SSH ProxyCommand και έλεγχος ταυτότητας βάσει κεντρικού υπολογιστή: ποιος κεντρικός υπολογιστής υπογράφει;

Ο στόχος βλέπει μια σύνδεση TCP που προέρχεται από το bastion, ενώ ο πελάτης SSH που εκτελεί τον έλεγχο ταυτότητας εξακολουθεί να τρέχει στον σταθμό εργασίας.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Εδώ ο βοηθός συνδέεται στο bastion και ζητά από τον διακομιστή SSH του μια προωθημένη σύνδεση προς τον στόχο. Ο εξωτερικός πελάτης SSH του σταθμού εργασίας ανταλλάσσει το πρωτόκολλο SSH του στόχου μέσω αυτής της ροής. Το bastion παρέχει τη μεταφορά· δεν έχει ξεκινήσει τον πελάτη SSH προς τον στόχο.

Αυτή η διάκριση έχει σημασία για τον έλεγχο ταυτότητας βάσει κεντρικού υπολογιστή. Ο βοηθός ssh-keysign του OpenSSH αποκτά πρόσβαση σε τοπικά κλειδιά κεντρικού υπολογιστή για να δημιουργήσει την απαιτούμενη υπογραφή. Μια διεύθυνση πηγής δικτύου που ανήκει στο bastion δεν κάνει τον σταθμό εργασίας να υπογράφει με το κλειδί κεντρικού υπολογιστή του bastion.

Συγκρίνετε με:

ssh -t bastion ssh target

Αυτό ξεκινά ένα άλλο πρόγραμμα SSH στο bastion. Η τοπική του διαμόρφωση και τα διαθέσιμα κλειδιά κεντρικού υπολογιστή ανήκουν σε εκείνο το μηχάνημα, οπότε μπορεί να συμμετάσχει σε μια ήδη ρυθμισμένη σχέση εμπιστοσύνης βάσει κεντρικού υπολογιστή μεταξύ bastion και στόχου. Εξακολουθεί να χρειάζεται την αντίστοιχη εξουσιοδότηση και τους ελέγχους ονόματος του στόχου.

Η δεύτερη μορφή αλλάζει επίσης τον τρόπο λειτουργίας της συνεδρίας: εκτελεί απομακρυσμένη εντολή και χρησιμοποιεί τερματικό. Δεν είναι διαφανής αντικατάσταση για κάθε μεταφορά αρχείων SSH ή μεταφορά αυτοματισμού. Επιλέξτε τη διάταξη με βάση ποιο μηχάνημα πρέπει να πιστοποιηθεί στον στόχο, αντί να αποδυναμώνετε τους ελέγχους εμπιστοσύνης του διακομιστή ώστε η διεύθυνση πηγής να φαίνεται επαρκής.