Como configurar o ssh para tentar não apenas a porta 22, mas a porta secundária todas as vezes?

Como parte do meu esforço para reduzir o ruído nos logs e reduzir um pouco a capacidade de descoberta (e além do fail2ban, permitindo apenas a autenticação de chave pública etc.), eu mudo rotineiramente as portas sshd nos servidores que configurei para uma porta diferente, digamos 5492. Anexo -p 5492 ao meu comando ssh ou adiciono a porta de cada servidor específico ao meu ssh_config.

Existe uma maneira de configurar o ssh para tentar conectar-se às portas 22 e 5492 se a porta 22 não funcionar?

Você pode envolver um script de shell, sshmas sshele não o fará.

Uma maneira de usar uma função bash é esta (colocar em ~/.bashrc):

function ssh() { command ssh -p 22 "$@" || command ssh -p 5492 "$@"; }

A propósito, é recomendável usar rootportas reservadas para serviços do sistema ssh, a fim de evitar que os usuários tenham um processo que escute, digamos, a porta 5492. Caso contrário, eles podem brincar de homem no meio e possivelmente capturar dados de login. Portanto, use uma porta <1024.

sshele próprio pode fazer isso via Matchdocumentado, ssh_config(5)embora a documentação seja um pouco esparsa em exemplos. Esse formulário pode ser adequado se alguém quiser empurrar a complexidade para a configuração do SSH, embora seja restrito pelas limitações da ssh_config(5)sintaxe e possa exigir algumas brincadeiras com o resultado desejado. Notavelmente, a porta personalizada não pode ser configurada ou pode ser configurada incorretamente da Matchtentativa anterior . É por isso que, abaixo, ele é definido duas vezes quando testado, ou uma vez para o padrão, e não é definido ao estabelecer os padrões canônicos.

# here we set the defaults for the host (no port!)
Match !canonical host testhost
  CanonicalizeHostname yes
  Hostname 192.0.2.42
  IdentityFile ~/.ssh/id_blahblah
  ...
# port available?
Match canonical host 192.0.2.42 exec "is-ssh-up %h 2222"
  Port 2222
# or the default port
Match canonical host 192.0.2.42
  Port 22

is-ssh-up apenas verifica se algo responde na porta especificada e pode parecer

#!/usr/bin/env expect
package require Tcl 8.5
if {[llength $argv] < 2} {
   puts stderr "Usage: is-ssh-up host port"
   exit 1
}
puts stderr "is-ssh-up: DEBUG trying $argv"
set socket [socket -async [lindex $argv 0] [lindex $argv 1]]
chan event $socket readable [list exit 0]
after 3000 [list exit 1]
vwait godot

Você pode usar a função curinga de ~.ssh/config, colocando esta entrada na sua lista:

Host *
Port 5492

Mas isso não volta a 22 por si só.

Se você colocar no final, ainda poderá substituí-lo pelos hosts em que precisar 22, colocando um valor diferente acima dele. (E você sempre pode substituí-lo na linha de comando.)