Script EXPECT para acesso SSH automático

Para acessar determinadas máquinas Linux, Administratores em geral usam o protocolo SSH. Isso fornece controle total da máquina remotamente, via linha de comando.

Este POST aborda uma maneira automática para que o Administrador não precise interagir com o SSH para digitar a senha da máquina linux remota que está querendo acessar. Logicamente, a senha precisa ser informada de alguma otura forma (neste caso via parâmetro/argumento), pois quem vai interagir com o SSH ao invés do ser humano é o EXPECT.Segue código:

#!/usr/bin/expect -f
set timeout 500
if {$argc != 3} { puts “use: $argv0 usuario senha ip_do_linux”; exit 0; }
set usuario [lindex $argv 0]
set senha [lindex $argv 1]
set ip_do_linux [lindex $argv 2]
spawn -noecho ssh $usuario@$ip_do_linux
expect “assword:” { send “$senhar” }
interact;

O código acima pode ser colocado dentro de qualquer arquivo com permissão para execução. Neste exemplo foi usado o nome lnxremoto.exp.

Ao executar ./lnxremoto.exp sem parâmetros/argumentos, o script retorna a maneira correta de se utilizar, conforme abaixo:

root@localhost:/tmp/cialinux# ./lnxremoto.exp
use: ./lnxremoto.exp usuario senha ip_do_linux
root@localhost:/tmp/cialinux#

Ao executar o programa de forma correta, o resultado é um prompt de acesso à máquina, conforme abaixo:

root@localhost:/tmp/cialinux# ./lnxremoto.exp root ****senha**** 192.168.0.1
root@192.168.0.1’s password:
Last login: Fri Jun 26 10:39:57 2009 from 192.168.0.40
[root@gateway root]#

Observação: É importante que o Administrador já tenha acessado a máquina anteriormente, para que o arquivo ~/.ssh/known_hosts já esteja preenchido. Caso contrário, o SSH irá pedir confirmação para gerar a chave RSA para o IP em questão, e se isso acontecer, o EXPECT não estará esperando essa pergunta e não saberá como interagir.

Se for o caso, existem formas de implementar uma limpeza no arquivo ~/.ssh/known_hosts para que sempre seja necessário confirmar com “yes” antes de digitar a senha. Assim basta ensinar seu script EXPECT a interagir com “yes” sempre que for detectada a palavra ‘connecting’.

Outros controles que podem ser implementados junto com a interação da chave RSA são: Interação em caso de erro de conexão recusada; Interação em caso de tempo esgotado; Interação em csao de falta de rota para host;

Conforme códigos abaixo:

expect “connecting” { send “yesr” }
“refused” { send_user “ERRO: Conexão recusada por $ip_do_linuxn”; exit 0; }
“timed” { send_user “ERR: Conexão excedeu o tempo limite.n”; exit 0;}
“No route to host” { send_user “***ERRO: Sem rota para $ip_do_linuxn”; exit 0; }
expect “assword:” { send “$passwdr” }

Também existe uma forma de fazer o EXPECT já executar automaticamente um comando na máquina remota, conforme abaixo:

expect “#” {
send “hostnamer”;
}

Mesmo com toda essa automação, é importante usar apenas em casos especiais pois sabemos que não é uma boa prática utilizar senha passada como parâmetro. Mesmo colocando a senha em arquivo ou em variáveis no SCRIPT, fica vulnerável.

Sinte-se a vontade para deixar seus comentários para melhoria do código aqui exposto e também outras formas de se solucionar o mesmo problema. Dúvidas também serão respondidas com satisfação.

Por: Hudson Murilo dos Santos