more admin stuff 2

app/ssh_proxy/proxy.py

@@ -30,6 +30,20 @@ class HostKeyMismatchError(Exception):
         super().__init__(f"Host-Key-Mismatch: erwartet={expected!r} beobachtet={observed!r}")
 
 
+class HostKeyDiscoveryError(Exception):
+    """Wird geworfen, wenn beim Host-Key-Discovery-Versuch (siehe
+    discover_and_store_host_key) ueberhaupt KEIN Fingerprint beobachtet
+    werden konnte (TCP/DNS/Timeout-Fehler VOR dem SSH-Key-Exchange) -- im
+    Unterschied zu einem erwarteten Auth-Fehler NACH dem KEX (siehe dort).
+    Der admin-only Endpunkt (admin/routes.py) faengt dies ab und liefert
+    eine saubere 502 statt eines unbehandelten 500."""
+
+    def __init__(self, host_id: int, reason: str) -> None:
+        self.host_id = host_id
+        self.reason = reason
+        super().__init__(f"Host-Key-Ermittlung fuer Host {host_id} fehlgeschlagen: {reason}")
+
+
 class _PinnedHostKeyClient(asyncssh.SSHClient):
     """Erzwingt Strict Host Key Checking gegen einen fest hinterlegten
     SHA-256-Fingerprint. Kein automatisches Trust-on-First-Use (TOFU)."""
@@ -114,14 +128,45 @@ async def discover_and_store_host_key(
     """Verbindet EINMALIG ohne Pinning, um den Host-Key-Fingerprint zu erfassen
     und in der DB zu hinterlegen. Nur ueber einen dedizierten, admin-only
     Endpunkt aufrufbar -- jeder Aufruf ist eine bewusste Vertrauensentscheidung
-    und wird im Audit-Log als solche vermerkt (siehe admin/routes.py)."""
+    und wird im Audit-Log als solche vermerkt (siehe admin/routes.py).
+
+    Bugfix (Fehler 500 bei 'Host-Key ermitteln'): asyncssh.connect() fuehrt
+    nach dem Key-Exchange (bei dem validate_host_public_key() den Fingerprint
+    bereits erfasst) automatisch die Authentifizierung durch -- ohne
+    hinterlegten Client-Key/Passwort schlaegt die IMMER fehl (asyncssh.Error,
+    z.B. PermissionDenied), obwohl der Fingerprint laengst bekannt ist. Diese
+    fuer die reine Discovery irrelevante Auth-Fehlermeldung wurde bisher NICHT
+    abgefangen und riss als unbehandelte Exception bis zu FastAPI durch ->
+    500 Internal Server Error bei praktisch jedem Aufruf. Fix: Verbindungs-
+    fehler abfangen; wenn dabei bereits ein Fingerprint beobachtet wurde, gilt
+    die Discovery als erfolgreich. Nur wenn wirklich KEIN Fingerprint erfasst
+    wurde (Host nicht erreichbar, DNS-Fehler, Timeout -- also ein Fehler VOR
+    dem Key-Exchange), ist es ein echter Fehler (HostKeyDiscoveryError)."""
     host = await load_host(conn, host_id)
+    if host["protocol"] != "ssh":
+        raise HostNotConfiguredError("Host-Key-Ermittlung ist nur fuer SSH-Ziele moeglich")
+
     client = _PinnedHostKeyClient(None, discovery_mode=True)
-    connection = await asyncssh.connect(
-        host["address"], port=host["port"], username=host["ssh_username"],
-        known_hosts=None, client_factory=lambda: client, connect_timeout=10,
-    )
-    connection.close()
+    connection = None
+    try:
+        connection = await asyncssh.connect(
+            host["address"], port=host["port"], username=host["ssh_username"],
+            known_hosts=None, client_factory=lambda: client, connect_timeout=10,
+        )
+    except (asyncssh.Error, OSError) as exc:
+        if client.observed_fingerprint is None:
+            logger.warning("Host-Key-Ermittlung fuer Host %s fehlgeschlagen: %s", host_id, exc)
+            raise HostKeyDiscoveryError(host_id, str(exc)) from exc
+        # Fingerprint wurde bereits waehrend des Key-Exchange erfasst -- der
+        # anschliessende Auth-Fehler ist fuer die Discovery unschaedlich.
+        logger.info(
+            "Host-Key fuer Host %s erfasst (Auth-Phase erwartungsgemaess fehlgeschlagen: %s)",
+            host_id, exc,
+        )
+    finally:
+        if connection is not None:
+            connection.close()
+
     fingerprint = client.observed_fingerprint
     await conn.execute(
         "UPDATE hosts SET ssh_host_key_fingerprint = ? WHERE id = ?", (fingerprint, host_id)

app/ssh_proxy/terminal_ws.py

@@ -21,6 +21,7 @@ from app.auth.deps import get_current_user_ws
 from app.db import get_db
 from app.rbac import user_has_role_for_host
 from app.recordings.recorder import SessionRecorder
+from app.security import active_sessions
 from app.security.audit import write_audit_event
 from app.ssh_proxy.proxy import HostNotConfiguredError, connect_to_host, load_host
 
@@ -83,6 +84,11 @@ async def ssh_terminal(websocket: WebSocket, host_id: int):
         details={"host_id": host_id, "hostname": host["hostname"], "session_id": session_id},
     )
     await conn.commit()
+    logger.debug(
+        "SSH-Sitzung %s gestartet: user=%s host=%s (%s:%s) client_ip=%s",
+        session_id, user.username, host["hostname"], host["address"], host["port"], client_ip,
+    )
+    active_sessions.register(session_id, asyncio.current_task())
 
     end_reason = "logout"
     ssh_conn = None
@@ -90,6 +96,7 @@ async def ssh_terminal(websocket: WebSocket, host_id: int):
     pump_task = None
     try:
         ssh_conn = await connect_to_host(conn, host_id)
+        logger.debug("SSH-Sitzung %s: Verbindung zu %s hergestellt", session_id, host["hostname"])
         process = await ssh_conn.create_process(term_type="xterm-256color")
         pump_task = asyncio.create_task(_pump_ssh_to_ws(process, websocket, recorder))
 
@@ -120,7 +127,13 @@ async def ssh_terminal(websocket: WebSocket, host_id: int):
             logger.debug("Fehlermeldung konnte nicht mehr an Client gesendet werden", exc_info=True)
     except HostNotConfiguredError:
         end_reason = "error"
+    except asyncio.CancelledError:
+        # Zwangs-Beendigung durch einen Superadmin ueber die Sessionview
+        # (POST /admin/sessions/{id}/terminate, siehe app/security/active_sessions.py).
+        end_reason = "terminated_by_admin"
+        raise
     finally:
+        active_sessions.unregister(session_id)
         if pump_task:
             pump_task.cancel()
         if process:
@@ -128,6 +141,7 @@ async def ssh_terminal(websocket: WebSocket, host_id: int):
         if ssh_conn:
             ssh_conn.close()
         recorder.close()
+        logger.debug("SSH-Sitzung %s beendet: reason=%s", session_id, end_reason)
         await conn.execute(
             "UPDATE sessions SET ended_at = strftime('%Y-%m-%dT%H:%M:%fZ','now'), end_reason = ? "
             "WHERE id = ?",