SSH ProxyCommand og værtsbaseret godkendelse: hvilken vært signerer?

Målet kan se en TCP-forbindelse, der kommer fra bastionen, mens den SSH-klient, der udfører godkendelsen, stadig kører på arbejdsstationen.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Her logger hjælperen ind på bastionen og beder dens SSH-server om en videresendt forbindelse til målet. Arbejdsstationens ydre SSH-klient udveksler målets SSH-protokol gennem den strøm. Bastionen leverer transporten; den har ikke startet den målrettede SSH-klient.

Den forskel er vigtig for værtsbaseret godkendelse. OpenSSHs ssh-keysign-hjælper tilgår lokale værtsnøgler for at generere den krævede signatur. En netværkskildeadresse, der tilhører bastionen, får ikke arbejdsstationen til at signere med bastionens værtsnøgle.

Sammenlign med:

ssh -t bastion ssh target

Dette starter et andet SSH-program på bastionen. Dets lokale konfiguration og tilgængelige værtsnøgler tilhører den maskine, så det kan deltage i en allerede konfigureret værtsbaseret tillidsordning mellem bastionen og målet. Det kræver stadig målets tilsvarende autorisation og navnekontroller.

Den anden form ændrer også, hvordan sessionen fungerer: den kører en fjernkommando og bruger en terminal. Den er ikke en gennemsigtig erstatning for enhver SSH-filoverførsel eller automatiseret transport. Vælg ordningen efter, hvilken maskine der skal godkende over for målet, i stedet for at svække serverens tillidskontroller, så kildeadressen ser tilstrækkelig ud.