<div dir="ltr"><div dir="ltr"><br></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Thu, Mar 21, 2019 at 6:16 PM Eitan Adler <<a href="mailto:lists@eitanadler.com">lists@eitanadler.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">On Thu, 21 Mar 2019 at 18:13, Eitan Adler <<a href="mailto:lists@eitanadler.com" target="_blank">lists@eitanadler.com</a>> wrote:<br>
><br>
> On Thu, 21 Mar 2019 at 15:31, Jesse Callaway <<a href="mailto:bonsaime@gmail.com" target="_blank">bonsaime@gmail.com</a>> wrote:<br>
> ><br>
> ><br>
> ><br>
> > On Thu, Mar 21, 2019 at 2:50 PM Jesse Callaway <<a href="mailto:bonsaime@gmail.com" target="_blank">bonsaime@gmail.com</a>> wrote:<br>
> >><br>
> >> On my mac running OpenSSH_7.8p1, LibreSSL 2.6.2 connecting outbound when the host key is found to mismatch a recorded entry in known_hosts it allows me to connect.. however disables some features, notably port forwarding and agent forwarding.<br>
> >><br>
> >> Removing the clashing line in ~/.ssh/known_hosts fixed this so that when I connect it allows the features.<br>
> >><br>
> >> Does anyone have experience with this? Related is StrictHostKeyChecking no is set. I would expect the behavior to be binary, either I can connect or not if it *suspects* mitm.<br>
> >><br>
> >> --<br>
> >> -jesse<br>
> ><br>
> ><br>
> > I'll just self-reply here. This is a bug. I could care less if it's always been like this. Does anyone have any suggestions on how to file the bug report?<br>
><br>
> This is not exactly a bug. If you want to always fail, set<br>
> StrictHostKeyChecking yes as a config values. There is no way I know<br>
> of to always ignore (and allow e.g., port forwarding).<br>
<br>
to answer your question directly  "<a href="mailto:openssh-unix-dev@mindrot.org" target="_blank">openssh-unix-dev@mindrot.org</a>"<br>
<<a href="mailto:openssh-unix-dev@mindrot.org" target="_blank">openssh-unix-dev@mindrot.org</a>> or <a href="https://bugzilla.mindrot.org/" rel="noreferrer" target="_blank">https://bugzilla.mindrot.org/</a><br>
<br>
<br>
-- <br>
Eitan Adler<br>
</blockquote></div><br clear="all"><div>Thanks for the suggestions. I have a hard time getting this right while also doing batch operations over ssh to a bunch of hosts. Aside from host keys in LDAP or secure DNS how do others ssh to hosts that rotate through IP addresses frequently?</div>-- <br><div dir="ltr" class="gmail_signature">-jesse</div></div>