Raspberry Pi 5 über shh nicht ansprechbar

[Erik]

Hallo liebe Community,
ich bin ganz neu hier und habe eine Frage: ich hab bereits mehrere Raspis aufgesetzt, mit Windows und Linux-Rechnern.
Jetzt hab ich einen Raspi 5-er und - wie auch immer ich den konfiguriere, ich kann per ssh nicht zugreifen: es kommt die Meldung "permission denied".
Hab es mit verschiedenen SDs und OS probiert, von Windows und Linux aus - geht nicht, immer dieselbe Fehlermeldung.
Woran könnte das liegen? Meinen Raspi 4 mit pihole kann ich ohne Probleme erreichen..

Bin für jede Hilfe dankbar!

Liebe Grüße
Erik

[DMW007]

Willkommen bei uns!
Am wichtigsten ist: Welche Authentifizierungsmethode hast du beim Übertragen des Abbildes ausgewählt? Wenn du den Raspberry Pi Imager verwendest, hast du unter "Allgemeines" die Möglichkeit, einen Nutzer mit Passwort anzulegen:



Zusätzlich kann unter "Dienste" beim aktivieren des SSH-Servers ein SSH-Schlüssel angegeben werden:



In diesem Falle scheint das RPIOS ausschließlich den Schlüssel per SSH zu akzeptieren. Ein parallel angemeldetes Passwort kann nur noch direkt am Gerät verwendet werden, um sich an der Konsole oder (falls installiert) der Desktop-Umgebung anzumelden:

u-labs@pi5:~ $ grep -iE ^password /etc/ssh/sshd_config
PasswordAuthentication no

Wie ist der Client, von dem du die Verbindung aufbaust, konfiguriert? Und wie heißt die Fehlermeldung im exakten Wortlaut? Wenn du mehrere Geräte verwendest und das RPIOS per Imager zur Authentifizierung mit SSH-Schlüsseln konfiguriert ist, kann es sein, dass dein privater Schlüssel, der zu dem Schlüsselpaar gehört, nur auf einem der Geräte liegt. Verbindest du dich nun von einem anderen, findet er keinen oder zumindest keinen autorisierten Schlüssel und verweigert die Anmeldung.

Hilfreich kann bei so was der -v Schalter von SSH sein. Die Ausgabe wird dadurch um Debug-Meldungen erweitert. Folgender Auszug zeigt beispielsweise, dass der Ziel-PI nur Public-Key Authentifizierung (also SSH Schlüssel) akzeptiert. Der Client, der die Verbindung aufbaut, ist blank, d.H. der hat nicht mal ein Schlüsselpaar. SSH versucht also die gängigsten Standard-Bezeichner für Schlüsseldateien im Heimverzeichnis, findet nichts. Und am Ende bekommt man auch die "Permission denied" fehler, weil er keinen Schlüssel gefunden hat, der Server (in dem Fall anderer RPI) aber keine Alternative akzeptiert. Ansonsten würde er an der Stelle nicht abbrechen, sondern auf Passwort-Authentifizierung zurück fallen und nach dem Passwort fragen.

$ ssh -v pi5m2
OpenSSH_9.2p1 Debian-2+deb12u2, OpenSSL 3.0.11 19 Sep 2023
[...]
debug1: Authentications that can continue: publickey
debug1: Next authentication method: publickey
debug1: Trying private key: /home/u-labs/.ssh/id_rsa
debug1: Trying private key: /home/u-labs/.ssh/id_ecdsa
debug1: Trying private key: /home/u-labs/.ssh/id_ecdsa_sk
debug1: Trying private key: /home/u-labs/.ssh/id_ed25519
debug1: Trying private key: /home/u-labs/.ssh/id_ed25519_sk
debug1: Trying private key: /home/u-labs/.ssh/id_xmss
debug1: Trying private key: /home/u-labs/.ssh/id_dsa
debug1: No more authentication methods to try.
u-labs@pi5m2: Permission denied (publickey).

[Erik]

Hallo und herzlichen Dank für die ausführliche Antwort!
Ich hab es so gemacht wie bei meinen anderen Raspis auch: im pi-imager Benutzer und Passwort angelegt, WIFI nicht aktiviert, ssh mit Passwort aktiviert.
Mit den Schlüsseln kenne ich mich nicht aus. Kann es daran liegen, dass der Raspi5 nur mehr Schlüssel akzeptiert? Wo kann ich mich beim Schlüssel-Thema am besten informieren - als Einsteiger??
Jedenfalls vielen Dank nochmal für die Hilfe!

LG
Erik

[DMW007]

Das Raspberry Pi OS akzeptiert derzeit beides. Je nachdem, was im Imager aktiviert ist. Hast du dort im Reiter Dienste den Haken bei SSH aktivieren gesetzt & darunter Passwort zur Authentifizierung verwenden ausgewählt? Sofern du keine SSH-Schlüssel bewusst nutzt, ist das zur Fehlersuche erst mal nicht hilfreich oder relevant.

