Skenování klíče SSH přes stávající proxy relay

Sbírejte kandidátní klíče hostitelů přes místní TCP relay a zachovejte přitom rozdíl mezi označením relay a skutečným SSH hostitelem.

ssh-keyscan nepřijímá volbu ProxyCommand z SSH. Proxy nakonfigurovaná pro ssh tedy automaticky nenastaví samostatný skener.

Jedním řešením je již navázaný místní TCP relay, který provede potřebnou autentizaci proxy a výměnu CONNECT a poté vystaví bajtový proud zamýšleného SSH serveru. Pokud tento relay naslouchá na 127.0.0.1:2222:

ssh-keyscan -p 2222 127.0.0.1 > candidate.keys
ssh-keygen -lf candidate.keys

První příkaz shromažďuje kandidátní klíče, druhý zobrazuje jejich otisky. Relay musí proud SSH propustit až po spotřebování celé odpovědi proxy, místo aby skeneru předal hlavičky HTTP.

Označení hostitele ve výstupu popisuje místní koncový bod relay. Nepřipojujte je beze změny a nepředpokládejte, že nyní určuje vzdálené jméno hostitele SFTP.

Ověřte otisk prostřednictvím důvěryhodného záznamu nebo správce, než klíč přiřadíte skutečnému hostiteli a portu v known_hosts. ssh-keyscan shromažďuje to, co dostupný koncový bod předloží; úspěšné připojení přes proxy tento klíč neautentizuje.

Související články