SSH ProxyCommand والمصادقة القائمة على المضيف: أي مضيف يوقّع؟

يستطيع الهدف رؤية اتصال TCP قادم من الحصن بينما لا يزال عميل SSH الذي ينفّذ المصادقة يعمل على محطة العمل.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

هنا يسجّل المساعد الدخول إلى الحصن ويطلب من خادم SSH الخاص به اتصالًا مُمرَّرًا إلى الهدف. يتبادل عميل SSH الخارجي على محطة العمل بروتوكول SSH الخاص بالهدف عبر ذلك التدفق. يوفّر الحصن النقل؛ ولم يبدأ عميل SSH المتّجه إلى الهدف.

يهمّ هذا التمييز في المصادقة القائمة على المضيف. يصل مساعد ssh-keysign في OpenSSH إلى مفاتيح المضيف المحلية لتوليد التوقيع المطلوب. كون عنوان المصدر الشبكي يخصّ الحصن لا يجعل محطة العمل توقّع بمفتاح مضيف الحصن.

قارن ذلك بما يلي:

ssh -t bastion ssh target

هذا يبدأ برنامج SSH آخر على الحصن. إعداداته المحلية ومفاتيح المضيف المتاحة تخصّ تلك الآلة، لذا يمكنه المشاركة في ترتيب ثقة قائم على المضيف بين الحصن والهدف أُعدّ مسبقًا. ولا يزال يحتاج إلى التفويض المقابل والتحقق من الاسم لدى الهدف.

يغيّر الشكل الثاني أيضًا طريقة عمل الجلسة: فهو يشغّل أمرًا عن بُعد ويستخدم طرفية. وهو ليس بديلًا شفافًا عن كل نقل لملفات SSH أو نقل للأتمتة. اختر الترتيب بحسب الآلة التي ينبغي أن تصادق لدى الهدف، بدلًا من إضعاف فحوص الثقة في الخادم كي يبدو عنوان المصدر كافيًا.