SSH ProxyCommand ja hostipõhine autentimine: milline host allkirjastab?

Eristage TCP-voo edastamist bastioni kaudu teise SSH-kliendi käivitamisest seal, kui hostipõhine autentimine on mängus.

Sihtmärk näeb bastionilt tulevat TCP-ühendust, samal ajal kui autentimist teostav SSH-klient töötab endiselt tööjaamas.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Siin logib abiline bastioni sisse ja palub selle SSH-serveril sihtmärgile edastatud ühendust. Tööjaama väline SSH-klient vahetab sihtmärgi SSH-protokolli selle voo kaudu. Bastion pakub transporti; see ei ole käivitanud sihtmärgi poole suunatud SSH-klienti.

See erinevus on hostipõhise autentimise jaoks oluline. OpenSSH ssh-keysign abiline pääseb ligi kohalikele hostivõtmetele, et genereerida vajalik allkiri. Bastionile kuuluv võrgu lähteaadress ei pane tööjaama allkirjastama bastioni hostivõtmega.

Võrrelge sellega:

ssh -t bastion ssh target

See käivitab bastionil teise SSH-programmi. Selle kohalik konfiguratsioon ja saadaolevad hostivõtmed kuuluvad sellele masinale, seega saab see osaleda juba seadistatud hostipõhises usaldussuhtes bastioni ja sihtmärgi vahel. See vajab endiselt sihtmärgi vastavat autoriseerimist ja nimekontrolle.

Teine vorm muudab ka seansi tööd: see käivitab kaugkäsud ja kasutab terminali. See ei ole läbipaistev asendus igale SSH-failiedastusele ega automatiseerimistranspordile. Valige lahendus selle järgi, milline masin peaks sihtmärgi ees autentima, mitte ärge nõrgendage serveri usalduskontrolle, et lähteaadress tunduks piisav.

Seotud artiklid