SSH ProxyCommand ja isäntäpohjainen todennus: mikä isäntä allekirjoittaa?

Erottele TCP-virran välittäminen bastionin kautta toisen SSH-asiakkaan käynnistämisestä siellä, kun isäntäpohjainen todennus on mukana.

Kohde näkee bastionilta tulevan TCP-yhteyden, kun taas todennuksen tekevä SSH-asiakas toimii edelleen työasemalla.

Host behind-bastion
    ProxyCommand ssh -W %h:%p bastion

Tässä apuri kirjautuu bastioniin ja pyytää sen SSH-palvelimelta välitettyä yhteyttä kohteeseen. Työaseman ulompi SSH-asiakas välittää kohteen SSH-protokollaa tämän virran kautta. Bastion tarjoaa kuljetuksen; se ei ole käynnistänyt kohteeseen suuntautuvaa SSH-asiakasta.

Tämä ero on tärkeä isäntäpohjaisessa todennuksessa. OpenSSH:n ssh-keysign-apuri käyttää paikallisia isäntäavaimia tarvittavan allekirjoituksen luomiseen. Bastionille kuuluva verkon lähdeosoite ei saa työasemaa allekirjoittamaan bastionin isäntäavaimella.

Vertaa tähän:

ssh -t bastion ssh target

Tämä käynnistää toisen SSH-ohjelman bastionilla. Sen paikallinen kokoonpano ja käytettävissä olevat isäntäavaimet kuuluvat sille koneelle, joten se voi osallistua jo määritettyyn isäntäpohjaiseen luottamussuhteeseen bastionin ja kohteen välillä. Se tarvitsee silti kohteen vastaavan valtuutuksen ja nimien tarkistukset.

Toinen muoto muuttaa myös istunnon toimintaa: se suorittaa etäkomentoa ja käyttää päätettä. Se ei ole läpinäkyvä korvaaja jokaiselle SSH-tiedostonsiirrolle tai automaatiokuljetukselle. Valitse järjestely sen mukaan, minkä koneen pitäisi todentaa kohteelle, sen sijaan että heikentäisit palvelimen luottamustarkistuksia, jotta lähdeosoite näyttäisi riittävältä.

Aiheeseen liittyvät artikkelit