Eine SSH-Sitzung öffnen

Vom Shell-Knopf zum Prompt

Die Ansicht Hôtes (Hosts, Symbol 🖥️ in der linken Leiste) ist beim Start aktiv. Ein SSH-Eintrag trägt dort zwei Knöpfe: ⌨️ Shell und 📁 SFTP. Beide öffnen dieselbe Verbindung – gleicher Host, gleicher Benutzer, gleiche Anmeldung, gleicher Bastion. Für Dateiübertragungen müssen Sie keinen zweiten Eintrag anlegen.

1. Suchen Sie in der Ansicht Hôtes die Karte des Servers. Die Zeile unter dem Namen zeigt benutzer@host:port, gefolgt von ⤴, wenn ein Sprung eingerichtet ist.
2. Klicken Sie ⌨️ Shell. Hawser wechselt in die Ansicht Sessions (Symbol 🗂️) und öffnet einen Tab in Zone 1.
3. Das Terminal schreibt in Grau Connecting to benutzer@host:port..., und der Statuspunkt in der Tab-Leiste zeigt Connecting….
4. Beim allerersten Kontakt mit diesem Server hält die Verbindung an, und das Fenster mit dem Fingerabdruck erscheint (nächster Abschnitt).
5. Der Statuspunkt wechselt auf grünes ● Connecté. Der Prompt des Servers erscheint.

Zweiter Weg: ⌘K, dann der mit HÔTE gekennzeichnete Eintrag (Untertitel benutzer@host), bestätigt mit Enter. Die Wirkung entspricht dem Hauptknopf der Karte.

Es gibt keine Duplikatserkennung: Zwei Klicks auf ⌨️ Shell öffnen zwei Tabs und zwei getrennte SSH-Sitzungen zum selben Server.

Sind im Reiter Advanced des Eintrags Start-Snippets angehakt, werden sie 500 ms nach dem Öffnen der Shell der Reihe nach eingespielt, jeweils mit einem Zeilenumbruch abgeschlossen. Bei jeder Wiederverbindung laufen sie erneut. Siehe Snippets und Inspektion.

Der Fingerabdruck beim ersten Kontakt

Hawser führt eine eigene Liste vertrauenswürdiger Fingerabdrücke, innerhalb des verschlüsselten Tresors. Die ~/.ssh/known_hosts Ihres Macs wird nie gelesen und nie beschrieben. Ein Server, den Ihr ssh auf der Kommandozeile längst kennt, gilt hier also als unbekannt.

Bei der ersten Verbindung zu einem Host – ob Sie ⌨️ Shell oder 📁 SFTP geklickt haben – wird der Handshake angehalten, und dieses Fenster erscheint:

Nouvelle empreinte d'hôte

C'est la première fois que tu te connectes à web01.example.com:22.
Vérifie l'empreinte auprès de l'admin avant de faire confiance.

SSH-ED25519
SHA256:kx9J2v…

[ Annuler ]  [ Cette fois seulement ]  [ Faire confiance ]

Der Fingerabdruck wird genau so berechnet wie von ssh-keygen -lf auf dem Server, was einen zeichenweisen Vergleich erlaubt. Auf dem Server:

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

Bleibt eine Antwort 120 Sekunden lang aus, schliesst sich das Fenster von selbst, und die Verbindung wird abgebrochen. Damit dafür Raum bleibt, sinkt das globale Verbindungszeitlimit nie unter 180 Sekunden (siehe weiter unten).

Wenn der Fingerabdruck wechselt

Legt ein bereits bekannter Host einen anderen Fingerabdruck vor als den gespeicherten, verweigert der Kern die Verbindung noch vor jeder Anmeldung und zeigt „⚠ L'empreinte d'hôte a CHANGÉ“. Ihr Passwort wurde nicht gesendet.

Das Fenster nennt die beiden möglichen Erklärungen: Der Administrator hat den Serverschlüssel neu erzeugt (legitim, aber selten), oder jemand gibt sich als dieser Server aus. Von Hawser aus können Sie das nicht entscheiden.

Sperre nach einer legitimen Änderung aufheben

Der Text des Fensters lautet: „supprime l'ancienne empreinte depuis Réglages → Hôtes de confiance et reconnecte-toi.“ (Löschen Sie den alten Fingerabdruck unter Einstellungen → Vertrauenswürdige Hosts und verbinden Sie sich neu.)

1. Besorgen Sie sich den neuen Fingerabdruck beim Administrator, über einen vom betroffenen Server unabhängigen Kanal (Telefon, physische Konsole, Konfigurationsmanagement).
2. Vergleichen Sie ihn mit dem rot angezeigten Wert unter „présenté“ (vorgelegt). Weichen sie voneinander ab, brechen Sie hier ab und melden Sie den Vorfall.
3. Stimmen sie überein: Öffnen Sie den Host-Eintrag (⋯ → ✏️ Edit) und ändern Sie das Feld Host oder Port so, dass derselbe Server anders bezeichnet wird – etwa über seine IP-Adresse statt über den Domainnamen. Das Paar host:port ist dem Tresor dann unbekannt.
4. Speichern, ⌨️ Shell erneut starten: Das Fenster „Nouvelle empreinte d'hôte“ erscheint wieder. Prüfen Sie den angezeigten Fingerabdruck ein letztes Mal und wählen Sie dann „Faire confiance“.