Ich würde wie gesagt am Client ssh mit dem -v Parameter aufrufen, damit er dir ausführlich ausgibt, was genau probiert wird. Poste am besten mal deinen gesamten Verbindungsversuch. Je nachdem, welcher Client verwendet wird & was da eingestellt wurde, ist der evtl (unbewusst von anderer Software oder anderen Nutzern) so konfiguriert, einen SSH Schlüssel zu verwenden. Das geht umgekehrt ebenfalls schief, wenn nur Passwort-Authentifizierung aktiviert wurde.

[Erik]

Hallo und nochmals Danke!
Ja, ich hab den Haken bei SSH gesetzt und ein Passwort vergeben - geht nicht.
Wenn ich Monitor/Tastatur/Maus direkt am Raspi5 anhänge, kann ich problemlos zugreifen. Daraus schließe ich, dass das Image auf der Mikro-SD in Ordnung ist. Kann es sein, dass mein pihole-Raspi die SSH-Verbindung blockiert?
Die IP des Pi ist 192.168.178.27 - in der Fritzbox als statische IP gesetzt.
Verbindungsversuch mit SSH soeben ergibt:

ssh pi@raspi5
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ED25519 key sent by the remote host is
SHA256:Uhm8EZliXeXKOUNMq8QuBM2O90UOXirQleiYT3AXLuM.
Please contact your system administrator.
Add correct host key in /home/erik/.ssh/known_hosts to get rid of this message.
Offending ED25519 key in /home/erik/.ssh/known_hosts:6
  remove with:
  ssh-keygen -f "/home/erik/.ssh/known_hosts" -R "raspi5"
Host key for raspi5 has changed and you have requested strict checking.
Host key verification failed.
erik@erik-B660-GAMING-X-DDR4:~$

Jetzt steh ich komplett am Schlauch.....

Vielen Dank für Deine Zeit!!
LG Erik

[DMW007]

Dort steht doch eine Fehlermeldung, warum der die Verbindung abbricht, inklusive Lösungsvorschlägen. Jeder SSH-Server hat eine Art Fingerabdruck, den sich der SSH-Client beim ersten Verbinden merkt. Die werden im Home-Verzeichnis unter .ssh/known_hosts gespeichert. Wenn der Fingerabdruck vom Server bei späteren Verbindungen von dem lokal gespeicherten abweicht, ist das ein Indiz dafür, dass auf dem Weg ein Manipulationsversuch aufgetreten sein könnte. Beispielsweise, jemand der sich in die Kommunikation einklinkt, um Passwörter zu stehlen usw.

Das hat mit dem Passwort nichts zu tun, sondern ist eine Sicherheitsmaßnahme. Es gibt aber auch legitime Gründe, warum sich der Schlüssel ändert. Beispielsweise eine Neuinstallation. Dadurch hat der SSH-Server auf dem frisch installierten Raspberry Pi OS einen neuen Schlüssel, während sich der Client den der vorherigen Installation gemerkt hat. Wahrscheinlich ist das bei dir passiert, wenn der Hostname (dem wird der Fingerabdruck zugewiesen, bei dir "raspi5") schon mal in Benutzung war.

In dem Fall kannst du den alten Schlüssel für den Hostname am Client löschen, der Befehl dafür steht am Ende der Fehlermeldung:

ssh-keygen -f "/home/erik/.ssh/known_hosts" -R "raspi5"

Sollte man allerdings nur machen, wenn die Ursache nachvollziehbar ist (z.B. Neuinstallation). Andernfalls kann das ein Hinweis auf Fehlkonfigurationen (z.B. fehlerhaftes DNS) oder eben im schlimmsten Falle eine Kompromittierung sein.

[Erik]

Hallo,
also jetzt hab ich grad den Pi-Imager neu aufgesetzt, das OS für Raspi5 rausgesucht - das empfohlene für 64 bit - ssh und Passwort eingetragen und versucht zu starten. Ergebnis im Terminal:

ssh pi@raspi5
hostkeys_find_by_key_hostfile: hostkeys_foreach failed for /home/erik/.ssh/known_hosts: Permission denied
The authenticity of host 'raspi5 (2002:506c:b15:0:608:cc6a:f2b6:77ab)' can't be established.
ED25519 key fingerprint is SHA256:U+TNLgcZNKg5afo3anLxtAyYK1jDkpNZe8WjI9b2IhA .
This key is not known by any other names
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Failed to add the host to the list of known hosts (/home/erik/.ssh/known_hosts).
pi@raspi5's password:
Permission denied, please try again.
pi@raspi5's password:

Was ich nicht verstehe: ich kann /home/erik/.ssh/known_hosts nicht finden???
Ich hab erst vor wenigen Tagen das upgrade auf Linux Mint Virgina gemacht - hat sich da vielleicht was geändert oder bin ich halt wirklich ein dummy...

