SSH ProxyCommand və host əsaslı autentifikasiya: hansı host imzalayır?

TCP axınını bastion vasitəsilə ötürməyi, host əsaslı autentifikasiya iştirak edəndə orada ikinci SSH müştərisini başlatmaqdan fərqləndirin.

Hədəf bastiondan gələn TCP bağlantısını görə bilər, halbuki autentifikasiyanı yerinə yetirən SSH müştərisi hələ də iş stansiyasında işləyir.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Burada köməkçi bastiona daxil olur və onun SSH serverindən hədəfə ötürülən bağlantı istəyir. İş stansiyasının xarici SSH müştərisi hədəfin SSH protokolunu həmin axın vasitəsilə mübadilə edir. Bastion daşımanı təmin edir; o, hədəfə yönəlmiş SSH müştərisini başlatmayıb.

Bu fərq host əsaslı autentifikasiya üçün vacibdir. OpenSSH-in ssh-keysign köməkçisi tələb olunan imzanı yaratmaq üçün yerli host açarlarına müraciət edir. Bastiona aid şəbəkə mənbə ünvanı iş stansiyasının bastionun host açarı ilə imzalamasına səbəb olmur.

Bunu aşağıdakı ilə müqayisə edin:

ssh -t bastion ssh target

Bu, bastionda başqa bir SSH proqramı başladır. Onun yerli konfiqurasiyası və mövcud host açarları həmin maşına aiddir, buna görə də əvvəlcədən qurulmuş bastiondan hədəfə host əsaslı etimad quruluşunda iştirak edə bilər. Yenə də hədəfin uyğun avtorizasiyasına və ad yoxlamalarına ehtiyac duyur.

İkinci forma sessiyanın işləmə üsulunu da dəyişir: uzaq əmr işlədir və terminaldan istifadə edir. O, hər SSH fayl ötürməsi və ya avtomatlaşdırma daşıması üçün şəffaf əvəz deyil. Mənbə ünvanı kifayət görünsün deyə serverin etimad yoxlamalarını zəiflətmək əvəzinə, hədəfə hansı maşının autentifikasiya etməli olduğuna görə quruluşu seçin.

Əlaqəli məqalələr