SSH ProxyCommand a dilysu sy'n seiliedig ar westeiwr: pa westeiwr sy'n llofnodi?

Gall targed weld cysylltiad TCP yn dod o'r bastion tra bod y cleient SSH sy'n gwneud y dilysu yn dal i redeg ar y gwaithfa.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Yma mae'r cynorthwyydd yn mewngofnodi i'r bastion ac yn gofyn i'w weinydd SSH am gysylltiad a anfonir ymlaen i'r targed. Mae cleient SSH allanol y waithfa yn cyfnewid protocol SSH y targed drwy'r ffrwd honno. Y bastion sy'n darparu cludiant; nid yw wedi dechrau'r cleient SSH sy'n wynebu'r targed.

Mae'r gwahaniaeth hwnnw'n bwysig ar gyfer dilysu sy'n seiliedig ar westeiwr. Mae cynorthwyydd ssh-keysign OpenSSH yn cyrchu allweddi gwesteiwr lleol i gynhyrchu'r llofnod gofynnol. Nid yw cyfeiriad ffynhonnell rhwydwaith sy'n perthyn i'r bastion yn gwneud i'r waithfa lofnodi ag allwedd gwesteiwr y bastion.

Cymharwch â:

ssh -t bastion ssh target

Mae hyn yn dechrau rhaglen SSH arall ar y bastion. Mae ei ffurfweddiad lleol a'r allweddi gwesteiwr sydd ar gael yn perthyn i'r peiriant hwnnw, felly gall gymryd rhan mewn trefniant ymddiriedaeth sy'n seiliedig ar westeiwr rhwng y bastion a'r targed sydd eisoes wedi'i ffurfweddu. Mae dal angen awdurdodiad cyfatebol a gwiriadau enw'r targed.

Mae'r ail ffurf hefyd yn newid sut mae'r sesiwn yn gweithio: mae'n rhedeg gorchymyn o bell ac yn defnyddio terfynell. Nid yw'n disodli pob trosglwyddiad ffeil SSH na chludiant awtomeiddio yn dryloyw. Dewiswch y trefniant yn ôl pa beiriant ddylai ddilysu i'r targed, yn hytrach na gwanhau gwiriadau ymddiriedaeth y gweinydd fel bod y cyfeiriad ffynhonnell yn edrych yn ddigonol.