[Erik]

Hallo,
Pi 5 hängt jetzt direkt am Monitor, alles bestens
Hab mit ssh keygen Zeugs rumgespielt, die web-Seiten für ssh durchwühlt - komme auf keinen grünen Zweig, finde die known_hosts Datei nicht, kann also
keine alten Einträge rauslöschen.
Ich gebe auf, bevor ich irgendwelches Computer-Zeugs demoliere....
Nochmals vielen Dank für Deine Zeit und Hilfe!
Liebe Grüße Erik

[DMW007]

known_hosts Datei Fehler
Das Problem ist nicht, dass er die Datei nicht findet. "Permission denied" heißt, er darf nicht darauf zugreifen. Hast du den ssh-keygen Befehl als Root (z.B. mit sudo) ausgeführt? Wenn ja, hat root die Datei geschrieben und dein normaler Nutzer bekommt deswegen keine Rechte mehr drauf. In dem Fall erreichst du die mit deinem normalen Konto nicht mehr. Bei Dateien im .ssh Ordner werden die Rechte strikt vergeben & abgefragt. Poste mal bitte die Ausgabe von

sudo ls -lh /home/erik/.ssh/known_hosts

Ich würde das unabhängig von dem RPI5 fixen, weil das einen Schutzmechanismus von SSH aushebelt, wenn dort die falschen Rechte gesetzt sind. Anscheinend hast du dort ein bisschen was verbogen. Aber halb so wild, wenn da nur die Rechte auf die Datei falsch sind, kann man die unter GNU/Linux mit einem Befehl auch wieder korrigieren So lernt man, wo gehobelt wird, fallen Späne.

Permission denied Anmeldefehler
Für die Fehlermeldung zum Passwort dürfte das keine Rolle spielen. Der wird dich halt bei jedem Verbindungsaufbau fragen, ob du dem Schlüssel vertraust, weil er ihn nicht speichern kann. Ungünstig, mit dem richtigen PW müsste er sich jedoch trotzdem verbinden. Dein aktuelles Problem beim Verbinden auf den RPI5 ist also, dass die Benutzer-PW Kombination nicht passt. Zuerst würde ich den Benutzername prüfen: Hast du den beim Imager wirklich "pi" benannt? Siehe dazu den ersten Screenshot in diesem Beitrag. Bedenke, dass das Raspberry Pi OS seit einer Weile keinen Standardnutzer namens "pi" mehr anlegt. Das war früher Jahrelang so. Du musst beim Verbinden den Benutzername angeben, den du im Imager angelegt hast. Falls der nicht existiert, wirst du auch die Fehlermeldung bekommen.

Ansonsten: Passt dein Tastaturlayout? Schreibe dein PW an dem verwendeten PC mal auf, ob das mit dem beim Imager eingegebenen identisch ist Bedenke auch, dass der SSH-Client das eingegebene PW aus Sicherheitsgründen überhaupt nicht anzeigt. Auch nicht mit Sternen * oder anderen Zeichen markiert, d.H. du siehst gar nichts. Er nimmt aber trotzdem alles an, was du eingibst. Und zwar wirklich alles. Auch andere Tasten. Achte also darauf, dass du nur das PW eingibst, ohne andere Tasten zu drücken. Wenn es ein Komplexeres ist, vllt noch mal neu das RPIOS auf die Karte spielen und zum testen ein einfacheres nehmen. Wenn alles funktioniert, kannst du es später ändern.

SSH-Schlüssel
Mit ssh-keygen wird ein Schlüsselpaar erstellt. Der Öffentliche kommt auf das Zielsystem, der privat verlässt das Quellsystem nicht. Dann darf der sich darüber verbinden - der private Schlüssel ersetzt im Wesentlichen das Passwort zur Verbindung. Ist besser als PW Authentifizierung, nutze ich auf allen GNU/Linux-Systemen mit SSH-Zugang. Nachdem du noch recht am Anfang zu sein scheinst, würde ich erst mal bei der Passwort-Anmeldung bleiben. Wenn die funktioniert und du sie beherrscht, kannst du später zu SSH Schlüsseln wechseln. Sonst ist die Lernkurve zu Steil. Ich habe das bei mir auf der Themenliste stehen.

[Erik]

Hallo und danke erneut ;-)
also die Ausgabe von sudo ls -lh /home/erik/.ssh/known_hosts ergibt folgendes:

-rw------- 1 root root 54 Feb 10 11:44 /home/erik/.ssh/known_hosts

Am pi hab ich den Hostnamen RP5 eingegeben, also nicht einfach pi.
Dann habe ich Benutzername und Passwort angegeben, und bei Dienste ssh Passwort aktiviert. Ergebnis dann, wie gesagt, kein Zugang.
Das Problem ist nun, dass ich es mit ssh via public-key versuchen möchte, aber ich weiß nicht, was ich da jetzt konkret wo eingeben muss,
damit das klappt...

Danke und liebe Grüße! Erik