hinweis: Es ist entscheidend, dass die Anzeigevariable nicht auf andere Weise festgelegt wird. Denn dies kann dazu führen, dass die vom SSH-Server zugewiesene Anzeigevariable beschädigt oder sogar durch eine andere Variable ersetzt wird, die zulässt, dass die X-Clientanzeigen nicht sicher, d. h. außerhalb des SSH-Tunnels, gesendet werden. Wenn als Anzeigeausgabe (vgl. Abschnitt "Testen einer SSH-Verbindung in Reflection for UNIX and OpenVMS") beispielsweise PC_IP:0.0 oder hostname:0.0 festgelegt ist, wurde die Anzeigevariable zumindest teilweise auf andere Weise als vom SSH-Server zugewiesen. Entfernen Sie alle Befehle, über die die Anzeigevariable geändert wird, und testen Sie die Verbindung erneut. Wenn Sie diesen Schritt ausführen und keine Anzeigeausgabe mehr vorhanden ist, finden Sie entsprechende Anweisungen im Abschnitt "Aktivieren von X11Forwarding". Reflection X-Standardvorlagen Die Standardvorlagen in Reflection X für UNIX-Hosts enthalten den Parameter "-display". Wenn Secure Shell als Verbindungsmethode ausgewählt ist, wird dieser Parameter ignoriert und nicht an den Host gesendet. Wenn der Befehl die Anzeigevariable auf andere Weise festlegt, wird er nicht ignoriert. In diesem Fall sollte er entfernt werden. Wenn beispielsweise der folgende Befehl mit der Secure Shell-Methode verwendet wird: (/usr/openwin/bin/xterm -fn 6x13 -sb -ls -display %IP#% -name %T% &) wird der an den Host übergebene Befehl wie folgt geändert: (/usr/openwin/bin/xterm -fn 6x13 -sb -ls -name %T% &) Wenn dagegen der folgende Befehl verwendet wird: DISPLAY=%IP#%;export DISPLAY;(/usr/openwin/bin/xterm -name %T% &) wird der gesamte Befehl an den Host übergeben. Ändern Sie diesen Befehl bei Verwendung von Secure Shell beispielsweise in den folgenden Befehl: (/usr/openwin/bin/xterm -fn 6x13 -sb -ls -name %T% &) Wenn nach dem Ausführen dieses Befehls keine Anzeigeausgabe vorhanden ist, finden Sie entsprechende Anweisungen im Abschnitt "Aktivieren von X11Forwarding". Hinweis: Bei den Reflection X-Versionen 13.x bis 14.x können Sie Remoteverbindungen unterbinden. Klicken Sie dazu auf Einstellungen > Netzwerk, aktivieren Sie das Kontrollkästchen Entfernte TCP/IP-Verbindungen deaktivieren, und klicken Sie auf OK. Durch Aktivieren des Kontrollkästchens werden alle Verbindungsmethoden außer Secure Shell deaktiviert und somit die höchste Sicherheitsstufe gewährleistet. Beheben von Problemen mit.xauthority und xauth Wenn als Anzeigeausgabe (vgl. Abschnitt "Testen einer SSH-Verbindung in Reflection for UNIX and OpenVMS") beispielsweise hostname:10.0 oder localhost:11.0 festgelegt ist, Sie jedoch weiterhin keinen X-Client anzeigen können, wird das Problem möglicherweise durch die.xauthority-datei oder das xauth-programm verursacht.

6 Probleme mit der.xauthority-datei Das xauth-programm, das auf dem UNIX-Host ausgeführt und vom SSH-Server bei jedem Verbindungsaufbau aufgerufen wird, wenn X11Forwarding aktiviert ist, kann die.xauthority-datei des Benutzers nicht erstellen, bearbeiten oder öffnen. Führen Sie die folgenden Schritte aus, um dies zu testen. 1. Stellen Sie sicher, dass Reflection X ausgeführt wird und für die Anzeige der Wert 0 (Standardwert) konfiguriert ist. Wenn für die Anzeige ein anderer Wert als 0 verwendet wird und Sie den Wert nicht in 0 ändern können, wenden Sie sich an den technischen Kundendienst von Attachmate. Klicken Sie in Reflection X x auf Einstellungen > Anzeige. Starten Sie in Reflection X Advantage eine Sitzung, und überprüfen Sie im Bereich Sitzungskonfiguration unter Clientconnectors den angezeigten Wert (siehe Abbildung unten). 2. Geben Sie in der bestehenden Hostverbindung mit Reflection for UNIX and OpenVMS den Befehl zum Starten von xterm auf Ihrem Host ein, z. B. den folgenden Befehl unter Solaris: /usr/openwin/bin/xterm & Wenn beim Zugreifen des xauth-programms auf die.xauthority-datei des Benutzers ein Problem auftritt, wird wahrscheinlich eine Meldung ähnlich der folgenden Meldungen angezeigt: X connection to hostname:10.0 broken (explicit kill or server shutdown). Oder: xauth: timeout in locking authority file /home/<kontoname> Das Problem kann folgende Ursachen haben: * Unzureichende Berechtigungen, entweder für die.xauthority-datei oder das Standardverzeichnis. * Falsche Besitzrechte für die.xauthority-datei oder das Standardverzeichnis. * Für das Konto ist kein Standardverzeichnis eingerichtet.

