SSH ProxyCommand a autentizace založená na hostiteli: který hostitel podepisuje?

Rozlište předávání TCP toku přes bastion od spuštění druhého SSH klienta tam, když jde o autentizaci založenou na hostiteli.

Cíl vidí TCP spojení přicházející z bastionu, zatímco SSH klient provádějící autentizaci stále běží na pracovní stanici.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Zde se pomocník přihlásí na bastion a požádá jeho SSH server o předané spojení k cíli. Vnější SSH klient pracovní stanice vyměňuje SSH protokol cíle přes tento tok. Bastion zajišťuje transport; nespustil SSH klienta směrem k cíli.

Tento rozdíl je důležitý pro autentizaci založenou na hostiteli. Pomocník ssh-keysign z OpenSSH přistupuje k místním klíčům hostitele, aby vytvořil požadovaný podpis. Síťová zdrojová adresa patřící bastionu nezpůsobí, že pracovní stanice podepisuje klíčem hostitele bastionu.

Porovnejte s:

ssh -t bastion ssh target

Tímto se spustí další program SSH na bastionu. Jeho místní konfigurace a dostupné klíče hostitele patří tomuto stroji, takže se může účastnit již nastaveného vztahu důvěry založeného na hostiteli mezi bastionem a cílem. Stále potřebuje odpovídající autorizaci a kontroly jména na cíli.

Druhá forma mění i chování relace: spouští vzdálený příkaz a používá terminál. Není průhlednou náhradou za každý přenos souborů přes SSH nebo automatizační transport. Vyberte uspořádání podle toho, který stroj se má vůči cíli autentizovat, místo oslabování kontrol důvěry serveru, aby zdrojová adresa vypadala dostatečně.

Související články