Der alte Eintrag bleibt im Tresor: Er blockiert weiterhin jede Verbindung unter dem alten Paar host:port. Wirklich entfernen lässt er sich nur, indem Sie mit einem neuen Tresor beginnen. Siehe Grenzen und Fehlersuche.

Über einen Bastion springen

Host-Eintrag → Reiter Advanced → Liste Jump Host (bastion), standardmässig auf — Direct connection —. Die Liste bietet nur die übrigen SSH- und SFTP-Hosts des Tresors an – der Bastion muss also als eigener Eintrag mit eigenen Zugangsdaten gespeichert sein.

Beim Verbinden öffnet Hawser zuerst eine Sitzung zum Bastion mit dessen eigenen Zugangsdaten, öffnet darin einen direct-tcpip-Kanal zum Ziel und führt dann den vollständigen SSH-Handshake durch diesen Kanal. Der Bastion sieht nur Ende-zu-Ende verschlüsselten Verkehr: Er entschlüsselt Ihre Sitzung nicht.

• Der Fingerabdruck des Bastions wird wie der des Ziels geprüft, mit demselben Vertrauensfenster. Beim ersten Sprung antworten Sie also zweimal.
• Die Verkettung ist rekursiv: Ein Bastion kann selbst einen Bastion haben, bis zu 4 Ebenen tief.
• Die Host-Karte und die Tab-Leiste zeigen ⤴, solange ein Sprung aktiv ist.

Zeitlimits und Wiederverbindung

Drei Felder im Reiter Advanced betreffen Zeitlimits. Nur eines wirkt.

Der Mindestwert von 180 s ist Absicht: Das Zeitlimit umfasst auch das Warten auf Ihre Entscheidung zum Host-Fingerabdruck, die bis zu 120 s dauern kann. Ein nicht erreichbarer Host scheitert trotzdem sofort, auf TCP-Ebene, ohne 180 Sekunden zu warten.

Automatische Wiederverbindung

Das Kästchen Reconnexion automatique avec backoff im Reiter Advanced ist standardmässig angehakt. Schliesst sich die Shell, ohne dass Sie es verlangt haben, wechselt der Statuspunkt auf Déconnecté, dann auf Reconnexion dans Ns…, und ein neuer Versuch startet nach 1 s, danach nach 2 s, 4 s, 8 s, 16 s und höchstens 20 s. Sobald eine Verbindung zustande kommt, beginnt der Zähler wieder bei null.

Scheitert dieser Versuch schon beim Verbindungsaufbau, bleibt der Statuspunkt auf Erreur: Hawser versucht es nicht mehr von allein. Der Knopf 🔄 in der Tab-Leiste startet die vollständige Abfolge neu.

Der Tresor sperrt beim Arbeiten

Die automatische Sperre steht standardmässig auf 15 Minuten (Ansicht 🔐 Séc. → ⏱️ Auto-lock). Als Aktivität zählen Tastendrücke, Mausbewegungen, Klicks und das Zurückkehren des Fensterfokus.

In den letzten 60 Sekunden erscheint unten links ein gelber Hinweis mit zwei Knöpfen: Rester (Bleiben) schiebt den Zeitpunkt hinaus, Verrouiller (Sperren) schliesst den Tresor sofort. Einzelheiten zu den Mechanismen in Öffnen und sperren.

Diagnose: die genauen Meldungen

Sitzungsfehler stehen in Rot im Terminal, mit dem Präfix [Erreur], werden in einer Benachrichtigung wiederholt, und der Statuspunkt wechselt auf Erreur.

Die Testwerkzeuge und ihre Aussagekraft

🧪 Test am Fuss des Eintrags und 📡 Test all in der Filterleiste öffnen eine TCP-Verbindung zu host:port – 5 Sekunden Zeitlimit beim ersten, 3 beim zweiten. Sie prüfen weder Anmeldung noch Schlüssel noch Fingerabdruck. Ein ✓ OK, gefolgt von einem authentication failed, ist völlig widerspruchsfrei.

Was diese Version nicht kann

• Vertrauenswürdige Fingerabdrücke verwalten. Kein Bildschirm, um sie aufzulisten, einen zu vergessen oder eine ~/.ssh/known_hosts zu importieren. Die Liste entsteht Host für Host beim ersten Kontakt und lässt sich nicht aufräumen.
• Den SSH-Agenten weiterleiten oder sich über die Oberfläche mit dem macOS-Agenten anmelden.
• Keep-alive einstellen oder das Leerlauflimit von 10 Minuten.
• Tabs beim nächsten Start wieder öffnen: Nur die Aufteilung des Rasters wird wiederhergestellt.
• In der Terminal-Historie suchen: ⌘F ist mit nichts verbunden, entgegen der Ankündigung der integrierten Hilfe.
• Schrift, Grösse oder Farbschema des Terminals ändern: Diese Werte sind fest eingestellt.

Weiter geht es mit Im Terminal arbeiten, Dateien übertragen, Tunnel und Ports.