7 * Die.Xauthority-Datei wurde beschädigt. * Der Befehl "su" wurde verwendet. In diesem Fall hat das neue Konto möglicherweise keinen Zugriff auf die erforderliche.xauthority-datei im Standardverzeichnis des ursprünglichen Kontos. * Die Datei ist durch einen anderen Prozess auf dem UNIX-Server gesperrt. Beheben Sie diese Probleme zusammen mit dem Systemadministrator, und starten Sie die X- Anwendung dann erneut. xauth-programm wird nicht ausgeführt Das xauth-programm kann nicht gefunden oder ausgeführt werden, wenn es vom SSH-Server aufgerufen wird. Wenn es nicht gefunden wird, kann der Pfad häufig mit einem Konfigurationsschlüsselwort für den SSH-Server festgelegt werden. Dieses Problem betrifft alle Benutzer, die eine Verbindung mit dem entsprechenden UNIX-Host aufbauen möchten. Wenn kein Benutzer bei Verbindungen über SSH X-Clients über den betreffenden UNIX-Host starten kann, die Benutzer jedoch eine Verbindung herstellen und die scheinbar richtige Anzeigevariable anzeigen können, wenden Sie sich an den UNIX-Hostadministrator. Wenn das Problem auch weiterhin besteht, nachdem Sie diesen technischen Hinweis durchgearbeitet haben, wenden Sie sich an den Hostadministrator. Probleme mit Bibliotheken Bei X-Anwendungen, die mit älteren X-Bibliotheken (z. B. X11R5) verknüpft werden, treten aufgrund der Art, auf die der SSH-Server die X11-Weiterleitung an die lokale Netzwerkkarte bindet, unter Umständen Fehler auf. Wenn dieses Problem auftritt, wird eine Meldung ähnlich der folgenden angezeigt: X connection to hostname:10.0 broken (explicit kill or server shutdown). Oder eine Gruppe von Fehlermeldungen, wie etwa die folgende Gruppe, wird in der Debugprotokollierung angezeigt: X11 connection uses different authentication protocol. X11 connection rejected because of wrong authentication. X11 rejected 1 i0/o0 Sie haben zwei Möglichkeiten, um dieses Problem zu beheben: * Verwenden Sie X-Clients, die mit X11R6-Bibliotheken verknüpft werden. -oder- * Suchen Sie das Schlüsselwort X11UseLocalHost in der SSH- Serverkonfigurationsdatei. Wenn das Schlüsselwort vorhanden ist, ändern Sie den Wert von yes in no, und starten Sie den SSH-Server neu. Beispiel Um die Bibliotheken zu ermitteln, die mit einer bestimmten X-Anwendung verknüpft sind, können Sie beispielsweise den Befehl chatr verwenden. Das folgende Beispiel basiert auf HPUX hpterm kann nicht getunnelt werden. Daher wird die Fehlermeldung zum ausdrücklichen Abbruch angezeigt. Führen Sie den Befehl chatr aus, um verknüpfte Bibliotheken anzuzeigen: chatr /usr/bin/x11/hpterm

8 Im Folgenden ist ein Auszug aus der Ausgabe mit einem Verweis auf X11R5-Bibliotheken dargestellt: /view/x_r6hppa_1123/vobs/swdev/pvt/r5hppa_hpterm_1123/x11r5/lib/libxhp11.1 Auf dem gleichen Hewlett Packard-Host wird xterm korrekt angezeigt. Führen Sie den Befehl chatr aus, um die verknüpften Bibliotheken anzuzeigen: chatr /usr/bin/x11/xterm Im Folgenden ist ein Auszug aus der Ausgabe mit einem Verweis auf X11R6-Bibliotheken dargestellt: /view/x_r6hppa_1123/vobs/swdev/pvt/r6hppa_1123/x11r6/lib/libxt.3 Wenn das Problem auch weiterhin besteht, nachdem Sie diesen technischen Hinweis durchgearbeitet haben, wenden Sie sich an den Hostadministrator.