Escanear una clave SSH a través de un relé proxy existente
Reúna claves de host candidatas mediante un relé TCP local sin perder la distinción entre la etiqueta del relé y el host SSH real.
ssh-keyscan no acepta la opción ProxyCommand de SSH. Por tanto, un proxy configurado para ssh no configura automáticamente el escáner independiente.
Una opción es un relé TCP local ya establecido que complete la autenticación de proxy y el intercambio CONNECT necesarios y luego exponga el flujo de bytes del servidor SSH previsto. Si ese relé escucha en 127.0.0.1:2222:
ssh-keyscan -p 2222 127.0.0.1 > candidate.keys
ssh-keygen -lf candidate.keysEl primer comando reúne claves candidatas; el segundo muestra sus huellas. El relé debe dejar pasar el flujo SSH después de consumir la respuesta completa del proxy, en lugar de entregar cabeceras HTTP al escáner.
La etiqueta de host de la salida describe el extremo local del relé. No la añada sin cambios ni suponga que ahora identifica el nombre de host SFTP remoto.
Verifique la huella mediante un registro de confianza o un administrador antes de asociar la clave con el host y el puerto reales en known_hosts. ssh-keyscan recopila lo que presenta el extremo accesible; una conexión proxy correcta no autentica esa clave.