SSH ProxyCommand kaj hostbaza aŭtentikigo: kiu gastiganto subskribas?

Distingigu plusendadon de TCP-fluo tra bastiono disde startigo de dua SSH-kliento tie, kiam hostbaza aŭtentikigo estas implikita.

Celo povas vidi TCP-konekton venantan de la bastiono, dum la SSH-kliento faranta la aŭtentikigon ankoraŭ funkcias sur la laborejo.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Ĉi tie la helpanto ensalutas al la bastiono kaj petas de ĝia SSH-servilo plusenditan konekton al la celo. La ekstera SSH-kliento de la laborejo interŝanĝas la SSH-protokolon de la celo tra tiu fluo. La bastiono provizas transporton; ĝi ne startigis la celan SSH-klienton.

Tiu distingo gravas por hostbaza aŭtentikigo. La ssh-keysign-helpanto de OpenSSH aliras lokajn gastigantajn ŝlosilojn por generi la bezonatan subskribon. Reta fontadreso apartenanta al la bastiono ne igas la laborejon subskribi per la gastiganta ŝlosilo de la bastiono.

Komparu tion kun:

ssh -t bastion ssh target

Ĉi tio startigas alian SSH-programon sur la bastiono. Ĝia loka agordo kaj disponeblaj gastigantaj ŝlosiloj apartenas al tiu maŝino, do ĝi povas partopreni en jam agordita hostbaza fido-interkonsento inter bastiono kaj celo. Ĝi ankoraŭ bezonas la respondan rajtigon kaj nomkontrolojn de la celo.

La dua formo ankaŭ ŝanĝas kiel la sesio funkcias: ĝi rulas malproksiman komandon kaj uzas terminalon. Ĝi ne estas travidebla anstataŭaĵo por ĉiu SSH-dosiertransigo aŭ aŭtomatiga transporto. Elektu la aranĝon laŭ tio, kiu maŝino devus aŭtentikiĝi al la celo, anstataŭ malfortigi la fidokontrolojn de la servilo por ke la fontadreso ŝajnu sufiĉa.

Rilataj artikoloj